KI I BANK, FORSIKRING OG KAPITALFORVALTNING

AI i finanssektoren.

Q: Hva er DORA og hva betyr det for norske finansforetak?

DORA (Digital Operational Resilience Act, forordning EU 2022/2554) trådte i kraft i Norge 1. juli 2025 gjennom DORA-loven og DORA-forskriften. Loven krever at finansforetak har robuste prosedyrer for IKT-risikostyring, hendelsesrapportering, digital motstandsdyktighetstesting og oppfølging av IKT-leverandører. De fleste foretak under Finanstilsynets tilsyn er omfattet.

Q: Hva advarer Finanstilsynet mot når det gjelder KI og investeringer?

Finanstilsynet advarer, i fellesskap med ESMA, mot å bruke generelle KI-verktøy til finansielle investeringsbeslutninger. KI-verktøy er ikke spesielt utformet for å gi investeringsråd, opererer utenfor finansiell regulering og gir ingen forbrukerbeskyttelse. Finanstilsynet påser at disse verktøyene ikke kan forutsi markedsutviklingen og at selv utviklerne ikke fullt ut forstår systemenes adferd.

Norsk finanssektor tar i bruk kunstig intelligens i hele verdikjeden — fra svindeldeteksjon og hvitvaskingsbekjempelse til kredittvurdering og kundeservice. Samtidig skjerpes regulatoriske krav kraftig: DORA-loven trådte i kraft 1. juli 2025, KI-forordningen klassifiserer kredittvurderingssystemer som høyrisiko, og Finanstilsynet advarer mot ukritisk bruk av generative KI-verktøy til investeringsrådgivning.

Aktører og tilsyn.

Finanstilsynet er det sentrale tilsynsorganet for norsk finanssektor og har tatt en aktiv rolle overfor KI-spørsmål. Tilsynet driver en regulatorisk sandkasse for fintech der blant annet SpareBank 1 SR-Bank i 2020 testet KI-drevet digital pensjonsrådgiver i samarbeid med Boost.ai og FinAut. Sandkassen avklarte at eksisterende regelverk er teknologinøytralt og ikke hindrer utvikling av KI-baserte rådgivningsløsninger. I 2025 gjennomførte Finanstilsynet en regulatorisk sandkasse med fokus på datadeling mellom finansforetak for bekjempelse av økonomisk kriminalitet.

Finans Norge er bransjens hovedorganisasjon og koordinerer industriens tilnærming til KI-adopsjon. Organisasjonen utgir årlige statusrapporter om svindel og tiltak, tilbyr kompetansekurs i maskinlæring for bank og finans, og har i april 2026 kommet med konkrete råd til sine medlemmer om å møte ny KI-utvikling — særlig knyttet til kortere tidsvindu for sikkerhetsoppdateringer, styrket leverandørdialog og oppdaterte beredskapsplaner.

Norges Bank følger teknologiutviklingen tett gjennom sine rapporter om finansiell stabilitet. Finansinfrastruktuurrapporten peker på cyberangrep som den fremste systemrisikoen for norsk finansiell stabilitet, og fremhever at AI-aktiverte trusselaktører kan automatisere og akselerere utnyttelse av tekniske sårbarheter i kritisk infrastruktur.

Bruksområder for KI i norsk finans.

01

Svindeldeteksjon og hvitvaskingsbekjempelse (AML)

DNB bruker maskinlæringsmodeller trent på historiske saker om ulovlig aktivitet for å oppdage mistenkelige transaksjonsmønstre. Atferdsanalyse brukes for å detektere identitetstyveri — systemet varsler om det ikke ser ut til å være deg som er logget inn basert på din normale brukeradferd. I 2024 blokkerte norske banker svindelforsøk for 1,341 milliarder kroner i første halvdel av året. Finanstilsynets ROS 2025 anslår at KI nå står bak 42,5 prosent av oppdagede svindelforsøk, blant annet gjennom deepfake-teknologi brukt til identitetssvindel.

02

Kredittvurdering og prisoptimalisering

Maskinlæringsmodeller brukes i kredittvurdering for å vurdere lånerisikoer og fastsette lånerenter og vilkår. DNB og andre store aktører bruker algoritmer til prissetting på lån. KI-forordningen klassifiserer systemer for kredittvurdering og vurdering av vilkår for livs- og helseforsikring som høyrisiko — noe som pålegger aktører krav om risikovurdering, menneskelig tilsyn og forklarbarhet for hvert enkelt vedtak.

