Mange bedriftsledere møter KI-forordningen – også kalt EU AI Act, AI-loven og AI Act – for første gang sommeren 2026. Og de støter umiddelbart på begreper de ikke kjenner: AI eller KI, idriftsetter, GPAI, høyrisiko-AI, Digital Omnibus, hallusinering, AI literacy. Denne ordboken forklarer dem alle, på norsk, med presise definisjoner som kan brukes direkte i compliance-arbeidet.
Regelverket og lovene
AI eller KI – hva skal det hete?
AI og KI brukes om hverandre i norsk dagligtale, og begge refererer til det samme: kunstig intelligens (på engelsk: artificial intelligence, derav AI). Forvirringen er ikke tilfeldig – den avspeiler et reelt spørsmål om norsk språkpolitikk i møte med internasjonal teknologi.
Regjeringen: KI. Den norske stat bruker konsekvent KI – Digitaliserings- og forvaltningsdepartementet skriver «KI-forordningen», Nkom skriver «KI-tilsyn», og offentlige dokumenter bruker «kunstig intelligens» fullt ut. Dette følger Språkrådets anbefaling om å foretrekke norske termer der de finnes.
Folk flest: AI. De fleste nordmenn sier AI, ikke KI. Grunnen er enkel: teknologien og samtalene om den kom primært fra engelsk – ChatGPT, AI tools, AI Act. Norske aviser som VG og Aftenposten bruker hyppig «AI», og mange vil naturlig snakke om «AI-loven» eller «ny AI-lov» fremfor «KI-forordningen».
Hva blir regelverket kalt? Det offisielle norske navnet er KI-forordningen. Den kommende norske gjennomføringsloven vil hete KI-loven. Det internasjonale engelske navnet er EU AI Act eller bare AI Act. I praksis brukes alle disse om hverandre – pluss varianter som AI-loven, AI-regelverket og KI-reglene. Innholdet er det samme: EUs forordning 2024/1689 om kunstig intelligens.
Hva bør du søke etter? Offisielle norske nettsteder (Regjeringen.no, Nkom, Lovdata) bruker KI. Nyhetsartikler og internasjonal presse bruker AI. Denne ordboken bruker begge – fordi du bør kjenne begge.
Hva er KI-forordningen?
KI-forordningen er EUs harmoniserte regelverk for kunstig intelligens – formelt kalt Regulation (EU) 2024/1689. Den ble vedtatt av Europaparlamentet og Rådet 13. juni 2024, trådte i kraft i EU 1. august 2024, og innføres gradvis frem mot full ikrafttredelse i august 2026. Forordningen stiller krav til alle som utvikler, selger eller bruker KI-systemer i EU/EØS, basert på en risikobasert modell.
Hva er AI Act?
AI Act er det engelske navnet på KI-forordningen (Regulation (EU) 2024/1689) – det navnet som brukes internasjonalt og i EU. Se AI eller KI øverst i denne ordboken for en full forklaring av de ulike navnene på regelverket.
Hva er KI-loven?
KI-loven er den norske loven som skal gjennomføre KI-forordningen i norsk rett. Digitaliserings- og forvaltningsdepartementet (DFD) sendte forslag til KI-lov på høring sommeren 2025. Norsk KI-lov forventes vedtatt av Stortinget sensommeren 2026. Frem til den norske loven er vedtatt er det selve EU-forordningen som danner det rettslige grunnlaget for norske virksomheter som opererer i EU/EØS-markedet.
Hva er AI-loven?
AI-loven er det folkelige navnet på KI-forordningen / EU AI Act – det mange vil bruke når de omtaler regelverket i media og hverdagsspråket. Det finnes ingen offisiell norsk lov som heter «AI-loven», men du vil møte begrepet hyppig. Se AI eller KI øverst i denne ordboken for full forklaring av navnebruken.
Hva er Digital Omnibus?
