EUs KI-forordning (AI Act), forklart.

Hva KI-forordningen er (og ikke er)

KI-forordningen er en produktsikkerhetslignende regulering for KI-systemer som plasseres på EU-markedet, eller hvis resultater brukes i EU. Den regulerer ikke «KI» som teknologi — den regulerer konkrete bruksområder etter risiko. Jo høyere risiko for helse, sikkerhet eller grunnleggende rettigheter, desto tyngre plikter. Det meste av hverdags-KI (spamfiltre, anbefalingswidgets, stavekontroller, KI-funksjoner i produktivitetsverktøy) er minimal risiko og får ingen nye plikter i det hele tatt.

De fire risikonivåene

Alt i forordningen henger på denne klassifiseringen:

• Uakseptabel risiko — helt forbudt siden 2. februar 2025: sosial poengsetting, utnyttende eller manipulerende teknikker, uselektiv skraping av ansiktsbilder, følelsesgjenkjenning på arbeidsplasser og skoler (snevre sikkerhetsunntak), biometrisk kategorisering for å utlede sensitive egenskaper, og sanntids biometrisk fjernidentifikasjon i offentlige rom for politiformål (begrensede unntak). Fra 2. desember 2026 forbyr 2026-endringen også eksplisitt KI-systemer for å generere ikke-samtykkebasert intimt bildemateriale eller CSAM.
• Høy risiko — tillatt, men strengt regulert: KI brukt som sikkerhetskomponent i regulerte produkter (vedlegg I — maskiner, medisinsk utstyr, heiser…) eller i sensitive bruksområder (vedlegg III — rekruttering og personalstyring, vurdering i utdanning, kredittscoring, essensielle tjenester, politi, migrasjon, rettsvesen). Pliktene omfatter risikostyring, datastyring, teknisk dokumentasjon, logging, menneskelig tilsyn, testing av nøyaktighet/robusthet og registrering i en EU-database.
• Begrenset risiko — åpenhetsplikter (artikkel 50): fortell folk når de samhandler med et KI-system (chatboter), merk KI-generert eller manipulert bilde-/lyd-/videoinnhold (deepfakes), merk syntetisk innhold på en maskinlesbar måte, og opplys om KI-generert tekst som publiseres for å informere allmennheten om saker av allmenn interesse.
• Minimal risiko — alt annet: ingen nye plikter; frivillige atferdsnormer oppmuntres.

Tidslinjen i 2026 — oppdatert etter Digital Omnibus

Forordningen trådte i kraft 1. august 2024 og skulle etter planen gjelde nesten fullt ut fra 2. august 2026. I november 2025 foreslo Kommisjonen «Digital Omnibus on AI» for å forenkle og fase dette; Parlamentet ga sin tilslutning 16. juni 2026, og Rådet ga endelig godkjenning 29. juni 2026. De viktigste datoene nå:

• 2. februar 2025 — forbudene mot praksiser med uakseptabel risiko og KI-kompetansepliktene begynte å gjelde.
• 2. august 2025 — plikter for tilbydere av generelle KI-modeller (GPAI) (teknisk dokumentasjon, opphavsrettspolicy, sammendrag av treningsdata; ekstra plikter for modeller med systemisk risiko) samt EUs KI-kontor og styringsstrukturer.
• 2. august 2026 — forordningen blir generelt gjeldende: åpenhetsplikter (artikkel 50), sanksjoner og de fleste gjenværende bestemmelser. Maskinlesbar merking av syntetisk innhold får en overgangsperiode til 2. desember 2026 for systemer som allerede var på markedet før 2. august 2026.
• 2. desember 2026 — nye forbud mot KI som genererer ikke-samtykkebasert intimt bildemateriale og CSAM begynner å gjelde.
• 2. desember 2027 — høyrisikoplikter for bruksområdene i vedlegg III (rekruttering, kredittscoring, utdanning…) — utsatt 16 måneder fra den opprinnelige datoen i august 2026.
• 2. august 2028 — høyrisikoplikter for produktinnebygd KI i vedlegg I (medisinsk utstyr, maskiner…) — utsatt ett år fra august 2027. Nasjonale regulatoriske sandkasser skal være på plass innen 2. august 2027.

Hvem som må etterleve

Pliktene knytter seg til roller i verdikjeden: tilbydere (som utvikler eller plasserer et KI-system på EU-markedet under eget navn), virksomheter som bruker et KI-system profesjonelt, samt importører og distributører. Rekkevidden er ekstraterritoriell — en amerikansk eller britisk SaaS hvis KI-resultater brukes i EU, er omfattet. SMB-er får noen lettelser: forenklet dokumentasjon, prioritert tilgang til sandkasser, og bøter begrenset til det laveste av de to beløpene i stedet for det høyeste.

Hva KI-forordningen betyr for nettstedet ditt

For de fleste selskaper er de første reelle berøringspunktene åpenhetsreglene som gjelder fra august 2026 — de handler om hva besøkende ser på nettstedet ditt:

• KI-chatboter og -assistenter på nettstedet ditt må gjøre det klart at den besøkende snakker med en maskin (med mindre det er åpenbart fra konteksten).
• KI-genererte eller KI-manipulerte bilder, lyd og video (deepfakes) som du publiserer, må merkes synlig som kunstig generert eller manipulert.
• Syntetiske medier bør ha maskinlesbar merking (f.eks. metadata/vannmerking) — merkeplikten for systemer fra før august 2026 gjelder fra 2. desember 2026.
• KI-skrevet tekst som publiseres for å informere allmennheten om saker av allmenn interesse, må opplyses som KI-generert med mindre den har gjennomgått menneskelig redaksjonell kontroll med ansvar.
• Bruker du KI i rekruttering, kreditt eller andre bruksområder i vedlegg III, bør du planlegge for høyrisikoregimet som gjelder fra 2. desember 2027.
• KI-kompetanse: organisasjoner som bruker KI profesjonelt, bør sørge for at ansatte forstår systemene de betjener.

Bøter

Bøtestrukturen er bevisst GDPR-lik: inntil 35 millioner euro eller 7 % av global årsomsetning (det høyeste av de to) for forbudte praksiser; inntil 15 millioner euro eller 3 % for de fleste andre brudd, inkludert høyrisiko- og GPAI-plikter; inntil 7,5 millioner euro eller 1 % for å gi uriktige eller villedende opplysninger til myndighetene. For SMB-er er hvert tak det laveste av de to beløpene. Håndhevingen deles mellom nasjonale markedstilsynsmyndigheter og, for GPAI-modeller, EUs KI-kontor.

Hvordan Beacon passer inn

Beacon skanner allerede hva søkemotorer og KI-crawlere faktisk ser på nettstedet ditt — robots.txt-policyer, gjengitt innhold, strukturerte data og opplysninger. Vi bygger videre på det fundamentet med en AI Act-beredskapsskanning: en automatisk sjekk av nettstedets besøksrettede åpenhetssignaler (chatbot-opplysning, merking av KI-innhold, maskinlesbar merking og tilhørende metadata) med en prioritert fikseliste. Det blir ikke juridisk rådgivning — men det vil vise deg, konkret, hva nettstedet ditt eksponerer i dag og hva du bør fikse først.