Gjelder EUs AI-forordning for norske selskaper ennå?

Et Oslo-basert selskap som leverer et KI-drevet verktøy for kvalitetskontroll til industribedrifter, får et due diligence-skjema fra en tysk kunde med et nytt punkt: bekreftelse på at leverandørens KI-system overholder EUs AI-forordning. Compliance-ansvarlig googler seg fram til at Norge ennå ikke har noen egen KI-lov, og trekker den nokså naturlige, men feilaktige slutningen at forordningen dermed ikke gjelder dem ennå. Realiteten er mer sammensatt, og forskjellig fra hvordan GDPR fungerer for norske selskaper. Denne artikkelen gir status per august 2026 — med et tydelig forbehold om at dette er et tema i rask bevegelse, ikke en fasit dere kan lene dere på om et halvt år.

Kort svar: ikke som norsk lov ennå — men det kan likevel gjelde deg

EUs AI-forordning (forordning (EU) 2024/1689, ofte kalt AI Act) er EU-rett. For at den skal gjelde direkte som norsk lov, må den først innlemmes i EØS-avtalen gjennom en beslutning i EØS-komiteen — nøyaktig samme prosess som GDPR gikk gjennom i sin tid. Per august 2026 har EØS-komiteen ikke innlemmet AI-forordningen i EØS-avtalen. Norge har heller ingen egen gjennomføringslov ennå; en slik lov, som gjerne omtales som «KI-loven», er under arbeid, men forsinket — blant annet fordi den underliggende EU-teksten selv er under omforming gjennom det såkalte Digital Omnibus-paketet (forordning (EU) 2026/1744), som trådte i kraft 27. juli 2026 og utsatte flere av forordningens egne frister. Det gir liten mening å skrive en norsk gjennomføringslov mot en EU-tekst som fortsatt er i bevegelse, og det er trolig en del av forklaringen på forsinkelsen. Konklusjonen for et rent norsk-internt forhold, uten noen kobling til EU-markedet: det finnes i dag ingen norsk AI-lov som pålegger dere plikter.

Den andre mekanismen: forordningens egen ekstraterritorielle rekkevidde

Det er her forskjellen fra GDPR blir viktig å forstå. For GDPR er Norge omfattet gjennom det ordinære territorielle virkeområdet, fordi GDPR allerede er innlemmet i EØS-avtalen — dere er "i Unionen" i lovens forstand. For AI-forordningen er dere det ikke, fordi den ennå ikke er innlemmet. Inntil videre blir et norsk selskap dermed behandlet som en aktør i et tredjeland i AI-forordningens forstand — akkurat som et amerikansk eller britisk selskap. Og AI-forordningen har, i likhet med GDPR, en ekstraterritoriell mekanisme: artikkel 2 nr. 1 bokstav c fastslår at forordningen gjelder for tilbydere og driftsansvarlige etablert i et tredjeland, dersom resultatet (output) fra deres KI-system brukes i EU. Artikkel 2 nr. 1 bokstav a utvider dette til enhver tilbyder som bringer et KI-system i omsetning eller tar det i bruk på EU-markedet, uavhengig av hvor tilbyderen er etablert. Et norsk selskap uten noen EU-etablering kan altså rammes av AI-forordningen i dag — ikke fordi Norge har innlemmet den, men fordi forordningen selv rekker utover EUs grenser når det er tilstrekkelig tilknytning til EU-markedet.