Digital Omnibus er en EU-endringspakke vedtatt av Europaparlamentet i mars 2026. Omnibus-forslaget er en del av en større pakke som ble lagt frem for å sikre bedre sammenheng i EUs digitale regelverk (f.eks AI Act, GDPR, cookies). Sentralt for AI Act justerer pakken tidsplanen i KI-forordningen og andre digitale regelverk. De viktigste endringene for norske bedrifter: krav til høyrisiko-KI ble utsatt fra august 2026 til desember 2027 (16 måneder utsettelse), og merkekrav for KI-generert innhold ble fastsatt til høsten 2026.
Hva er Artikkel 4 i KI-forordningen?
Artikkel 4 er bestemmelsen i KI-forordningen som pålegger alle leverandører og idriftsettere av KI-systemer å sørge for at ansatte og andre som håndterer KI-systemer på deres vegne har et tilstrekkelig nivå av KI-kompetanse (AI literacy). Artikkel 4 er det kravet som gjelder flest norske bedrifter – uavhengig av bransje, størrelse eller risikonivå på KI-verktøyene som brukes. Kravet trådte i kraft i EU 2. august 2025.
Hva er Artikkel 5 i KI-forordningen?
Artikkel 5 er forbudsbestemmelsen i KI-forordningen. Den forbyr visse former for KI som anses å utgjøre uakseptabel risiko i et demokratisk samfunn – blant annet KI som manipulerer folks atferd via subliminale teknikker, KI-basert sosial rangering (social scoring) av borgere, sanntids biometrisk fjernidentifikasjon i offentlige rom til rettshåndhevelse (med snevre unntak), og KI som tolker følelser på arbeidsplasser og i utdanningsinstitusjoner. Forbudene gjelder fra februar 2025.
Hva er EØS-relevans?
EØS-relevans betyr at et EU-regelverk er vurdert som relevant for det indre markedet og dermed skal innlemmes i EØS-avtalen, slik at det også gjelder i Norge, Island og Liechtenstein. KI-forordningen er erklært EØS-relevant, noe som betyr at den vil gjelde fullt ut i Norge – men norsk ikrafttredelse skjer gjennom en separat prosess og et vedtak i Stortinget.
Aktørene
Hva er en idriftsetter?
En idriftsetter (på engelsk: deployer) er etter KI-forordningens artikkel 3 nr. 4 «enhver fysisk eller juridisk person, herunder offentlig myndighet, byrå eller annet organ, som bruker et KI-system under sin myndighet, bortsett fra i personlig ikke-yrkesmessig bruk». I praksis: en norsk bedrift som bruker Microsoft Copilot, ChatGPT, GitHub Copilot eller andre KI-verktøy profesjonelt er idriftsetter. Det er ingen krav til størrelse eller bransje – en enkeltpersonforetak som bruker Copilot til å skrive anbud er idriftsetter.
Hva er en leverandør etter KI-forordningen?
En leverandør (på engelsk: provider) er etter KI-forordningens artikkel 3 nr. 3 en fysisk eller juridisk person som utvikler og/eller bringer et KI-system eller en KI-modell på markedet under eget navn eller varemerke. Eksempler: Microsoft (Copilot), OpenAI (ChatGPT), Google (Gemini), Anthropic (Claude). Norske programvarebedrifter som lager og selger KI-løsninger er leverandører. Leverandører har langt mer omfattende forpliktelser enn idriftsettere.
Hva er en operatør etter KI-forordningen?
Operatør er samlebetegnelsen i KI-forordningen for alle aktørene i KI-verdikjeden: leverandører, idriftsettere, importører og distributører. Begrepet brukes i de generelle delene av forordningen der plikter gjelder for alle aktørene. De fleste norske bedrifter er operatører i rollen som idriftsetter.
Kan en idriftsetter bli leverandør?
Ja, en idriftsetter anses som leverandør og overtar leverandørens plikter dersom de: (1) setter eget navn eller varemerke på et KI-system, (2) gjør vesentlige endringer i et KI-system, eller (3) endrer den opprinnelig tiltenkte bruken slik at systemet nå faller inn under høyrisikokategorien. Bedrifter som tilpasser eller videreutvikler eksisterende KI-løsninger bør derfor vurdere om de har blitt leverandør.
