KI-forordningen fra EU: Hva den betyr for digitale opplevelser

Europaparlaments- og rådsforordning om kunstig intelligens (forordning (EU) 2024/1689, her omtalt som KI-forordningen) etablerer et omfattende, risikobasert rammeverk for utvikling, tilbud og bruk av kunstig intelligens (KI).

Forordningen ble publisert 12. juli 2024 og trådte i kraft 1. august 2024, med trinnvise forpliktelser gjennom 2025 og 2026. KI-forordningens digitale samleforordning (forordning (EU) 2026/1744) trådte i kraft 27. juli 2026 og endret flere krav, deriblant anvendelsesdatoene for høyrisiko-KI.

For fagfolk som arbeider med digitale brukeropplevelser, er det en prioritet å skille mellom regler som allerede gjelder – særlig forbud, KI-forståelse, forpliktelser knyttet til generell KI og åpenhet – og høyrisikokrav med senere frister. Denne artikkelen gjenspeiler EU-rammeverket per 23. oktober 2026.

Regler med global innvirkning

KI-forordningen kan gjelde for organisasjoner utenfor EU, inkludert i USA, som plasserer KI-systemer eller generelle KI-modeller på EU-markedet. Den dekker også leverandører og brukere utenfor EU dersom resultatene fra deres KI-systemer brukes i EU, med forbehold om forordningens virkeområde og unntak.

En fysisk tilstedeværelse i Europa er derfor ikke alltid nødvendig for at det skal oppstå forpliktelser. Vurder din rolle, tiltenkte markeder og hvordan resultatene brukes, fremfor å anta at alle utenlandske organisasjoner – eller all KI-bruk som berører en EU-borger – automatisk faller inn under virkeområdet.

Definisjon av et KI-system

Artikkel 3 nr. 1 definerer et KI-system ut fra dets funksjonalitet, herunder autonomi og slutning, snarere enn markedsføringsmerkelappen. Definisjonen kan oppsummeres slik:

Et KI-system bruker maskinbasert slutning for å omdanne inndata til utdata, som innhold, prognoser, anbefalinger eller beslutninger, i tråd med eksplisitte eller implisitte mål. Det opererer med varierende grad av autonomi, kan tilpasse seg etter distribusjon og kan påvirke fysiske eller virtuelle miljøer.

Dette er en oppsummering og ikke en ordrett juridisk definisjon. Vurder om hvert enkelt digitalt verktøy oppfyller hele definisjonen, og undersøk deretter det tiltenkte formålet og organisasjonens rolle for å fastslå hvilke forpliktelser som gjelder.

Kategorisering av risikoer i KI-systemer

Forordningens tilnærming forklares gjerne gjennom fire risikokategorier. Disse utgjør et nyttig utgangspunkt, men åpenhetsplikter og andre forpliktelser kan overlappe med krav til høyrisiko:

1. Uakseptabel risiko: Spesifikt forbudt praksis, inkludert visse manipulerende bruksområder, sosial kredittering og følelsesgjenkjenning på arbeidsplasser eller utdanningsinstitusjoner, med forbehold om definerte unntak. De opprinnelige forbudene har gilt siden 2. februar 2025.
2. Høy risiko: Visse bruksområder innen for eksempel rekruttering, utdanning og tilgang til essensielle tjenester, i tillegg til kvalifiserende KI-systemer i regulerte produkter. Klassifiseringen avhenger av lovbestemte kriterier, tiltenkt formål og relevante unntak.
3. Begrenset risiko: Brukes ofte om systemer som er underlagt åpenhetsplikter, som chatbots og visse generative KI-systemer. Artikkel 50 spesifiserer hvilke opplysnings- og maskinlesbare merkekrav som gjelder.
4. Minimal risiko: Mange rutinepregede applikasjoner, som vanlig søppelpostfilter, har ingen ekstra systemspesifikke krav. Gjeldende plikter for KI-forståelse og annet regelverk, herunder personvern- og forbrukervernregler, må fremdeles tas i betraktning.

En assistent for innholdsutforming er ikke automatisk forbundet med høy risiko bare fordi den bruker en kraftig modell. Dens funksjon og tiltenkte bruk er avgjørende: Et verktøy som hjelper til med å skrive nettstedtekster, reiser andre spørsmål enn et verktøy som siler jobbsøkere eller vurderer rett til offentlige stønader.

