Den europeiske forordningen om kunstig intelligens regulerer gradvis KI-systemer, også de som allerede er integrert i hverdagsverktøyene deres (Microsoft 365 Copilot, for eksempel). SYAGA hjelper dere med å kartlegge den reelle bruken deres, forstå forpliktelsene som gjelder dere, og bygge en handlingsplan, uten sjargong og uten oppgitte beløp som ikke er verifisert.
En europeisk forordning som allerede gjelder, ofte uten at virksomheten har lagt merke til det
Forordning (EU) 2024/1689 (kilde EUR-Lex) regulerer styringen av kunstig intelligens-systemer i Den europeiske union. Ikrafttredelsen skjer i påfølgende trinn avhengig av forpliktelsestype.
Funksjoner for kunstig intelligens er allerede integrert i kontorpakker som er mye brukt i næringslivet, som Microsoft 365 Copilot. Mange organisasjoner bruker dem uten formelt å ha kartlagt dette omfanget.
Mellom verktøy levert av programvareleverandører, interne utviklinger og automatiserte agenter distribuert på eksisterende plattformer, er det reelle omfanget av KI-systemer som brukes, sjelden dokumentert sentralt.
Som med all ny regulering, er det bedre å avklare eksponeringsomfanget tidlig enn å oppdage en forpliktelse under et tilsyn eller en forespørsel fra en kunde, et forsikringsselskap eller en partner.
En bistand i 5 trinn, kalibrert sammen med dere etter det reelle omfanget av KI-systemer deres
Forstå konteksten, verktøyene som allerede er på plass, og KI-prosjektene som pågår eller vurderes. Mål: avgrense et realistisk analyseomfang, ikke en teoretisk liste.
Leverandørverktøy (inkludert KI-funksjonene allerede inkludert i kontorpakkene deres), interne utviklinger, automatiseringer og agenter distribuert på eksisterende plattformer.
For hvert identifiserte system, bestemme i hvilken grad dere er leverandør eller ibruktaker i henhold til forordningen, og hvilke generelle forpliktelser som følger for organisasjonen deres.
En strukturert handlingsplan, prioritert etter risiko og innsats, uten løfte om juridisk resultat: sensitive punkter merkes for kontroll av en spesialisert juridisk rådgiver.
Overlevering av kartleggingsdokumentasjonen og handlingsplanen, med tid til dialog for å svare på spørsmål fra teamene deres.
Konkrete arbeidsdokumenter, tilpasset det reelle omfanget deres
Strukturert inventar over bruken identifisert under oppstart og kartlegging.
Et populærvitenskapelig dokument som knytter hvert identifisert system til hovedkategoriene av forpliktelser i forordningen, i et klart språk.
Et operativt veikart for organisasjonen deres.
AI Act analyseres ikke isolert: den spiller sammen med tekster dere allerede kjenner
Referansetekst for styring av kunstig intelligens-systemer i Den europeiske union. Kilde: EUR-Lex.
Så snart et KI-system behandler personopplysninger, gjelder GDPR-forpliktelsene (Forordning EU 2016/679) fortsatt parallelt med de spesifikke forpliktelsene i AI Act.
Kartleggingen av KI-bruk inngår naturlig i en bredere IT-styringsprosess (sikkerhetspolicy, risikostyring), spesielt dersom organisasjonen deres allerede er omfattet av NIS2 eller en ISO 27001-prosess.
Funksjoner som Copilot introduserer KI i verktøy som allerede brukes daglig. Bruken av dem faller inn under omfanget som skal kartlegges, selv uten et "synlig" KI-prosjekt.
Omfanget av en AI Act-diagnose varierer for mye etter antall og art av KI-systemer som brukes til å tilby en generisk pris. Vi utarbeider et tilbud etter oppstartsmøtet.
Omfang fastsatt sammen med dere allerede fra oppstartstrinnet
Det den europeiske KI-teksten faktisk sier, tilrettelagt på et enkelt språk. Hvert punkt viser til sin offisielle kilde (EU-kommisjonen, EUR-Lex). Informasjon innhentet 17.07.2026.