KI-systemer og modeller
Hva er et KI-system?
Et KI-system er etter KI-forordningens artikkel 3 nr. 1 «et maskinbasert system som er konstruert for å operere med varierende grad av autonomi, og som kan vise tilpasningsdyktighet etter utplassering, og som, for eksplisitte eller implisitte mål, ut fra inndataene det mottar, utleder hvordan man genererer utdata som prediksjoner, innhold, anbefalinger eller beslutninger som kan påvirke fysiske eller virtuelle miljøer». Microsoft Copilot, ChatGPT, GitHub Copilot og Google Gemini er alle KI-systemer etter denne definisjonen.
Hva er GPAI?
GPAI står for General Purpose AI – på norsk KI-modell for allmenne formål. En GPAI-modell er etter KI-forordningens artikkel 3 nr. 63 en KI-modell trent på store datamengder, med bred anvendbarhet som kan brukes til et bredt spekter av oppgaver. Eksempler: GPT-4 (OpenAI), Claude (Anthropic), Gemini (Google), Llama (Meta). GPAI-modeller er særskilt regulert i KI-forordningens kapittel 5, med krav som gjelder fra august 2025. Merk at produkter bygget på GPAI-modeller – som Microsoft Copilot – selv er KI-systemer.
Hva er en KI-modell?
En KI-modell er det underliggende treningssystemet som KI-systemer bygger på. Mens et KI-system er det ferdige produktet brukerne møter (f.eks. Microsoft Copilot), er KI-modellen det som driver systemet (f.eks. GPT-4). Skillet er viktig i KI-forordningen: leverandøren av modellen (OpenAI, Microsoft, Google) har egne forpliktelser som GPAI-leverandør, mens leverandøren av det ferdige KI-systemet og idriftsetter har sine egne plikter.
Risikoklassifisering
Hva er risikobasert tilnærming?
Den risikobaserte tilnærmingen er KI-forordningens grunnleggende prinsipp: kravene skaleres med risikoen KI-systemet utgjør. Systemet illustreres ofte som en pyramide med fire nivåer, fra forbudt (toppen) til minimal risiko (bunnen). Jo høyere risiko, desto strengere krav. Dette skiller KI-forordningen fra mange andre EU-regelverk som har flat regulering for alle.
Hva er høyrisiko-KI?
Høyrisiko-KI er KI-systemer som brukes innenfor bestemte kritiske bruksområder listet i KI-forordningens vedlegg III: biometri, kritisk infrastruktur, utdanning og yrkesrettet opplæring, sysselsetting og rekruttering, tilgang til offentlige og private tjenester (bank, forsikring, trygd, helse), rettshåndhevelse, migrasjon og grensekontroll, og rettspleie. KI-systemer i disse kategoriene er underlagt strenge krav til dokumentasjon, risikovurdering, menneskelig tilsyn og samsvarsvurdering. Kravene gjelder fra desember 2027 (utsatt via Digital Omnibus).
Hva er lavrisiko-KI?
Lavrisiko-KI er ikke et offisielt begrep i KI-forordningen, men brukes folkelig om KI-systemer som faller under kategoriene «begrenset risiko» eller «minimal risiko». Begrenset risiko-systemer (f.eks. chatboter og KI-generert innhold) har transparenskrav og merkeplikt. Minimal risiko-systemer (f.eks. KI-filtre i e-post, spillfigurer med kunstig intelligens) har ingen spesifikke lovkrav under forordningen.
Hva er uakseptabel risiko i KI-forordningen?
Uakseptabel risiko er den høyeste risikokategorien i KI-forordningen, og systemer i denne kategorien er forbudt. Dette gjelder blant annet: KI som manipulerer folks atferd underbevisst, sosial rangering av borgere, sanntids biometrisk fjernidentifikasjon i offentlige rom til rettshåndhevelse (med snevre unntak), og KI som vurderer risikoen for at en person vil begå straffbare handlinger basert på profileringsdata alene. Forbudene gjelder fra februar 2025.
