I vår sa overskriftene at EUs AI-forordning ville treffe «alle bedrifter» fra august. Det stemmer ikke lenger — og det stemte egentlig ikke da heller.
- juli ble forordning (EU) 2026/1744, kalt Digital Omnibus on AI, publisert i
EU-tidende, og den trådte i kraft 27. juli. Den flytter store deler av AI Act langt ut i tid. Men den delen som faktisk berører en vanlig norsk bedrift — at folk skal vite når de snakker med en maskin, og at syntetisk innhold skal kunne kjennes igjen som syntetisk — ble ikke rørt. Den gjelder fra 2. august 2026.
Her er hva som ble utsatt, hva som står, og hva du bør gjøre med det denne uka.
Det som ble utsatt
Hovedgrepet i den nye forordningen er at pliktene for såkalte høyrisiko-systemer skyves:
- Frittstående høyrisiko-systemer (vedlegg III — for eksempel KI brukt i
ansettelser, utdanning eller kredittvurdering) er flyttet fra 2. august 2026 til 2. desember 2027.
- Høyrisiko-KI innebygd i regulerte produkter (vedlegg I — medisinsk utstyr,
maskiner, leketøy) er flyttet helt til 2. august 2028.
- Fristen for at medlemsland skal etablere regulatoriske sandkasser er skjøvet
til 2. august 2027.
Det er en utsettelse på rundt seksten måneder for den mest krevende delen av regelverket. Advokatfirmaet Lewis Silkin oppsummerer endringene i sin gjennomgang av ikrafttredelsen, og Freshfields går gjennom det samme med flere detaljer her.
For de fleste norske små og mellomstore bedrifter er dette lite dramatisk, av en enkel grunn: dere driver sjelden med høyrisiko-KI. En nettside med chat, et nyhetsbrev skrevet med AI-hjelp eller et bilde generert til en kampanje faller ikke i den kategorien.
Det som gjelder fra 2. august
Artikkel 50 — åpenhetskravene — ble ikke utsatt. EU-kommisjonens egen FAQ om artikkel 50, sist oppdatert 24. juli, er tydelig på hva som gjelder fra 2. august:
- Folk skal vite at de snakker med en KI. Har du en KI-drevet chat på
nettsiden, skal brukeren få vite det — med mindre det er åpenbart.
- Syntetisk innhold skal merkes maskinlesbart. Lyd, bilde, video og tekst
generert av KI skal ha en teknisk markering som gjør det mulig å oppdage at det er maskinlaget. Denne plikten ligger hos dem som leverer KI-systemene — OpenAI, Google, Adobe og de andre — ikke hos deg som bruker verktøyet.
- Deepfakes skal opplyses om. Bruker du KI-generert eller manipulert
materiale som fremstår ekte, skal det opplyses tydelig.
- Følelsesgjenkjenning og biometrisk kategorisering skal opplyses om av den
som tar systemet i bruk.
Bøtenivået for brudd på artikkel 50 er opptil 15 millioner euro eller 3 prosent av global omsetning, avhengig av hva som er høyest. Tallet er skremmende og lite relevant for en bedrift med ti ansatte — men det forteller noe om hvor alvorlig EU mener dette er.
En viktig overgangsregel: KI-systemer som allerede var på markedet før 2. august har frist til 2. desember 2026 på den maskinlesbare merkingen. Og innhold som er laget før 2. august trenger ikke merkes i etterkant.
De tre unntakene som gjør dette overkommelig
Kommisjonens veiledning er langt mer pragmatisk enn overskriftene skulle tilsi. Tre unntak er verdt å kjenne:
Åpenbar interaksjon. Er det opplagt for en normalt oppmerksom person at de snakker med en maskin, trenger du ikke si det. En chat som heter «AI-assistent» og oppfører seg deretter, er allerede der.
Redaksjonell kontroll. KI-generert tekst om spørsmål av allmenn interesse slipper merkeplikten dersom den har vært gjennom reell menneskelig gjennomgang og noen står redaksjonelt ansvarlig. Kommisjonen presiserer at dette betyr faktisk vurdering av kvalifiserte folk — ikke en rask stavekontroll.
Vanlig redigering. Assisterende redigeringsfunksjoner — autokorrektur, lysjustering, støyfjerning — utløser ikke merkeplikt.