03

Kundeservice og digital rådgivning

DNB har automatisert rundt 20 prosent av kundeservicehenvendelsene med KI-chatbots. SpareBank 1-bankene er kåret til å ha den beste chatboten i norsk bankbransje av KSindeks. Finanstilsynets sandkasseprosjekt med SpareBank 1 SR-Bank dokumenterte at KI-basert digital pensjonsrådgiving er mulig innenfor gjeldende regelverk — og bidro til digitalisering av pensjonsveiledning for folk uten tilgang til personlig rådgiver.

04

Forsikring og risikostyring

Den europeiske forsikringstilsynsmyndigheten EIOPA gjennomførte i 2025 en høring om styring og kontroll ved bruk av KI i forsikring, med frist 12. mai 2025. Finanstilsynet videreformidlet høringen til norske forsikringsselskaper. KI brukes i forsikringssektoren til prissetting, skadevurdering og oppdagelse av forsikringssvindel — og EIOPA-veiledningen skal hjelpe selskapene å tolke eksisterende sektorregelverk korrekt ved KI-implementering.

05

Cybersikkerhet og operasjonell motstandsdyktighet

KI brukes både offensivt av trusselaktører og defensivt av finansforetak. Finanstilsynets ROS 2026 fremhever at AI-modeller muliggjør raskere og mer automatisert identifisering og utnyttelse av tekniske sårbarheter — noe som stiller høye krav til foretakenes digitale forsvarsverk og kapasitet til rapid deployment av sikkerhetsoppdateringer. DORA-loven stiller nå krav om trussel-basert penetrasjonstesting (TLPT) minst hvert tredje år.

06

Offentlig-privat samarbeid (OPS OK)

OPS OK er et samarbeid mellom finansnæringen og offentlige aktører — inkludert Finanstilsynet, Økokrim og Politiet — for å styrke kampen mot hvitvasking, terrorfinansiering og bedrageri. Maskinlæring og datadeling på tvers av aktører identifiseres som en forutsetning for å avdekke komplekse hvitvaskingarrangementer som ingen enkelt aktørs system kan detektere alene.

Regulering: KI-forordningen, DORA og GDPR.

KI-forordningen og høyrisiko i finans

EU AI Act (KI-forordningen) klassifiserer en rekke finansielle KI-systemer som høyrisiko — blant annet systemer for kredittvurdering og vurdering av vilkår for livs- og helseforsikring. Høyrisikosystemer er underlagt strenge krav: risikovurdering, sporbarhet, forklarbarhet, menneskelig tilsyn og samsvarsvurdering før markedslansering. Regjeringen sendte høring om norsk gjennomføringslov på høring 30. juni 2025, med frist 30. september 2025. Nkom er koordinerende tilsynsmyndighet, med Finanstilsynet som sektortilsyn.

DORA — digital operasjonell motstandsdyktighet

DORA-loven (gjennomføring av EU-forordning 2022/2554) trådte i kraft i Norge 1. juli 2025. Loven gjelder de fleste foretak under Finanstilsynets tilsyn og krever: IKT-risikostyring med tre forsvarslinjer, obligatorisk hendelsesrapportering, trusselbasert penetrasjonstesting (TLPT) minst hvert tredje år, avtaleregulering av IKT-leverandører og informasjonsdeling. DORA erstatter de tidligere norske IKT-forskriftene for finanssektoren.

GDPR og personvern ved KI i finans

Personvernforordningen (GDPR) stiller krav til alle KI-systemer som behandler personopplysninger. I finanssektoren er dette relevant ved kredittvurdering, kundeprofilering og transaksjonsovervåking. KI-forordningens høyrisikovurderinger (FRIA) og GDPRs personvernkonsekvensutredninger (DPIA) overlapper delvis, og Datatilsynet har gitt veiledning om hvordan kravene kan oppfylles samlet. Kredittvurderingssystemer som bruker profileringsalgoritmer er særlig eksponert for begge regelsett.

Hvitvaskingsregelverket og KI

Hvitvaskingsloven og tilhørende forskrifter krever at finansforetak har effektive systemer for transaksjonsovervåking og kundekontroll (KYC). KI-baserte systemer brukes i stor grad til dette, men stilles overfor krav om forklarbarhet: dersom et system flagger en transaksjon og fører til avvising av et kundeforhold, må institusjonen kunne redegjøre for grunnlaget. Finanstilsynet forventer at foretak kan dokumentere at algoritmer ikke produserer uriktige beslutninger eller diskriminerende utfall.