KI-kompetanse og opplæring
Hva er KI-kompetanse (AI literacy)?
KI-kompetanse – på engelsk AI literacy – er etter KI-forordningens artikkel 4 og fortalepunkt 20 den kunnskapen og kompetansen ansatte og andre som håndterer KI-systemer skal ha. Dette inkluderer: teknisk forståelse av hva KI-systemer er og hvordan de fungerer, kunnskap om begrensninger som hallusinering og bias, evne til å tolke og kvalitetssikre KI-utdata, kunnskap om personvern og datasikkerhet ved bruk av KI, forståelse av menneskelig tilsyn og ansvar, og kjennskap til relevant regelverk. Kravets omfang skal tilpasses den ansattes rolle.
Hva er kompetansekravet i KI-forordningen?
Kompetansekravet er det som følger av Artikkel 4 i KI-forordningen – plikten for alle leverandører og idriftsettere til å sørge for tilstrekkelig KI-kompetanse hos sine ansatte. Kravet gjelder allerede i EU fra 2. august 2025 og er ikke utsatt av Digital Omnibus. Norske bedrifter med aktivitet i EU/EØS-markedet er allerede omfattet. For øvrige norske bedrifter gjelder kravet fra norsk KI-lov trer i kraft, forventet sensommeren 2026.
EU-kommisjonen har publisert en eksempelsamling med konkrete tiltak som kan hjelpe virksomheter i gang, kalt "Living Repository AI Literacy Practices", som er å finne her: https://digital-strategy.ec.europa.eu/en/policies/ai-literacy-practices
Hva er hallusinering i KI?
Hallusinering er et fagbegrep for når et KI-system produserer innhold som fremstår overbevisende, men er faktisk feil eller oppdiktet. Et typisk eksempel er en stor språkmodell (LLM) som oppgir en ikke-eksisterende dom, en feil lovparagraf, eller en juridisk kilde som ikke finnes. Hallusinering er en uheldig begrensning i dagens generative KI-modeller. KI-forordningen adresserer dette indirekte gjennom krav om menneskelig tilsyn og kvalitetssikring av KI-utdata – som er en del av kompetansekravet i Artikkel 4.
Hva er bias i KI?
Bias (skjevhet) i KI refererer til systematiske feil i KI-systemers vurderinger, forårsaket av at treningsdataene eller modellarkitekturen reflekterer skjevheter fra det virkelige liv. Et KI-system trent på historiske ansettelsesdata kan for eksempel favorisere visse kandidatprofiler over andre uten saklig grunn. Bias er særlig relevant for høyrisiko-KI-systemer brukt i rekruttering, kredittvurdering og lignende. Bevissthet om og evne til å oppdage bias er en del av KI-kompetansekravet i Artikkel 4.
Compliance-begreper
Hva er skygge-KI (shadow AI)?
Skygge-KI er KI-verktøy som ansatte bruker uten at ledelsen, HR eller IT har godkjent eller registrert bruken – typisk gratis ChatGPT, Claude.ai, Gemini eller Copilot fra private brukerkontoer til arbeidsoppgaver. Bedriften er juridisk idriftsetter for all slik bruk, uavhengig av om ledelsen kjenner til den. Skygge-KI utgjør en GDPR-risiko (sensitiv data kan havne i tredjepartsmodeller uten databehandleravtale), gjør det umulig å overholde merkekravet for KI-innhold, og vanskeliggjør Artikkel 4-etterlevelse.
Hva er en KI-policy?