Hvem rammes i praksis

Ikke alle norske virksomheter med et KI-verktøy i verktøykassen trenger å bekymre seg like mye. Det som utløser den ekstraterritorielle rekkevidden, er en reell tilknytning til EU-markedet gjennom et konkret KI-system. Typiske eksempler med økt relevans: Oslo-klyngen av AI/ML-leverandører hvis programvare brukes av kunder i EU, enten direkte eller via en EU-basert distributør; sjømateksportører som bruker KI-baserte kvalitetskontroll- eller sorteringssystemer der resultatene inngår i dokumentasjon som følger varen inn i EUs importkjeder; energi- og maritim teknologi-selskaper som leverer KI-baserte overvåkings- eller prediktive vedlikeholdssystemer til installasjoner eller fartøy som opererer i EU-farvann eller for EU-baserte operatører; og norske SaaS-selskaper med EU-kunder som har bygget inn KI-funksjonalitet — chatboter, automatisert saksbehandling, scoring-verktøy — i produktet sitt. Et system som utelukkende brukes internt i Norge, uten at noen i EU bruker eller påvirkes av resultatet, faller foreløpig utenfor denne mekanismen. Vurderingen bør gjøres system for system, ikke som en generell konklusjon for hele virksomheten.

Det åpne spørsmålet: trenger dere en EU-representant etter artikkel 22?

Her beveger vi oss inn i et område som etter vår vurdering ikke er avklart, og hvor vi bevisst ikke gir et sikkert svar. AI-forordningens artikkel 22 pålegger tilbydere av høyrisiko-KI-systemer som er etablert i et tredjeland, å utpeke en skriftlig autorisert representant etablert i EU før systemet gjøres tilgjengelig på EU-markedet. Spørsmålet er om en norsk tilbyder av et høyrisiko-KI-system faktisk regnes som en "tredjelands"-tilbyder i denne forstand i overgangsperioden før EØS-innlemmelse — gitt at Norge for de fleste andre EU/EØS-formål ikke behandles som et tredjeland. Vi har ikke funnet et avklart svar på dette, og det er, så vidt vi kjenner til, heller ikke testet i praksis. Dersom dere er en norsk tilbyder som vurderer å plassere et høyrisiko-KI-system (for eksempel innenfor kredittvurdering, rekruttering eller kritisk infrastruktur) på EU-markedet i denne overgangsperioden, anbefaler vi at spørsmålet om representant-plikt vurderes konkret med juridisk bistand — ikke at dere legger til grunn verken at plikten gjelder eller at den ikke gjelder.

Dette kan endre seg raskt — hold dere oppdatert

Alt ovenfor er et øyeblikksbilde, ikke en permanent tilstand. Digital Omnibus-paketet endret selve den EU-teksten som en fremtidig norsk KI-lov skal bygge på, og en EØS-innlemmelse kan i prinsippet skje relativt raskt når den underliggende EU-teksten har satt seg — historisk har gjennomføringsfristene etter en EØS-komité-beslutning ofte vært korte sammenlignet med selve forhandlingsprosessen. Det betyr at et norsk selskap som i dag kun er omfattet gjennom den ekstraterritorielle mekanismen, kan bli direkte omfattet som norsk lov med relativt kort varsel når innlemmelsen kommer. Vi anbefaler å følge med på meldinger fra Kommunal- og distriktsdepartementet, Datatilsynet og beslutninger fra EØS-komiteen, framfor å legge en éngangsvurdering til grunn for lang tid framover.

Generell informasjon, ikke juridisk rådgivning

Denne artikkelen gir generell informasjon om en rettslig situasjon som er i aktiv bevegelse, og erstatter ikke juridisk rådgivning tilpasset deres konkrete situasjon — særlig ikke når det gjelder spørsmålet om representant-plikt etter artikkel 22 i overgangsperioden. Komplya skiller konsekvent mellom redaksjonelt kvalitetssikret innhold og utkastmateriale, og vi oppdaterer denne artikkelen når EØS-komiteen eller norske myndigheter tar nye skritt.

Framfor å gjette på om deres konkrete KI-systemer har den EU-tilknytningen som utløser forordningen, er det raskeste neste steget å kartlegge det systematisk. Svar på vårt korte spørreskjema om anvendelighet, og få en oversikt i klarspråk over hvilke av deres KI-systemer som trolig har EU-tilknytning i dag — før neste kunde eller revisor stiller spørsmålet.