APREX · EST. 2026
Norge er gjennom EØS-avtalen direkte knyttet til EUs regulatoriske rammeverk, og EU AI Act vil etter all sannsynlighet innlemmes i norsk rett. Det betyr at frister, plikter og sanksjoner i den reviderte loven er like relevante for en norsk startup i Bergen som for et teknologiselskap i Berlin.
Digital Omnibus endrer spillereglene
Den offisielle betegnelsen er Digital Omnibus-amendmentene, men i tech-policy-miljøet omtales de gjerne som «omnibus-avtalen». Kjernen i endringene er ifølge Tech Policy Press å forenkle implementeringen av AI Act, klargjøre hvem som har tilsynsansvar, og justere en rekke overgangstidsfrister — uten å endre lovens grunnleggende mål.
AI Act trådte formelt i kraft 1. august 2024. Forpliktelsene knyttet til såkalte generelle AI-modeller (GPAI-modeller, også kjent som grunnmodeller) ble gjeldende fra 2. august 2025.
To spor: ordinære GPAI-modeller og høyrisikomodeller
Regelverket skiller mellom generiske GPAI-modeller og de med systemisk risiko. For de ordinære modellene gjelder krav om teknisk dokumentasjon, brukerveiledning, etterlevelse av opphavsrettsdirektivet og publisering av et sammendrag over treningsdata.
Modeller som klassifiseres som systemisk risikofylte, møter langt strengere krav — inkludert risikovurderinger, testing mot fiendtlige angrepsscenarier og plikt til å rapportere alvorlige hendelser. Åpen kildekode-modeller er i utgangspunktet unntatt de fleste plikter, bortsett fra opphavsrettskrav og krav om treningsdatasammendrag — med mindre de klassifiseres som systemisk risikofylte.
Justerte frister — men ikke for alt
Omnibus-pakken innfører flere utsettelser som norske virksomheter bør merke seg:
Leverandører av GPAI-modeller som allerede var på markedet før 2. august 2025, har overgangsperiode til 2. august 2027. Nye modeller lansert etter denne datoen må derimot overholde kravene umiddelbart.
AI Office får utvidet myndighet
En viktig strukturell endring er at EUs AI Office — det sentrale tilsynsorganet — nå får eksklusiv myndighet over AI-systemer bygget på GPAI-modeller fra samme leverandør eller konsern, og over modeller integrert i svært store nettplattformer og søkemotorer som definert i Digital Services Act.
Nasjonale myndigheter beholder tilsyn innen spesifikke sektorer, som rettshåndhevelse og finansinstitusjoner. For norske virksomheter betyr dette i praksis at ansvarslinjen kan gå direkte til EU-nivå for mange av de mest relevante AI-tjenestene.
Veiledning og frivillig atferdskodeks
For å hjelpe aktører med etterlevelse publiserte EU-kommisjonen i juli 2025 retningslinjer for GPAI-forpliktelser, samt en frivillig atferdskodeks for GPAI-modeller, ifølge kildematerialet fra Tech Policy Press. Kodeksen er formelt frivillig, men beskrives av eksperter som et «kvasi-obligatorisk styringsrammeverk» — altså et regime der etterlevelse i praksis gir klarere vei gjennom regelverket og potensielt lavere regulatorisk risiko.
Hva betyr dette konkret for norske aktører?
For norske utviklere og tech-ledere er det særlig tre ting som er umiddelbart handlingsrelevante:
Transparenskrav gjelder nå. Fra 2. august 2026 må AI-systemer som interagerer med brukere — chatboter, generative verktøy, deepfakes — merkes og varsles om tydelig. Det er ingen utsettelse her.
Sjekk om ditt system faller under høyrisiko. Dersom virksomheten din utvikler eller bruker AI innen helse, kritisk infrastruktur, utdanning, ansettelse eller rettshåndhevelse, gjelder Anneks III eller Anneks I — med frister i 2027 og 2028.
Vurder atferdskodeksen. For de som utvikler eller baserer produkter på GPAI-modeller, kan tidlig tilslutning til den frivillige kodeksen gi forutsigbarhet og redusere risikoen for konflikter med tilsynsmyndigheter.
Kildematerialet understreker at det fortsatt er uklarheter i regelverket, og at eksperter advarer mot å tolke utsettelsene som en generell avslapping av kravene. Det grunnleggende regelverket ligger fast.