En KI-policy er et internt styringsdokument som definerer bedriftens regler og rutiner for bruk av KI-verktøy. En KI-policy bør inneholde: liste over godkjente KI-verktøy, forbud mot å legge sensitiv eller konfidensiell informasjon inn i ikke-godkjente KI-systemer, regler for merking av KI-generert innhold, og ansvarlig enhet for KI-compliance. En formell KI-policy er ikke eksplisitt påkrevd av KI-forordningen, men er et sentralt verktøy for å oppfylle Artikkel 4 og for å styre skygge-KI-risikoen.
Hva er samsvarsvurdering i KI-forordningen?
Samsvarsvurdering (conformity assessment) er den formelle prosessen der leverandører av høyrisiko-KI-systemer dokumenterer og eventuelt får eksternt verifisert at systemet oppfyller kravene i KI-forordningen – herunder krav til datakvalitet, teknisk dokumentasjon, transparens, menneskelig tilsyn og nøyaktighet. For mange høyrisikosystemer kan leverandøren gjennomføre samsvarsvurderingen selv (selvevaluering); for visse systemer kreves tredjeparts sertifisering. Kravene gjelder fra desember 2027.
Hva er CE-merking for KI?
CE-merking for KI er merket som leverandører av høyrisiko-KI-systemer må påføre sine produkter for å vise at systemet er vurdert og godkjent i samsvar med KI-forordningen. CE-merkingen for KI-systemer følger samme logikk som CE-merking for andre regulerte produkter i EU, og signaliserer til kjøpere og tilsynsmyndigheter at leverandøren bekrefter samsvar med regelverket. CE-krav for KI-systemer gjelder fra desember 2027.
Hva er FRIA?
FRIA (Fundamental Rights Impact Assessment – konsekvensanalyse for grunnleggende rettigheter) er en vurdering idriftsettere av høyrisiko-KI-systemer skal gjennomføre for å kartlegge hvilke negative konsekvenser KI-systemet kan ha for grunnleggende rettigheter som helse, sikkerhet, likestilling og personvern. FRIA har likhetstrekk med personvernkonsekvensvurderingen (DPIA) etter GDPR, og dokumentasjon fra en DPIA kan ofte gjenbrukes. FRIA-kravet gjelder for idriftsettere av høyrisiko-KI fra desember 2027.
Hva er menneskelig tilsyn i KI-forordningen?
Menneskelig tilsyn (human oversight) er prinsippet om at det alltid skal finnes en person som kan overstyre, korrigere eller stoppe et KI-systems beslutninger og anbefalinger. KI-forordningen stiller krav om at høyrisiko-KI-systemer er konstruert slik at de muliggjør effektivt menneskelig tilsyn. For idriftsettere betyr dette at ansatte som bruker KI i beslutningsprosesser – særlig i høyrisiko-bruksområder – må ha kompetanse til å utøve reelt tilsyn, og ikke blindt stole på KI-utdata.
Merkekrav
Hva er merkekravet for KI-innhold?
Merkekravet for KI-innhold er bestemmelsen i KI-forordningen om at KI-generert innhold – herunder tekst, bilder, lyd og video produsert av KI-systemer – skal merkes slik at mottakeren kan se at innholdet er maskinlaget. Kravet gjelder fra høsten 2026 for nye systemer og fra november 2026 for eksisterende systemer (fastsatt via Digital Omnibus). Bedrifter som bruker KI til å produsere markedsføring, kundekommunikasjon eller pressemateriell bør forberede rutiner for merking nå.
Hva er vannmerking av KI-innhold?
Vannmerking (watermark) av KI-innhold er en teknisk metode der metadata eller usynlige markører legges inn i KI-generert innhold (bilder, lyd, video, tekst) for å muliggjøre maskinell deteksjon av at innholdet er KI-generert. Vannmerking er en av metodene leverandører av GPAI-modeller og KI-systemer kan bruke for å oppfylle merkekravet i KI-forordningen. For bedrifter som idriftsettere vil merkekravet i praksis bety at de må ha rutiner for å merke eksternt KI-generert innhold.
Tilsyn og håndhevelse
Hva er Nkom?
