EUs AI-forordning er den første store loven i verden som regulerer kunstig intelligens. Den er vedtatt i EU og innføres i Norge gjennom EØS-avtalen. For de fleste norske bedrifter er den mindre skummel enn ryktet, men den stiller noen krav du bør kjenne til allerede nå.
Hva forordningen faktisk regulerer
Forordningen sorterer AI-bruk etter risiko, ikke etter teknologi. Jo større skade et system kan gjøre på mennesker og rettigheter, desto strengere krav. Øverst ligger praksis som er helt forbudt, for eksempel sosial poengsetting av innbyggere og systemer som manipulerer folk på skadelige måter. Deretter kommer høyrisikosystemer, som AI brukt i rekruttering, kredittvurdering og kritisk infrastruktur. Disse får omfattende krav til dokumentasjon, testing og menneskelig kontroll. Nederst ligger alt det vanlige: tekstverktøy, oppsummering, kundeservice, interne assistenter. Der er kravene få og håndterbare.
Det som treffer vanlige bedrifter
Bruker bedriften din AI slik de fleste gjør, altså til tekst, analyse, kundedialog og automatisering av kontorarbeid, er det i hovedsak tre ting som gjelder. For det første åpenhet: mennesker skal vite når de snakker med en maskin, og AI-generert innhold skal kunne identifiseres som det i en del sammenhenger. For det andre kompetanse: forordningen krever at ansatte som bruker AI-systemer har tilstrekkelig opplæring til å bruke dem forsvarlig. For det tredje oversikt: du bør kunne svare på hvilke AI-systemer bedriften bruker og til hva. Det er vanskelig å etterleve noe som helst hvis ingen vet hva som er i bruk.
Merk at grensen mot høyrisiko går ved hva du bruker systemet til, ikke hvor avansert det er. Samme språkmodell er lavrisiko når den oppsummerer møtereferater og høyrisiko når den siler jobbsøkere. Skal du bruke AI i beslutninger som påvirker enkeltpersoners rettigheter, økonomi eller arbeidsforhold, bør du stoppe opp og gjøre en skikkelig vurdering først.
Tidslinjen, kort fortalt
I EU trådte forordningen i kraft i august 2024, og kravene fases inn trinnvis frem mot 2027. Forbudene gjelder allerede, og hoveddelen av kravene gjelder i EU fra august 2026. For Norge kommer reglene gjennom EØS-prosessen, med egen norsk gjennomføringslov. Det gir litt ekstra tid på papiret, men i praksis bør du forholde deg til EU-tidslinjen: norske bedrifter som selger til eller samarbeider med EU-land vil møte kravene gjennom kundene sine uansett, og Datatilsynet har lenge anbefalt å forberede seg som om reglene gjaldt.
GDPR gjelder fortsatt, og mest
Det viktigste regelverket for norsk AI-bruk i dag er fortsatt personvernforordningen. Legger du kundedata eller ansattdata inn i et AI-verktøy, er det en behandling av personopplysninger på linje med all annen behandling: du trenger rettsgrunnlag, databehandleravtale med leverandøren og kontroll på hvor dataene lagres. De fleste AI-tabbene vi ser i norske bedrifter er GDPR-tabber, ikke AI Act-tabber. Typisk: en ansatt limer et kundedokument inn i et gratisverktøy uten avtale, og dataene har forlatt Europa før lunsj.
Fire ting du bør gjøre nå
- Lag en oversikt over hvilke AI-verktøy som er i bruk i bedriften, også de ansatte har tatt i bruk på egen hånd.
- Vedta enkle kjøreregler: hvilke data som kan legges inn i hvilke verktøy, og hva som aldri skal deles.
- Sørg for grunnleggende opplæring, slik at alle som bruker verktøyene forstår styrker, svakheter og regler.
- Sjekk at dere har databehandleravtale med AI-leverandørene som behandler personopplysninger for dere.
Gjør du disse fire tingene, har du dekket det aller meste av det en vanlig norsk bedrift trenger i dag, og du står godt rustet når resten av kravene fases inn. Regelverket er ikke en grunn til å vente med AI. Det er en grunn til å ta det i bruk ryddig.