Ny KI-lov på vei: Start forberedelsene allerede nå

KI-loven forventes å tre i kraft i Norge fra sensommeren 2026. Selv om det kan virke langt frem i tid, lønner det seg å begynne forberedelsene allerede nå. Loven vil bli mye omtalt fremover, og alle virksomheter som bruker kunstig intelligens må forholde seg til reglene på en eller annen måte. Derfor er det viktig å få oversikt over hvilke KI-systemer din virksomhet bruker i dag, og hvilke som kan bli aktuelle i fremtiden. Samtidig bør det tidlig etableres rutiner for ansvarlig bruk – både på organisasjonsnivå og for den enkelte ansatte.

Mange lurer på om loven vil gjøre det vanskeligere å ta i bruk KI. For de fleste virksomheter vil svaret være nei. De strengeste kravene retter seg mot leverandører av avanserte og høyrisiko utsatte systemer, mens virksomheter som bruker KI i daglig drift, stort sett vil oppleve endringene som håndterbare.

Hvordan KI-systemer deles inn etter risiko

AI Act opererer med en risikobasert tilnærming og deler KI-systemer inn i tre hovedkategorier:

• Forbudte KI-systemer: Systemer som utgjør uakseptabel risiko for menneskerettigheter eller sikkerhet, for eksempel sosial scoring av borgere.
• Høyrisiko KI-systemer: Systemer brukt i kritiske områder som rekruttering, utdanning, helse, rettsvesen og offentlig forvaltning. Disse reguleres strengt.
• Lavrisiko eller begrenset risiko: Systemer som de fleste virksomheter allerede benytter, som tekstgenerering, chatboter, analyseverktøy eller beslutningsstøtte i ikke-kritiske prosesser. Her er kravene mindre omfattende.

I tillegg finnes generelle KI-systemer (general purpose AI), som kan brukes på tvers av mange områder. Et kjent eksempel er Open AI sine GPT-4 og GPT-5, selve "motoren" bak ChatGPT og andre KI-løsninger. Disse får egne krav til transparens og dokumentasjon. For de mest kraftfulle systemene – såkalte high-impact systems – vil det i tillegg stilles krav til testing, risikorapportering og kontinuerlig risikohåndtering.

De fleste KI-systemer utgjør imidlertid liten eller ingen risiko, og forordningen stiller da ingen krav til brukerne.

Hvem har ansvar for hva – leverandør og bruker

KI er ikke ufeilbarlig, og loven krever at både leverandører og brukere tar ansvar for trygg og etisk bruk.

AI Act legger hovedansvaret på leverandørene, altså de som utvikler eller selger KI-systemer. De må sørge for dokumentasjon, testing, kontinuerlig oppfølging og risikovurdering, samt åpenhet om hvordan systemet fungerer. For generelle KI-systemer stilles det også krav om å beskytte opphavsrett og redegjøre for hvilke data som er brukt til trening.

Også brukerne, altså virksomhetene som tar i bruk KI, har et ansvar for å unngå feil bruk og uheldige resultater. Kanskje dette gjelder deg og din virksomhet? Loven krever at alle som bruker KI tar ansvar for trygg og etisk bruk. Det vil si at man må sette seg inn i hvordan systemet fungerer og bruke det kun til det formålet det er designet for. Resultatene bør alltid vurderes kritisk og suppleres med menneskelig skjønn. Virksomheten bør ha rutiner for å følge med på hvordan systemet fungerer i praksis, slik at eventuelle feil eller utilsiktede konsekvenser kan fanges opp og håndteres tidlig.

Hva betyr den nye loven for din virksomhet?

For de fleste virksomheter vil den nye KI-loven ikke innebære dramatiske endringer. Dette gjelder blant annet brukere av Lawai, som er klassifisert som et lavrisikosystem, hvilket betyr at du som bruker i praksis får få nye forpliktelser. Konsekvensene av den nye loven blir derfor begrensede, og din virksomhets daglige bruk av systemet vil påvirkes i liten grad. Likevel er det klokt å:

• Ha oversikt over hvilke KI-systemer som brukes: Kartlegg alle verktøy som brukes i virksomheten, og identifiser hvilke som er høyrisikoutsatte og hvilke som brukes i daglig drift.
• Velg en leverandør du kan stole på: Sørg for at KI-verktøy kjøpes fra leverandører som prioriterer datasikkerhet, pålitelighet og ansvarlig bruk, slik at systemene fungerer trygt i virksomheten.
• Ha en enkel policy for ansvarlig og etisk bruk av KI: Sett tydelige retningslinjer for hvordan KI skal brukes, hvilke formål som er tillatt, og hvem ansatte kan forhøre seg med for etisk og forsvarlig bruk.
• Gi ansatte opplæring i bevisst og trygg bruk av KI: Gi alle ansatte forståelse for både muligheter og begrensninger ved KI, slik at systemene brukes på en trygg måte.

For arbeidsgivere kan det være nyttig å gå et steg videre og vurdere hvordan KI allerede brukes i organisasjonen, og på hvilke områder teknologien kan bli viktig i fremtiden. Kanskje oppdager dere at dere benytter eller har behov for andre KI-verktøy som ikke faller inn under lavrisikokategorien? Ved å etablere rutiner for dokumentasjon, rollefordeling og ansvar, blir det enklere å møte nye krav når de trer i kraft.

Arbeidsgivere bør også tenke på hvordan de kan skape en kultur der KI brukes som et støtteverktøy – ikke som en erstatning for kritisk vurdering og faglig skjønn. Refleksjon over spørsmål som: Hva slags bedrift ønsker vi å være, og hvordan kan vi bruke KI på en trygg og etisk måte? vil hjelpe både ledelse og ansatte til å forstå og integrere lovens intensjon i praksis.

Selv om forpliktelsene i AI Act og den norske KI-loven kan virke overveldende, samsvarer mange av kravene allerede med anbefalt praksis for trygg utvikling og bruk av KI. Det viktigste er å fortsette å bruke KI på en bevisst måte, med kunnskap om hvordan systemet fungerer, og i tråd med organisasjonens etiske standarder. Selv om loven får mye oppmerksomhet, er det ingen dramatisk endring i sikte – KI-systemer som Lawai forblir trygge, transparente og enkle å bruke både i dag og fremover.

Hvis du er interessert i AI Act og KI-loven lønner det seg å følge med videre.

Hvis du ikke har gjort det enda, kan du melde deg på vårt nettkurs om KI. Lær hvordan kunstig intelligens kan hjelpe deg i arbeidshverdagen din gjennom en serie e-poster: Klikk her for å melde deg på