.avif){kind=logo}
EU AI Act: Hva gjelder fra 2. august, og hva ble nettopp utsatt?
Den 2. august 2026 skrus håndhevingsmaskineriet i EU AI Act (KI-forordningen, EUs felles regelverk for utvikling og bruk av AI) på: nasjonale tilsyn får bøtemyndighet, og transparenskravene i artikkel 50 begynner å gjelde. Samtidig vedtok EU i juni en endringspakke, Digital Omnibus, som flytter de tyngste pliktene, hele høyrisiko-regimet (de strengeste kravene, forbeholdt AI på særlig sensitive bruksområder), til desember 2027. Begge deler skjedde i løpet av de siste ukene, og begge deler er underkommunisert blant utviklere.
Jeg har brukt en del tid på å nøste i hva dette faktisk betyr for oss som bygger med AI-agenter i hverdagen. Kortversjonen: kodeassistenten din er ikke høyrisiko, du må etter alt å dømme ikke vannmerke AI-generert kode, og Norge er strengt tatt ikke bundet av forordningen ennå. Men noen plikter er reelle, og et par feller er lette å gå i.
I dette innlegget får du datoene som gjelder etter endringene, hva som faktisk treffer et utviklingsteam, og hvor Norge står.
Forordningen trådte i kraft allerede i 2024, men pliktene fases inn over flere år. Etter endringspakken ser tidslinjen slik ut:
Utsettelsene kom med Digital Omnibus, som Europaparlamentet vedtok 16. juni og Rådet ga endelig klarsignal i slutten av juni. Pakken er i skrivende stund på vei inn i EUs offisielle tidsskrift. Har du sett paniske innlegg om at «alt» gjelder fra 2. august, kan du altså puste rolig ut: den største fristen ble nylig flyttet 16 måneder frem i tid.
Nei. Annex III er en lukket liste over bruksområder, og vanlig utviklerassistanse står ikke på den. Listen handler om ting som rekruttering, kredittvurdering, utdanning og kritisk infrastruktur. Et team som bruker Claude Code eller Copilot til å skrive, teste og gjennomgå kode, har i praksis null Annex III-eksponering.
Fellen ligger et annet sted: arbeidsstyring (Annex III punkt 4). Bruker organisasjonen AI til å fordele oppgaver til ansatte eller overvåke og evaluere prestasjoner, er det høyrisiko. Et konkret eksempel: å pipe utviklertelemetri fra GitHub inn i et lederdashboard som evaluerer enkeltpersoner, flytter deg rett inn i høyrisiko-territorium. Da venter krav om teknisk dokumentasjon, automatisk logging og menneskelig oversikt, fra desember 2027.
Rollene avgjør hvem som bærer hvilke plikter. Bruker teamet ditt Claude eller GPT via API, er dere deployer (forordningens ord for den som tar et AI-system i bruk), mens modelltilbyderen (provider, den som utvikler og tilbyr systemet) bærer GPAI-pliktene. Dere arver dem ikke ved å bruke API-et, og heller ikke ved vanlig «fine-tuning» av AI-modeller (videretrening av en eksisterende modell på egne data): EU-kommisjonens veiledende terskel for å bli regnet som tilbyder av en modifisert modell er «fine-tuning» med over en tredjedel av compute (regnekraften) som gikk med til å trene originalmodellen. Det gjør ingen av oss til hverdags.
Artikkel 50 er transparenskrav, og de treffer team som lanserer AI-funksjoner til brukere:
Fra samme dato kan tilsynene faktisk bøtelegge: inntil 35 millioner euro eller 7 prosent av global omsetning for forbudte praksiser, 15 millioner eller 3 prosent for de fleste andre brudd. For små og mellomstore bedrifter gjelder det laveste av beløpene, ikke det høyeste.
Og siden ryktene går: per juli 2026 finnes det ingen bekreftede bøter etter forordningen. Historiene om «de første millionbøtene» som sirkulerer i sosiale medier, er ikke belagt i noen offisiell kilde.
Forordningen er ennå ikke tatt inn i EØS-avtalen; den ligger fortsatt til vurdering i EØS-komiteen (organet som avgjør hvilke EU-regler som tas inn i EØS-avtalen og dermed blir bindende for Norge). Den norske KI-loven som skal gjennomføre den, var på høring sommeren 2025, men er per våren 2026 ikke lagt frem for Stortinget. Nkom (Nasjonal kommunikasjonsmyndighet) er utpekt som koordinerende tilsynsmyndighet, og Digdir (Digitaliseringsdirektoratet) huser kompetansemiljøet KI-Norge.
I praksis betyr det to ting. Selger du kun i Norge, har du ingen direkte forpliktelser etter forordningen i dag, men loven kommer, så det er fornuftig å bygge vanene nå. Selger du inn i EU, gjelder forordningen deg allerede, selv om selskapet ditt ligger utenfor EU (artikkel 2). Det holder at systemet ditt tilbys på EU-markedet, eller at output fra det brukes i EU.
Ett krav har for øvrig vært gjeldende i EU siden februar 2025: AI literacy (artikkel 4). Både tilbydere og deployere skal sørge for at folk som opererer AI på deres vegne, har tilstrekkelig kompetanse. Omnibus-pakken skal ha myknet formuleringen noe, men opplæringsplikten rundt høyrisiko-systemer består, og kravet følger med inn i norsk lov når den kommer.
Fire konkrete punkter, i prioritert rekkefølge:
AI Act treffer utviklingsteam mykere enn overskriftene tilsier, og etter Digital Omnibus enda mykere: høyrisiko-regimet kommer først i desember 2027, og vanlige kodeverktøy står uansett utenfor. Det som gjelder fra 2. august, er transparens for brukervendte AI-funksjoner og et håndhevingsapparat som endelig skrus på. For norske team er den viktigste øvelsen å vite hvilken rolle man har, og å følge med på når forordningen tas inn i EØS-avtalen.
For ordens skyld: jeg er utvikler, ikke jurist, og dette innlegget er orientering, ikke juridisk rådgivning. Lovteksten etter Omnibus-endringene er i skrivende stund på vei inn i EUs offisielle tidsskrift (Official Journal, der EU-regelverk publiseres før det trer i kraft), så sjekk konsolidert tekst (lovteksten med alle endringer innarbeidet) før du tar beslutninger med juridiske konsekvenser.
Magnus bygger AI i Capra, nå på Gjensidiges «Hei, huset!». Han er opptatt av AI som fungerer i praksis og av å rigge tverrfaglige team for en AI-first arbeidsform. Det skriver han om og holder foredrag om.
.jpg)