Utfordringer og risikoer.

Finanstilsynets ROS 2025 peker på fire kategorier av KI-relaterte risikoer som finansforetak må håndtere:

Algoritmefeil og skjeve treningsdata. Feil i algoritmer eller skjevheter i treningsdataene kan føre til uriktige investeringsbeslutninger eller kredittvurderinger. Finansforetak må etablere robuste testregimer for å avdekke bias og systematiske feil før systemer tas i produksjon.
Forklarbarhet og rettssikkerhet. Finansforetak er pålagt å kunne forklare enkeltvedtak — for eksempel avvisning av lånesøknader eller rentefastsettelse. Komplekse maskinlæringsmodeller (black-box-systemer) skaper juridiske utfordringer når kunder eller tilsynsmyndigheter krever innsyn i beslutningsgrunnlaget.
KI som angrepsverktøy. Deepfake-teknologi ble brukt i 42,5 prosent av oppdagede svindelforsøk i sektoren i 2025 (Finanstilsynet ROS 2025). Trusselaktører — både kriminelle nettverk og statlige aktører — bruker KI til raskere utnyttelse av sårbarheter i finansiell infrastruktur.
Tredjeparts IKT-avhengighet. Finansforetak er i stor grad avhengige av et begrenset antall globale KI- og skyleverandører. DORA adresserer dette med krav til kontraktsregulering og overvåking av kritiske IKT-leverandører — men systemrisikoen ved konsentrasjon hos få aktører er fortsatt et tilsynsfokus for Finanstilsynet.

Finanstilsynet advarer spesielt mot at KI-verktøy ikke er utformet for å gi investeringsråd, at markedsutvikling er uforutsigbar, og at brukere av uregulerte KI-tjenester mangler den forbrukerbeskyttelse som gjelder ved bruk av regulerte finansielle rådgivere.

Ofte stilte spørsmål.

Hvilke KI-systemer i finanssektoren regnes som høyrisiko under EU AI Act?

KI-forordningen klassifiserer blant annet systemer for kredittvurdering og vurdering av vilkår for livs- og helseforsikring som høyrisiko. Dette innebærer krav om risikovurdering, sporbarhet, menneskelig tilsyn og samsvarsvurdering for systemene. Finanstilsynet er sektortilsyn og samarbeider med Nkom, som er utpekt som koordinerende nasjonal tilsynsmyndighet for AI Act.

Hva er DORA og hva betyr det for norske finansforetak?

DORA (Digital Operational Resilience Act) trådte i kraft i Norge 1. juli 2025 gjennom DORA-loven og DORA-forskriften. Loven krever at finansforetak har robuste prosedyrer for IKT-risikostyring, hendelsesrapportering, digital motstandsdyktighetstesting og oppfølging av IKT-leverandører. De fleste foretak under Finanstilsynets tilsyn er omfattet.

Hva advarer Finanstilsynet mot når det gjelder KI og investeringer?

Finanstilsynet advarer — i fellesskap med ESMA — mot å bruke generelle KI-verktøy til finansielle investeringsbeslutninger. KI-verktøy er ikke spesielt utformet for investeringsråd, opererer utenfor finansiell regulering og gir ingen forbrukerbeskyttelse. KI kan ikke forutsi markedsutviklingen, og selv utviklerne forstår ikke fullt ut systemenes adferd i komplekse markeder.

Hvordan bruker norske banker KI til å bekjempe svindel og hvitvasking?

Norske banker bruker maskinlæringsmodeller trent på historiske tilfeller av ulovlig aktivitet for å oppdage mistenkelige transaksjonsmønstre. DNB bruker atferdsanalyse for å oppdage identitetstyveri og algoritmisk overvåking for hvitvaskingsbekjempelse. I 2024 blokkerte bankene svindelforsøk for over 1,3 milliarder kroner i første halvdel av året. KI står bak anslagsvis 42,5 prosent av oppdagede svindelforsøk, blant annet gjennom deepfake-teknologi.

Kilder.

Relaterte sider.

AI for norske bedrifter AI-loven og KI-forordningen i Norge AI i Norge — oversikt