AI-loven i Norge: status og tidslinje for norske bedrifter

En compliance-ansvarlig i et norsk industrikonsern skal legge en plan for de neste to årene, og setter seg ned for å finne ut når den norske KI-loven trer i kraft. Det første søket gir treff på artikler som nevner 2. august 2026 som en fast frist. Det neste søket gir treff på en annen artikkel som sier fristen er utsatt. Et tredje treff nevner at Norge ikke har noen egen lov i det hele tatt ennå. Alle tre kan være riktige, avhengig av hva man egentlig spør om. Denne artikkelen prøver å rydde i de tre lagene — EU-fristene, EØS-innlemmelsen og en fremtidig norsk gjennomføringslov — og gi en status som faktisk stemmer per august 2026.

Hvor står vi egentlig? En rask statusoppdatering

Tre ting er sanne samtidig i dag. For det første: EUs AI-forordning (forordning (EU) 2024/1689) er gjeldende EU-rett og trer i kraft for EUs medlemsstater etter sin egen, trinnvise tidslinje. For det andre: forordningen er, per august 2026, ikke innlemmet i EØS-avtalen gjennom en beslutning i EØS-komiteen — det trinnet som må skje før forordningen blir gjeldende norsk rett på samme måte som GDPR er det i dag. For det tredje: Norge har ingen egen, ferdig gjennomføringslov (gjerne omtalt som «KI-loven») ennå, og arbeidet med den er forsinket. Det finnes derfor i dag ingen norsk lovtekst som speiler AI-forordningen. Det betyr ikke at norske selskaper er uberørt — vår søsterartikkel om hvorvidt AI-forordningen gjelder for norske selskaper går i dybden på den ekstraterritorielle rekkevidden som kan ramme dere allerede nå, uavhengig av innlemmelse. Denne artikkelen fokuserer på selve tidslinjen og statusen.

Hvorfor er det forsinket? Digital Omnibus endret spillereglene

Forsinkelsen har en konkret årsak utover vanlig lovgivningstreghet. Sommeren 2026 vedtok EU det såkalte Digital Omnibus-paketet (forordning (EU) 2026/1744), som trådte i kraft 27. juli 2026. Pakken gjorde ikke bare mindre justeringer — den endret selve innholdet i AI-forordningen, blant annet ved å utsette flere av forordningens egne frister for høyrisiko-KI-systemer betydelig. Fristen for de fleste frittstående høyrisiko-systemer (vedlegg III) ble utsatt fra 2. august 2026 til 2. desember 2027, og fristen for KI-systemer innebygd i produkter som allerede er regulert av annet produktregelverk (vedlegg I) ble utsatt fra 2. august 2027 til 2. august 2028. En norsk gjennomføringslov som var under utarbeidelse mot den opprinnelige EU-teksten, måtte i praksis vurderes på nytt mot den endrede teksten. Det er en rimelig forklaring på hvorfor både EØS-innlemmelsen og den norske KI-loven har tatt lengre tid enn mange forventet — men vi understreker at dette er vår vurdering av årsakssammenhengen, ikke en offisiell begrunnelse fra norske myndigheter.

Tidslinjen slik den ser ut i dag (EU-internt)

• 1. august 2024 — AI-forordningen trer formelt i kraft i EU.
• 2. februar 2025 — forbudte KI-praksiser (f.eks. sosial poengberegning, manipulasjon av sårbare personer) blir forbudt i EU.
• 2. august 2025 — pliktene for tilbydere av KI-modeller til allmenne formål (GPAI) trer i kraft i EU, og fristen for medlemsstatene til å utpeke tilsynsmyndigheter etter artikkel 70 løper ut.
• 2. desember 2027 — nytt, utsatt tidspunkt for hoveddelen av pliktene for frittstående høyrisiko-KI-systemer (vedlegg III), etter Digital Omnibus. Opprinnelig dato var 2. august 2026.
• 2. august 2028 — nytt, utsatt tidspunkt for KI-systemer innebygd i produkter som allerede reguleres av annet produktregelverk (vedlegg I). Opprinnelig dato var 2. august 2027.

Denne tidslinjen gjelder EUs medlemsstater direkte. For Norge er den relevant som referanseramme og som en indikasjon på hva en fremtidig norsk gjennomføring sannsynligvis vil bygge på — men den er ikke i seg selv en frist for norske selskaper før EØS-innlemmelse og norsk gjennomføringslov er på plass.

Hva skjer når loven trer i kraft i Norge?

Når EØS-komiteen først innlemmer AI-forordningen og en norsk gjennomføringslov er vedtatt, er det rimelig å vente en gjennomføringsprosess som ligner den GDPR gikk gjennom: forordningen blir norsk rett med tilhørende nasjonal lov, og en eller flere tilsynsmyndigheter må utpekes etter artikkel 70 for å føre tilsyn med regelverket i Norge. Hvilken myndighet dette blir, er ikke avklart. Datatilsynet er en naturlig kandidat gitt sin erfaring fra GDPR-håndheving og det betydelige overlappet mellom personvern og KI-regulering, men dette er vår vurdering av en sannsynlig kandidat, ikke en bekreftet beslutning fra norske myndigheter. Det er også mulig at ansvaret legges til en annen eller ny etat, eventuelt fordelt på flere myndigheter etter sektor, slik enkelte EU-land har valgt å gjøre.

I mellomtiden: hva bør norske bedrifter gjøre nå?

Å vente på full avklaring før dere gjør noe, er sjelden den beste strategien — dels fordi forordningens ekstraterritorielle rekkevidde kan ramme enkelte av deres KI-systemer allerede i dag, dels fordi mye av forarbeidet er gjenbrukbart uansett når norsk gjennomføring kommer:

• Lag en oversikt over hvilke KI-systemer virksomheten faktisk bruker eller leverer, inkludert de som er bygget inn i innkjøpt programvare.
• Vurder for hvert system om det har EU-tilknytning i dag — brukes resultatet av personer i EU, eller plasseres systemet på EU-markedet — se vår artikkel om AI-forordningens ekstraterritorielle rekkevidde for detaljene.
• Sjekk om dere allerede har en DPIA eller risikovurdering fra GDPR-arbeidet for systemer som behandler personopplysninger — mye av den samme kartleggingen gjenbrukes i en fremtidig KI-forordning-vurdering.
• Etabler en enkel rutine for å følge med på beslutninger fra EØS-komiteen og meldinger fra norske myndigheter, i stedet for å basere planleggingen på en dato dere har lest én gang.
• Hvis dere leverer høyrisiko-KI-systemer til EU-markedet, ha en plan klar for å avklare spørsmålet om representant-plikt etter artikkel 22, som fortsatt er uavklart i overgangsperioden.

Generell informasjon, ikke juridisk rådgivning

Denne artikkelen gir generell informasjon om en tidslinje som er i aktiv bevegelse, og erstatter ikke juridisk rådgivning tilpasset deres konkrete situasjon. Komplya skiller konsekvent mellom redaksjonelt kvalitetssikret innhold og utkastmateriale, og vi oppdaterer denne artikkelen når EØS-komiteen eller norske myndigheter tar nye, konkrete skritt — legg derfor ikke en dato fra denne artikkelen til grunn for en beslutning uten å sjekke status på nytt.

Uansett hvor lang tid EØS-innlemmelsen tar, er det mest nyttige dere kan gjøre nå å vite hvor deres egne KI-systemer faktisk står. Svar på vårt korte spørreskjema om anvendelighet, og få en oversikt i klarspråk over hvilke forpliktelser som trolig gjelder for dere allerede i dag, og hva som sannsynligvis kommer.