Det er en europeisk forordning ("AI Act", tekst 2024/1689), publisert 12. juli 2024
og allerede "i kraft". Den fastsetter felles regler for kunstig intelligens i hele Den
europeiske union, uansett sektor dere opererer i.
offisiell kilde →
Forordningen gjelder trinnvis: forbudene har vært aktive siden 2. februar 2025;
styringsreglene og forpliktelsene for generelle KI-modeller siden 2. august 2025; de
fleste øvrige forpliktelsene (inkludert "høyrisiko"-KI) trer i kraft 2. august 2026. Merk:
Kommisjonen foreslo 19. november 2025 å justere enkelte av disse fristene, så disse
datoene kan fortsatt endres noe.
offisiell kilde →
Teksten klassifiserer KI-bruk i 4 kategorier: uakseptabel risiko (forbudt), høy
risiko (strengt regulert), begrenset risiko (informasjonsplikt), og minimal risiko - de
aller fleste dagens bruksområder (for eksempel et anti-spam-filter eller et
videospill), som ikke berøres av nye regler.
offisiell kilde →
Enkelte bruksområder er nå ulovlige overalt i Europa: å manipulere eller lure folk
ved hjelp av KI, utnytte en persons sårbarheter, gi innbyggere en "sosial poengsum",
forutsi at en person kommer til å begå en forbrytelse ut fra profilen sin, samle inn
bilder i massevis fra nettet eller videoovervåking for å lage
ansiktsgjenkjenningsdatabaser, analysere følelser på arbeidsplassen eller på skolen,
eller bruke biometri for å gjette opprinnelse, religion eller legning.
offisiell kilde →
Eksempler nevnt av Kommisjonen: et verktøy som sorterer CV-er, som håndterer
kredittilgang, eller som fungerer som sikkerhetskomponent i transport. I så fall må man
vurdere og begrense risikoene, bruke data av god kvalitet, føre aktivitetslogger,
dokumentere systemet, informere brukerne klart, sørge for menneskelig tilsyn, og
garantere et godt nivå av robusthet og cybersikkerhet.
offisiell kilde →
For forbudt bruk: inntil 35 millioner euro eller 7 % av global omsetning (det
høyeste av de to beløpene). For andre brudd på forordningen: inntil 15 millioner eller
3 %. For å ha gitt villedende informasjon til myndighetene: inntil 7,5 millioner eller
1,5 %. Reduserte terskler er fastsatt for SMB-er og oppstartsselskaper.
offisiell kilde →
Et "europeisk KI-kontor" er opprettet innenfor EU-kommisjonen (over 125 ansatte) for
å sikre en enhetlig anvendelse av forordningen, støttet av en komité med én
representant fra hver medlemsstat. Hvert land må også utpeke sine egne nasjonale
tilsynsmyndigheter.
offisiell kilde →
Kommisjonen tilbyr en frivillig forpliktelse, "AI Pact", for å forberede samsvaret
før de lovpålagte fristene. Over 230 virksomheter (store konsern og SMB-er) har
allerede signert. Disse forpliktelsene er ikke juridisk bindende.
offisiell kilde →
I motsetning til GDPR eller NIS2 fastsetter ikke AI Act en enkel terskel basert på antall ansatte eller omsetning. Det som utløser forpliktelsene, er rollen deres (leverandør eller ibruktaker) og risikonivået til det aktuelle KI-systemet. Informasjon innhentet 18.07.2026, offisielle kilder EU-kommisjonen og EUR-Lex.
Den offisielle teksten er klar: forordningen gjelder "to both public and private
actors inside and outside the EU, who place an AI system or general-purpose AI model
on the EU market, or put an AI system into service or use it in the EU". I praksis kan
en virksomhet etablert utenfor EU omfattes så snart resultatet fra KI-systemet er ment
brukt i unionen.
offisiell kilde →
Den som utvikler KI-systemet eller bringer det ut på markedet. Eksempel gitt av
EU-kommisjonen: "a developer of a CV-screening tool" (utvikleren av et verktøy for
CV-sortering). Dette omfatter også leverandører av generelle KI-modeller.
offisiell kilde →
Den som bruker systemet i sin yrkesmessige virksomhet. Eksempel gitt av
Kommisjonen: "a bank using this screening tool" (banken som bruker
CV-sorteringsverktøyet). Rent personlig, ikke-yrkesmessig bruk er utelukket fra denne
definisjonen.
