AI Act på 10 minutter

1. Hva den er

AI Act er forordning (EU) 2024/1689. Det er en produktsikkerhetslov, ikke en personvernlov. Den regulerer hvordan selskaper utvikler, selger og bruker KI i EU.

Grunnideen er enkel: jo høyere risiko, desto flere regler må du følge. Loven gjelder alle selskaper som tilbyr eller bruker KI i EU. Et selskap utenfor EU må også følge den hvis resultatet fra KI-en brukes i EU (artikkel 2). Loven gjelder ikke for:

• Militær bruk, forsvar og nasjonal sikkerhet
• Utelukkende vitenskapelig forskning og utvikling
• Personlig bruk utenfor yrke
• Det meste av gratis KI med åpen kildekode, med mindre den er høyrisiko, forbudt eller har åpenhetsplikter etter artikkel 50

2. Hvordan teksten er bygd opp

Loven har tre typer tekst, og definisjonene i artikkel 3. Artiklene viser mange ganger til hverandre, og derfor passer en graf godt til å lagre den.

3. De fire risikonivåene

Hvert KI-system får ett hovedrisikonivå.

Forbudt

Disse systemene må ikke brukes (artikkel 5). Eksempler: sosial skåring, manipulasjon som gir skade, følelsesgjenkjenning på arbeidsplassen eller i skolen (med medisinske og sikkerhetsmessige unntak), vilkårlig innsamling av ansiktsbilder og det meste av biometrisk fjernidentifisering i sanntid på offentlige steder for politiet.

Høyrisiko

Tillatt, men strenge regler gjelder. Det er to veier til høyrisiko:

• Vedlegg I-veien (artikkel 6(1)): KI-en er en sikkerhetskomponent i et produkt som allerede krever samsvarsvurdering fra tredjepart etter EUs produktlovgivning, for eksempel et medisinsk utstyr, en heis eller et leketøy.
• Vedlegg III-veien (artikkel 6(2)): KI-en brukes på ett av åtte områder.

De åtte områdene: biometri; kritisk infrastruktur; utdanning og yrkesopplæring; arbeidsliv og HR (rekruttering, utvelgelse, opprykk, oppsigelse, oppgavefordeling, overvåking); viktige private og offentlige tjenester (kredittscoring, prising av liv- og helseforsikring, offentlige ytelser, nødmeldinger); rettshåndhevelse; migrasjon, asyl og grensekontroll; rettspleie og demokratiske prosesser.

Unntaket i artikkel 6(3)

Et vedlegg III-system er ikke høyrisiko hvis det ikke utgjør en vesentlig risiko fordi det bare utfører en snever prosedyreoppgave, forbedrer resultatet av arbeid et menneske allerede har gjort, oppdager beslutningsmønstre uten å erstatte eller påvirke menneskets beslutning, eller utfører en forberedende oppgave. Dette gjelder aldri hvis systemet profilerer fysiske personer. Bruker du unntaket, må vurderingen dokumenteres før systemet bringes i omsetning, og systemet må likevel registreres i EUs database (artikkel 49(2)).

Åpenhet

Et system som samhandler med mennesker må si at det er en maskin, med mindre det er åpenbart. KI-generert lyd, bilde, video og tekst må merkes maskinlesbart. Deepfakes må merkes. Personer som utsettes for følelsesgjenkjenning eller biometrisk kategorisering må få beskjed (artikkel 50).

Minimal risiko

Ingen særlige regler utover frivillige atferdsnormer (artikkel 95).

4. Generelle KI-modeller

Kapittel V gir egne regler for selskapene som lager store generelle modeller. Alle tilbydere av slike modeller (artikkel 53) må føre teknisk dokumentasjon, gi informasjon til selskaper som bygger på modellen, ha en opphavsrettspolicy og publisere et sammendrag av treningsdataene.

Modeller trent med mer enn 10^25 FLOP antas å ha systemrisiko (artikkel 55). Tilbyderne må i tillegg gjøre modellevalueringer og adversarielle tester, vurdere og redusere systemrisiko, melde alvorlige hendelser til KI-kontoret og beskytte modellen med tilstrekkelig cybersikkerhet.

De fleste selskaper bruker slike modeller og lager dem ikke. Et selskap som bygger en generell modell inn i et HR-verktøy er tilbyder av et KI-system, ikke tilbyder av en generell modell.