Med andre ord: bruker du KI som et verktøy i en prosess der et menneske fortsatt godkjenner det som går ut, er du i en helt annen situasjon enn den som automatpubliserer rå maskinoutput.
Kommisjonen har også laget en frivillig atferdskodeks for åpenhet om KI-generert innhold, publisert 10. juni, med et standardisert ikonsett for merking. Rundt 190 selskaper og organisasjoner hadde sluttet seg til den ved utgangen av juli.
Gjelder dette i Norge? Ikke ennå — og det er ikke poenget
Her er nyansen norske bedrifter må ha med seg: KI-forordningen er EØS-relevant, men den er ikke innlemmet i EØS-avtalen ennå. Innlemmelsen krever forhandlinger mellom Norge, Island, Liechtenstein og EU om eventuelle EØS-tilpasninger, og de tar lengre tid enn planlagt. Den norske KI-loven var på høring sommeren 2025 med frist 30. september, men ikrafttredelsesdatoen er fortsatt uavklart. Nkom er utpekt som koordinerende tilsynsmyndighet og har lagt ut bakgrunn og status på sine sider.
Du er altså ikke rettslig bundet av AI Act i Norge 2. august. Men tre ting gjør at det likevel er verdt en gjennomgang nå:
- Selger du til kunder i EU, eller har du EU-brukere på nettsiden, treffer
EU-datoen deg direkte.
- Verktøyene du bruker — ChatGPT, Gemini, Canva, annonseplattformer — tilpasser
seg EU-kravene uansett. Endringene kommer inn i arbeidsflyten din enten du har lest forordningen eller ikke.
- Markedsføringsloven forbyr allerede villedende framstilling. En chatbot som
utgir seg for å være en ansatt, eller et «kundebilde» som er generert, er problematisk i Norge i dag — uavhengig av AI Act.
Google merket annonsene sine. Det holder ikke for deg
- juli åpnet Google et «Hvordan ble denne annonsen laget»-panel i My Ad Center,
globalt på tvers av Søk, YouTube og Discover. Annonser laget med Googles egne KI-verktøy merkes automatisk; annonser laget med andre verktøy hviler på at annonsøren selv oppgir det (PPC Land).
Det interessante er en setning i Googles egen hjelpetekst: merkeinnstillingen garanterer ikke at du overholder bestemte regelverk. Det er presist sagt, og det er poenget i et nøtteskall. Plattformene løser sin del. Ansvaret for det du publiserer, ligger hos deg.
Fem grep før helgen
- Sjekk chatten. Har nettsiden en KI-drevet chat, skriv én setning i
velkomstmeldingen om at det er en KI-assistent. Ti minutters jobb.
- Se over bildene. Er noen av bildene på nettsiden KI-genererte og
framstiller mennesker eller situasjoner som ekte? Enten merk dem, eller bytt dem ut med ekte bilder. Ekte bilder gjør uansett mer for tilliten.
- Skriv ned hvem som godkjenner. Ett avsnitt om hvordan dere bruker KI og
hvem som ser gjennom innhold før publisering. Det er ikke et compliance-dokument, det er en arbeidsbeskrivelse — og det er selve unntaket for redaksjonell kontroll.
- La høyrisiko-panikken ligge. Med mindre dere bruker KI til å sile
jobbsøkere, vurdere kredittverdighet eller styre regulert utstyr, gjelder ikke de tunge kravene dere — og de kommer uansett tidligst i desember 2027.
- Ta datoen som anledning, ikke som frist. Åpenhet om KI-bruk koster lite
og signaliserer kontroll. Kunder som forstår hvordan du jobber, stoler mer på deg, ikke mindre.
Vi skrev i juli en gjennomgang av selve artikkel 50 med en praktisk sjekkliste. Den står seg fortsatt på kravene — men tidslinjen for høyrisiko og for norsk gjennomføring er endret siden den ble skrevet, og denne artikkelen er den oppdaterte versjonen.
Er du usikker på hvordan bedriften din framstår utad — på nettsiden, i chat, i innhold og i AI-søk — kan vi ta en gjennomgang sammen. Start med en gratis synlighetssjekk, så ser vi på det praktiske.