KI-forordningen i Norge: Rekkefølgen som avgjør når reglene gjelder

Kommisjonens tidslinje viser rekkefølgen. Forordningen sorterer systemer etter risiko, fra de forbudte, gjennom høyrisiko og systemer med merkeplikt etter artikkel 50, til det store flertallet som ikke er underlagt særskilte krav. Det er høyrisikodelen som ble flyttet. Reglene i vedlegg III, som angir høyrisikoområdene, gjelder fra 2. desember 2027, og høyrisiko innebygd i regulerte produkter fra 2. august 2028. Datoene binder EUs medlemsstater. For norske virksomheter styres tidspunktet av EØS-prosessen.

Nkom skriver at KI-forordningen foreløpig ikke er innlemmet i EØS-avtalen eller gjennomført i norsk rett, og at merkeplikten etter artikkel 50 derfor ikke gjelder generelt i Norge. For at forordningen skal binde norske virksomheter gjennom norsk rett, må flere trinn gjennomføres i rekkefølge.

1. Norge, Island og Liechtenstein må bli enige med Kommisjonen om en tilpasningstekst. Departementet var i dialog om teksten allerede i juni 2025, og forhandlingene pågår fortsatt.
2. EØS-komiteen må vedta å innlemme forordningen.
3. Stortinget må samtykke. EØS-notatet slår fast at forordningen krever forbehold etter artikkel 103, fordi den forutsetter lovendringer i Norge og vil få budsjettmessige og organisatoriske konsekvenser.
4. KI-loven må vedtas av Stortinget.
5. Loven må settes i kraft. Lovutkastet sier at loven trer i kraft fra den tid Kongen bestemmer.

Artikkel 103 gjør det vanskelig å forutsi når reglene begynner å gjelde. Når et vedtak i EØS-komiteen tas med slikt forbehold, har Norge seks måneder på å innhente Stortingets samtykke, og vedtaket får virkning først når samtykket er på plass. Rekkefølgen gjør at både EØS-komiteen, Kommisjonen og Stortinget er med på å avgjøre tidspunktet.

I juni 2025 skrev departementet at loven ville tre i kraft i Norge fra sensommeren 2026, omtrent samtidig som hoveddelen av forordningen fikk anvendelse i EU. I august 2026 var ambisjonen å fremme KI-loven for Stortinget våren 2027, og lovforslaget skal ut på ny høring i høst. Det er fremleggelsen som er lagt til våren 2027. Ikrafttredelsen avgjør når reglene begynner å gjelde, og den er ikke fastsatt.

Stortingets EU/EØS-nytt skrev i juni 2026 at tidspunktet for innlemmelse i EØS-avtalen fortsatt er uklart. På regjeringens egen portal KI Norge står det at det heller ikke er fastsatt når KI-loven skal gjelde i Norge.

I EU kom reglene i flere trinn over noen år, med forbudene først, deretter reglene for modellene, og til slutt høyrisiko. Departementets høringsnotat sier at overgangsfristene i det vesentlige vil være utløpt når KI-loven vedtas i Norge, og at alle bestemmelser som da har trådt i kraft i EU, får anvendelse i Norge straks loven trer i kraft.

Høringsnotatet er fra juni 2025, altså skrevet før utsettelsen. Slik vi leser det, holder den vurderingen fortsatt. Kommer den norske loven først etter desember 2027, har også høyrisikoreglene i vedlegg III begynt å gjelde i EU før loven har trådt i kraft her. Norske virksomheter må da forholde seg til alle kravene omtrent samtidig, mens EU fikk dem fordelt over flere år.

Leverer man et KI-system til EU-markedet, eller brukes resultatene fra systemet i EU, er man omfattet av forordningen nå, uavhengig av hvor EØS-prosessen står. Det følger av forordningens eget virkeområde, og Nkom peker på det samme. Norsk rett regulerer også en del av dette allerede, siden personopplysningsloven, straffeloven og markedsføringsloven er teknologinøytrale og gjelder uansett hva EØS-komiteen gjør.

En kravspesifikasjon som i 2027 legger til grunn at høyrisikoreglene gjelder fra desember samme år, bygger på en EU-dato som ennå ikke har noe motstykke i norsk rett. Det samme gjelder kontrakter som knytter frister til vedlegg III.

KI Norge publiserte 2. september 2026 tall fra IT i praksis 2026, gjennomført av Rambøll blant 503 statlige virksomheter, kommuner og fylkeskommuner. Ni av ti offentlige virksomheter oppgir usikkerhet om risiko som en barriere, og en av sju svarer at de får god støtte fra nasjonale myndigheter.

Tallene sier ikke noe om årsakssammenheng. De er samlet inn mens portalen som skal gi støtte, selv ikke har noen dato å oppgi.

Artikkelen bygger på offentlig tilgjengelige kilder, og forhandlingene har vi ikke innsyn i. Vedtaket i EØS-komiteen har vi lett etter uten å finne det, og ingen av kildene oppgir dato, verken for vedtaket eller for ikrafttredelsen i Norge. Hvorvidt endringene fra i sommer blir tatt inn i det samme vedtaket, er fortsatt ubesvart.

Den norske rekkefølgen har vi satt sammen selv. Hvis den allerede finnes et sted, leser vi den gjerne. Vi presiserer at dette er slik vi oppfatter situasjonen i september 2026, og at det ikke er juridisk rådgivning.