5. Rollene

Pliktene avhenger av rollen din for hvert KI-system. Ett selskap kan ha ulike roller for ulike systemer.

• Tilbyder: utvikler KI-systemet, eller lar det utvikle, og bringer det i omsetning eller tar det i bruk under eget navn.
• Bruker (deployer): bruker et KI-system under eget ansvar, i yrkessammenheng.
• Importør: etablert i EU og bringer et system fra en tilbyder utenfor EU i omsetning i EU.
• Distributør: gjør et system tilgjengelig på markedet, og er ikke tilbyder eller importør.
• Autorisert representant: EU-basert representant for en tilbyder av høyrisikosystem utenfor EU (artikkel 22).
• Produktprodusent: bringer et høyrisiko KI-system i omsetning sammen med produktet sitt under eget navn (artikkel 25(3)).

Vær oppmerksom: artikkel 25

En bruker, distributør eller importør blir tilbyder av et høyrisikosystem hvis den setter eget navn eller varemerke på systemet, gjør en vesentlig endring eller endrer formålet slik at systemet blir høyrisiko. Alle tilbyderplikter går da over til dette selskapet.

6. Hva hver rolle må gjøre (høyrisiko)

Tilbyder (artikkel 9 til 21, 43 til 49, 72 og 73)

Drive et risikostyringssystem; oppfylle kvalitetskrav til data; skrive teknisk dokumentasjon før omsetning; sørge for at systemet logger hendelser; utforme for åpenhet og menneskelig tilsyn; gjøre det nøyaktig, robust og cybersikkert; drive et kvalitetsstyringssystem; oppbevare dokumentasjon i 10 år; iverksette korrigerende tiltak; samarbeide med myndighetene; gjøre samsvarsvurdering, utarbeide EU-samsvarserklæring, påføre CE-merking og registrere i EUs database; overvåke systemet etter salg og melde alvorlige hendelser.

Bruker (artikkel 26)

Bruke systemet etter bruksanvisningen; gi menneskelig tilsyn til kompetente personer; sikre at inndata under din kontroll er relevante og representative; overvåke driften og melde risiko og alvorlige hendelser; oppbevare loggene systemet genererer i minst seks måneder; informere arbeidstakerrepresentanter og berørte arbeidstakere før bruk på arbeidsplassen; registrere bruken hvis du er et offentlig organ; fortelle folk når et høyrisikosystem tar eller støtter beslutninger om dem.

Noen brukere må også gjøre en vurdering av konsekvenser for grunnleggende rettigheter (artikkel 27): offentlige organer, private selskaper som leverer offentlige tjenester og brukere av systemer for kredittscoring og prising av liv- eller helseforsikring.

Alle tilbydere og brukere må treffe tiltak for å støtte KI-kompetanse hos dem som arbeider med KI-systemer på deres vegne (artikkel 4). Etter endringen i 2026 handler det om å støtte, ikke å garantere et bestemt nivå.

7. Tidslinjen

Digital Omnibus for KI, forordning (EU) 2026/1744, endret datoene. Den trådte i kraft 27. juli 2026. Verktøyet viser hvilken versjon av teksten og hvilke plikter som gjelder på en gitt dato.

Datoer merket «må verifiseres» må kontrolleres mot Official Journal før de legges til grunn.

8. Sanksjoner (artikkel 99)

For små og mellomstore bedrifter og oppstartsbedrifter gjelder det laveste av de to beløpene. Tilbydere av generelle modeller kan ilegges opptil 15 millioner euro eller 3 % av Kommisjonen (artikkel 101).

9. Beslutningsrekkefølgen

Loven besvarer ett spørsmål i en fast rekkefølge. Verktøyet følger samme rekkefølge og viser veien det tok.

1. Er det et KI-system? (artikkel 3(1))
2. Omfattes det av forordningen? Sjekk unntakene i artikkel 2.
3. Hva er rollen din: tilbyder, bruker, importør, distributør, autorisert representant eller produsent? Bruk rolleskiftet i artikkel 25.
4. Er det forbudt? (artikkel 5)
5. Er det høyrisiko? Vedlegg I, deretter vedlegg III, deretter unntaket i artikkel 6(3).
6. Trengs det åpenhetstiltak? (artikkel 50)
7. Er det, eller inneholder det, en generell KI-modell, og er du tilbyder av den? (artikkel 53 og 55)
8. Hvilke plikter gjelder, og fra hvilken dato? Rolle, risikonivå og dato avgjør sammen.