Se også: KI for innholdsredaktører: Slik skaper du ekte kvalitetsinnhold »

Forpliktelser for leverandører og brukere

En leverandør utvikler et KI-system, eller får det utviklet, og plasserer det på markedet eller tar det i bruk under eget navn eller varemerke. En bruker (deployer) benytter et system under sitt ansvar for profesjonelle formål. En organisasjon kan ha begge rollene. Ansvarsområdene omfatter:

• Høyrisiko-KI-systemer: Når de relevante kravene gjelder, må leverandører oppfylle forpliktelser knyttet til risiko- og kvalitetsforvaltning, dokumentasjon, samsvarsvurdering og systemytelse. Brukere må følge instruksjoner, tildele kompetent menneskelig oppsyn, overvåke driften, oppbevare relevante logger og håndtere risikoer og hendelser.
• KI-systemer med begrenset risiko: Artikkel 50 pålegger leverandører og brukere ulike åpenhetsplikter. Leverandører må legge til rette for påkrevde interaksjonsmeldinger og maskinlesbar merking; brukere må opplyse om deepfakes og visse KI-genererte tekster av allmenn interesse, med forbehold om gjeldende unntak.

For redaksjonelle team betyr dette å avklare hvem som leverer den enkelte KI-funksjonen, hvem som publiserer resultatene, og hvem som har ansvaret for merking og gjennomgang. Å bruke en tredjepartstjeneste fjerner ikke organisasjonens egne forpliktelser som bruker.

Generell KI og systemiske risikoer

Reglene for generelle KI-modeller (GPAI-modeller) gjelder for modellleverandører, fremfor automatisk for hver enkelt organisasjon som bruker en modell via et API eller CMS. Forpliktelsene begynte å gjelde 2. august 2025 for modeller som nylig ble plassert på markedet. De omfatter:

• Å vedlikeholde teknisk dokumentasjon og levere informasjon til nedstrøms systemleverandører om modellens egenskaper og begrensninger, med forbehold om gjeldende unntak.
• Å implementere en retningslinje for å overholde EUs opphavsrettslovgivning og publisere et tilstrekkelig detaljert sammendrag av innholdet som er brukt til opplæring.
• For modeller med systemisk risiko, å gjennomføre modelevalueringer, risikovurdering og risikoreduserende tiltak, rapportere alvorlige hendelser og sørge for tilstrekkelig cybersikkerhetsvern.

Den frivillige adferdskoden for generell KI ble publisert 10. juli 2025 og godkjent av EU-kommisjonen og KI-rådet 1. august 2025 som et middel til å påvise etterlevelse. Kommisjonens håndhevingsmyndighet, inkludert bøter, gjelder fra 2. august 2026. Leverandører av modeller som ble plassert på markedet før 2. august 2025, har frist til 2. august 2027 med å etterkomme reglene.

Tidslinje for etterlevelse

Milepælene for 2025–2026 bør nå behandles som operasjonelle krav, snarere enn fjerne forberedelsesdatoer. Etter endringene i juli 2026 er de sentrale milepælene:

• 2. februar 2025: Generelle bestemmelser, inkludert KI-forståelse, og den opprinnelige forbudte praksisen ble gjeldende. Artikkel 4, som endret i juli 2026, krever tiltak som støtter de ansattes KI-forståelse uten å garantere et bestemt nivå for den enkelte.
• 2. august 2025: Forpliktelser og styringsbestemmelser for generelle KI-modeller ble gjeldende, sammen med krav om at medlemsstatene skal utpeke kompetente myndigheter og fastsette nasjonale sanksjonsregler.
• 2. august 2026: De fleste gjenværende bestemmelsene ble gjeldende, inkludert åpenhetspliktene i artikkel 50 og håndhevingsmyndighet for gjeldende regler. Endringene i juli 2026 utsatte de hovedsakelige høyrisikokravene, slik at dette ikke var en universell frist for høyrisikosamsvar.