offisiell kilde →
offisiell kilde (EUR-Lex) → · offisiell kilde (FAQ fra Kommisjonen) →
SMB-er og oppstartsselskaper omfattes fortsatt av forordningen, men får
administrative bøter tilpasset sin størrelse, lettere krav til teknisk dokumentasjon
(jf. "AI omnibus"-avtalen), og "regulatoriske sandkasser" for å teste
KI-prosjektene sine under kontrollerte forhold.
offisiell kilde →
Forordningen klassifiserer all bruk i 4 risikonivåer (uakseptabel, høy, begrenset,
minimal). Det er dette nivået, bestemt av systemets art og bruksområde, som utløser
(eller ikke) forpliktelser, uavhengig av antall ansatte eller omsetningen til
organisasjonen som bruker det.
offisiell kilde →
Veiledende liste over de store bruksfamiliene som kan regnes som "høyrisiko", slik den presenteres av EU-kommisjonen:
Ingen juridisk sjargong: 8 konkrete spørsmål, ett enkelt svar, og den offisielle kilden (EU-kommisjonen, EUR-Lex) bak hvert svar.
Klikk på et spørsmål for å se svaret og kilden.
I de aller fleste tilfeller: nei, ikke av spesifikke forpliktelser. Å bruke en chatbot eller et kommersielt kopilot-verktøy, uten å integrere det i eller gjøre det til et eget produkt, forblir utenfor kjernen av forordningen så lenge det ikke dreier seg om et KI-system "med høy risiko". Dere forblir likevel "ibruktaker" av verktøyet: dere må bruke det i samsvar med bruksanvisningen.
Dette er en forpliktelse fastsatt i forordningen (artikkel 4, "KI-kompetanse"), som har vært gjeldende siden 2. februar 2025. Tanken er å gi teamene deres - de som leverer, bruker eller berøres av et KI-system - den nødvendige forståelsen til å ta informerte beslutninger overfor disse verktøyene. Kommisjonen har publisert en samling av praksiser ("living repository") for å hjelpe virksomheter med å organisere seg, uten å pålegge et bestemt opplæringsformat.
Ja, fra 2. august 2026 (artikkel 50 i forordningen). En person som samhandler med en chatbot, må kunne vite at hen snakker med en maskin. Innhold generert av KI (tekst, bilde, video) må forbli identifiserbart som sådan, og "deepfakes" eller KI-genererte tekster publisert om saker av offentlig interesse må merkes tydelig og synlig. Et frivillig praksiskodeks for merking av slikt innhold ble publisert 10. juni 2026 for å veilede virksomhetene.
Bare hvis dere er leverandør av et KI-system "med høy risiko": i så fall er registrering i en offentlig europeisk database obligatorisk. Offentlige myndigheter som tar i bruk et høyrisikosystem, må også registrere seg der, unntatt for kritisk infrastruktur. Vanlig bruk av kommersielle KI-verktøy omfattes ikke av dette registeret.
Nei. Forordningen fastsetter 3 nivåer av sanksjoner (inntil 35 mill. € eller 7 % av global omsetning for forbudt praksis; 15 mill. € eller 3 % for andre brudd; 7,5 mill. € eller 1 % for feilaktig informasjon til myndighetene), der det høyeste av de to beløpene alltid legges til grunn. For SMB-er og oppstartsselskaper er det motsatt: det er det LAVESTE beløpet i hvert nivå som gjelder, aldri det høyeste. Fullstendig og kildebelagt detalj i seksjonen "AI Act-sanksjonene, forklart enkelt".
Ja. Kommisjonen har opprettet en "AI Act Service Desk" som tilbyr en FAQ, et "Compliance Checker"-verktøy for å vurdere egne forpliktelser, en "AI Act Explorer" for å navigere i teksten artikkel for artikkel, og et skjema for å stille spørsmål direkte til et ekspertteam.
Ja, dette er typiske bruksområder klassifisert som "høyrisiko" av forordningen. Som ibruktaker må dere blant annet utpeke menneskelig tilsyn utført av personell som er "tilstrekkelig kompetent og bemyndiget", informere de ansatte FØR et slikt system tas i bruk på arbeidsplassen deres, og informere enhver person så snart en KI deltar i en beslutning som angår vedkommende (for eksempel sortering av en søknad). Forordningen krever også åpenhet, teknisk dokumentasjon og føring av logger for slike bruksområder.