Neste milepæl er 2. desember 2026: Leverandører av generative KI-systemer som ble plassert på markedet før 2. august 2026, må overholde kravene til maskinlesbar merking i artikkel 50 nr. 2, og nye forbud knyttet til ufrivillig seksuelt eller intimt innhold og materiale som viser overgrep mot barn, trer i kraft. De viktigste høyrisikokravene gjelder fra 2. desember 2027 for systemer i vedlegg III og 2. august 2028 for kvalifiserende produktrelaterte systemer i vedlegg I, med forbehold om overgangsordninger for eksisterende systemer.

Konsekvenser for digitale brukeropplevelser

Den klareste umiddelbare konsekvensen for mange nettsteder, apper og CMS-arbeidsflyter er åpenhet. Siden 2. august 2026 må team vurdere hvilke plikter i artikkel 50 som gjelder for deres spesifikke systemer og innhold:

• Brukeråpenhet: Leverandører må sørge for at personer blir informert når de samhandler direkte med KI, for eksempel en chatbot eller en kundevendt agent, med mindre dette allerede er åpenbart i sammenhengen. Påkrevde meldinger må være tydelige, tilgjengelige og gis ved den første interaksjonen.
• Innholdsintegritet: Leverandører av generative KI-systemer må muliggjøre maskinlesbar merking og sporbarhet innenfor virkeområdet og de tekniske kvalifikasjonene i artikkel 50 nr. 2. Standard redigeringshjelp kan falle utenfor merkekorpset. Utgivere som bruker KI, må opplyse om deepfakes og relevant KI-generert eller manipulert tekst av allmenn interesse. Forpliktelser knyttet til opphavsrett og personvern forblir også relevante.
• Systemdesign: Bygg inn hensiktsmessige opplysninger, opprinnelse, gjennomgang og loggføring i arbeidsflytene dine. Sjekk om innholdsomforminger bevarer den påkrevde merkingen, og om publiseringsprosessene støtter eventuelle nødvendige synlige eller hørbare merknader.

Forordningen krever ikke en synlig etikett på hver eneste KI-assisterte artikkel. For tekst som publiseres for å informere allmennheten om saker av allmenn interesse, krever unntaket fra åpenhetsplikten menneskelig gjennomgang eller redaksjonell kontroll, samt en person eller organisasjon som har det redaksjonelle ansvaret. Overfladiske stave- eller grammatikkontroller alene er ikke tilstrekkelig. Dette unntaket gjelder utgiverens plikt til tekstoplysning; det fjerner ikke leverandørens separate, tekniske merkekrav.

Skritt for å forberede etterlevelse

1. Gjennomgå dine KI-systemer: Lag en oversikt over verktøy og bruksområder, vurder virkeområde og tiltenkt formål, og finn ut om du opptrer som leverandør, bruker eller begge deler. Sjekk forbudt bruk separat fra høyrisikoklassifisering.
2. Oppdater dokumentasjonen: Hold registrene iproporsjon med dine forpliktelser, inkludert leverandørinformasjon, systemformål, gjennomgangsprosedyrer og ansvarsfordeling. Skaff den tekniske informasjonen og samsvarsinformasjonen som kreves for din rolle.
3. Styrk åpenheten: Sjekk interaksjonsmeldinger, deepfake-opplysninger, gjennomgang av tekster av allmenn interesse og maskinlesbar merking. Skill mellom forpliktelser som allerede gjelder, og overgangen 2. desember 2026 for visse eksisterende generative KI-systemer.
4. Utfør konsekvensutredninger: Avgjør om din distribusjon krever en vurdering av konsekvensene for grunnleggende rettigheter i henhold til artikkel 27, eller en personvernkonsekvensvurdering (DPIA) under personvernforordningen (GDPR). Disse pliktene utløses av ulike forhold; ingen av dem kreves automatisk for hvert enkelt KI-verktøy.
5. Tren opp teamene dine: Støtt opp om KI-forståelse gjennom opplæring som er tilpasset personരുടെ roller, erfaring og bruksområder. Dekk modellbegrensninger, ansvarlig datahåndtering, meningsfull redaksjonell gjennomgang og eskalering når resultater eller systemadferd gir grunn til bekymring.

Prioriter reglene som allerede gjelder, ta hånd om den gjenstående overgangen i 2026 der det er relevant, og planlegg separat for fremtidige høyrisikofrister. Behandle etterlevelse som et pågående ansvar i takt med at verktøy, bruksområder og retningslinjer utvikler seg.

Først publisert 2. oktober 2024, oppdatert 23. oktober 2026.