Ja, det er nettopp formålet med "regulatoriske sandkasser" og testing under reelle forhold, som forordningen legger til rette for, spesielt tenkt for SMB-er og oppstartsselskaper. Et tilleggsforslag av 7. mai 2026 utvidet tilgangen til denne ordningen ytterligere: flere innovatører kan nå få tilgang, inkludert via en sandkasse på europeisk nivå, og kvalifiseringen er utvidet til "small mid-cap" (mindre mellomstore selskaper).
Den europeiske KI-forordningen trer ikke i kraft på én gang: den innføres trinnvis mellom 2024 og 2028. Her er datoene å merke seg, hva som allerede er aktivt og hva som kommer, hver med sin offisielle kilde. Informasjon innhentet 18.07.2026.
Den europeiske teksten om kunstig intelligens blir offisielt en gjeldende
forordning i hele Den europeiske union. Dette er utgangspunktet: alle påfølgende
frister regnes fra denne datoen.
offisiell kilde →
Manipulasjon av mennesker, sosial poengsum, masseovervåking med
ansiktsgjenkjenning... de farligste praksisene er nå forbudt i hele Europa (se
detaljer i seksjonen "regelverksovervåking" ovenfor). Reglene om KI-kompetanse i
organisasjoner gjelder også fra denne datoen.
offisiell kilde →
Tilsynsmyndighetene fastsatt i teksten (inkludert det europeiske KI-kontoret) er
offisielt på plass, og leverandører av store generative KI-modeller (type
samtaleassistent) må oppfylle krav til åpenhet og teknisk dokumentasjon.
offisiell kilde →
Dette er datoen den opprinnelige teksten fastsatte for generell anvendelse
(24 måneder etter ikrafttredelse): plikt til å informere brukerne om at de møter en
KI, og de fleste KI-systemer "med høy risiko" som brukes autonomt. En del av
høyrisikoreglene er imidlertid utsatt i mellomtiden (se de to neste trinnene).
offisiell kilde →
19. november 2025 foreslo EU-kommisjonen å forenkle og utsette enkelte frister i
forordningen, i påvente av at de nødvendige tekniske standardene blir klare.
Europaparlamentet og Rådet kom til en politisk enighet om denne teksten
7. mai 2026. Konkret konsekvens: to frister om "høy risiko" er utsatt (de to neste
trinnene nedenfor). På tidspunktet for denne siden er denne politiske enigheten
ennå ikke publisert i sin endelige form i EUs offisielle tidende.
offisiell kilde →
Ny frist for KI-systemer med høy risiko som blant annet brukes innen biometri,
kritisk infrastruktur, utdanning, sysselsetting, eller migrasjon/asyl/grensekontroll.
Disse forpliktelsene, som opprinnelig skulle gjelde fra august 2026, er utsatt til
denne datoen for å gi tid til at de tekniske standardene blir ferdigstilt.
offisiell kilde →
For KI-systemer som er sikkerhetskomponenter i produkter som allerede er
regulert på annet vis (heiser, leketøy, medisinsk utstyr...), var fristen
opprinnelig satt til august 2027 (36 måneder etter ikrafttredelse). Den er nå
utsatt til denne datoen.
offisiell kilde →
Forbudene og styringsreglene har vært aktive siden 2025; forordningens generelle frist inntreffer om ganske få dager (2. august 2026); og to familier av høyrisikosystemer (sensitive sektorer, regulerte produkter) får en tilleggsfrist fram til slutten av 2027 og deretter midten av 2028, i påvente av at de tekniske standardene blir klare.
Ingen panikk eller sjokktall: her er nøyaktig hva den europeiske teksten sier om bøtene, hvem som ilegger dem, og siden når de faktisk gjelder. Hvert beløp er hentet direkte fra forordningen (EU) 2024/1689, artikkel 99 til 101.
Det høyeste av de to beløpene legges til grunn. Gjelder utelukkende de 8 bruksområdene forbudt i artikkel 5: manipulasjon eller villedning ved hjelp av KI, utnyttelse av en persons sårbarheter, sosial poengsum, prediksjon av kriminell risiko basert utelukkende på profilering, masseinnsamling av ansikter for å bygge en ansiktsgjenkjenningsdatabase, følelsesgjenkjenning på arbeidsplassen eller skolen, biometrisk kategorisering av beskyttede kjennetegn, og biometrisk identifisering "i sanntid" utført av politiet i offentlige rom.
Forordning (EU) 2024/1689, artikkel 99 §3 →Dette er nivået som direkte berører flest bedrifter som bruker et KI-verktøy: forpliktelser for leverandører (artikkel 16), representanter (22), importører (23), distributører (24), ibruktakere, altså virksomheter som bruker et KI-system med høy risiko (artikkel 26), meldte organer, og åpenhetsforpliktelser overfor brukerne (artikkel 50 - for eksempel å opplyse om at en chatbot er en KI).
Forordning (EU) 2024/1689, artikkel 99 §4 →Gjelder når en virksomhet gir uriktig, ufullstendig eller villedende informasjon til et meldt organ eller en kompetent nasjonal myndighet som har fremsatt en offisiell forespørsel.
Forordning (EU) 2024/1689, artikkel 99 §5 →Uttrykkelig regel i teksten: for SMB-er og oppstartsselskaper er hver bot begrenset til det laveste av de to beløpene (prosentsats eller fast sum, aldri det høyeste). I praksis erstatter en bot basert på en prosentandel av deres faktiske omsetning nesten alltid taket i millioner av euro som er tenkt for de multinasjonale selskapene.
Forordning (EU) 2024/1689, artikkel 99 §6 →Teksten pålegger myndigheten å ta hensyn til, før den fastsetter et beløp: alvorlighetsgraden og varigheten av bruddet, antall berørte personer, virksomhetens størrelse og omsetning, om bruddet var forsettlig eller uaktsomt, graden av samarbeid med myndigheten, og tiltak som allerede er iverksatt for å rette opp problemet.
Forordning (EU) 2024/1689, artikkel 99 §7 →Hver medlemsstat må utpeke minst én nasjonal "markedstilsynsmyndighet", med ansvar for å håndheve forordningen på sitt territorium. På europeisk nivå koordinerer det europeiske KI-kontoret det samlede arbeidet. Per i dag finnes det ingen offisiell kilde som bekrefter navnet på den endelig utpekte myndigheten for Frankrike - vi finner den derfor ikke opp.
Forordning (EU) 2024/1689, artikkel 70 →Forbudene i artikkel 5 (og bøtene på inntil 35 mill. €) har vært gjeldende siden 2. februar 2025. Hele sanksjonsregimet (kapittel XII, artikkel 99) har vært i anvendelse siden 2. august 2025. Dette er altså ikke en fjern frist: rammeverket for bøtene er allerede aktivt i dag.
Forordning (EU) 2024/1689, artikkel 113 →Leverandører av store KI-modeller til generell bruk ("grunnmodellene" bak verktøy som KI-assistenter) omfattes av en egen ordning: det er EU-kommisjonen selv som kan ilegge dem en bot på inntil 15 mill. € eller 3 % av global omsetning. Denne ordningen retter seg mot utvikleren av modellen, ikke virksomheten som bruker den i det daglige.
Forordning (EU) 2024/1689, artikkel 101 →Forordningen fastsetter at hver medlemsstat årlig skal rapportere til Kommisjonen om bøtene som faktisk er ilagt. Ingen første utgave av denne rapporten er identifisert så langt i de offisielle kildene som er konsultert - vi siterer derfor ingen konkrete saker eller reelt ilagte beløp før de er offisielt publisert.
Forordning (EU) 2024/1689, artikkel 99 §11 →I Europa har hvert land sine egne myndigheter. Her finner dere, for de 30 landene i Det europeiske økonomiske samarbeidsområdet, personvernmyndigheten (deres GDPR-kontakt) og den nasjonale cybersikkerhetsmyndigheten. Hvert navn lenker til den offisielle nettsiden.
Kilder: offisielle nettsider til myndighetene og listen over EDPB-medlemmer (edpb.europa.eu), konsultert 18. juli 2026. Bekreftede personvernmyndigheter: 30/30. Bekreftede cybersikkerhetsmyndigheter: 28/30. Merknadene «à confirmer» angir en offisiell kilde som ennå ikke er stabilisert per i dag.
Skriv til oss for en innledende samtale og et skreddersydd tilbud.
Gratis: din score + dine avvik. Den detaljerte rapporten og attesten: 499 EUR eks. mva, kun hvis du selv velger det.
contact@syaga.eu