Nkom (Nasjonal kommunikasjonsmyndighet) er utpekt som nasjonal koordinerende markedstilsynsmyndighet for KI-forordningen i Norge og Norges nasjonale kontaktpunkt mot EU. Nkom vil ha ansvar for å føre tilsyn med at norske virksomheter overholder KI-forordningens krav, og vil fastsette retningslinjer for blant annet hva som anses som «tilstrekkelig» KI-kompetanse etter Artikkel 4.
Hva er Datatilsynets rolle i KI-tilsyn?
Datatilsynet er den norske tilsynsmyndigheten for personvern (GDPR). I KI-sammenheng fører Datatilsynet tilsyn der KI-systemer behandler personopplysninger – altså i skjæringspunktet mellom GDPR og KI-forordningen. Datatilsynet er ikke sektortilsyn for KI-forordningen generelt; det er Nkoms ansvar.
Relaterte regelverk
Hva er GDPR, og hvordan henger det sammen med KI-forordningen?
GDPR (General Data Protection Regulation – personvernforordningen) er EUs regelverk for behandling av personopplysninger, som gjelder i Norge via personopplysningsloven. KI-forordningen og GDPR er to separate regelverk, men overlapper der KI-systemer behandler personopplysninger – da gjelder begge parallelt. Mye av GDPR-arbeidet bedriften allerede har gjort (risikovurderinger, databehandleravtaler, loggingrutiner) er et godt utgangspunkt for KI-compliance.
Hva er en DPIA?
DPIA (Data Protection Impact Assessment – personvernkonsekvensvurdering) er en risikovurdering som etter GDPR artikkel 35 er påkrevd der behandling av personopplysninger sannsynligvis vil medføre høy risiko for enkeltpersoners rettigheter. For KI-systemer som behandler personopplysninger er DPIA særlig aktuelt. Dokumentasjon og vurderinger fra en DPIA kan i stor grad gjenbrukes i en FRIA (konsekvensanalyse for grunnleggende rettigheter) etter KI-forordningen.
Hva er NIS2, og er det relevant for KI?
NIS2 (Network and Information Security Directive 2) er EUs direktiv om cybersikkerhet i kritisk infrastruktur og viktige virksomheter, som er under innføring i Norge. NIS2 er ikke direkte en del av KI-forordningen, men er relevant for bedrifter i sektorer som energi, helse, finans og transport: de må følge både NIS2-krav til informasjonssikkerhet og KI-forordningens krav til sikker bruk av KI-systemer. For slike bedrifter er det lurt å se KI-compliance og NIS2-compliance i sammenheng.
Hurtigguide: Hvem sier hva?
Norsk begrepEngelsk begrepHva det betyr kortKI-forordningen / AI-lovenEU AI Act / AI ActEUs lov om kunstig intelligens (Reg. 2024/1689)KI-loven–Norsk gjennomføringslov, forventet 2026Digital OmnibusDigital OmnibusEU-endringspakke mars 2026, utsatte høyrisikokravIdriftsetterDeployerBedrift som bruker KI profesjoneltLeverandørProviderBedrift som lager/selger KI-systemerOperatørOperatorFellesbetegnelse for leverandører og idriftsettereKI-kompetanseAI literacyKravet til ansattes kunnskap om KI (Artikkel 4)Høyrisiko-KIHigh-risk AIKI i kritiske bruksområder (rekruttering, helse etc.)GPAIGPAIKI-modell for allmenne formål (ChatGPT, Claude etc.)HallusineringHallucinationNår KI produserer overbevisende, men feil innholdSkygge-KIShadow AIUautorisert KI-bruk i bedriftenFRIAFRIAKonsekvensanalyse for grunnleggende rettigheterSamsvarsvurderingConformity assessmentLeverandørens dokumentasjon av regelverksoverholdelseMenneskelig tilsynHuman oversightKrav om at mennesker kan overstyre KI-beslutningerMerkekravLabeling requirementKrav om å merke KI-generert innhold
Tidslinjen – når gjelder hva?
Finner du et begrep du savner? Se vår komplette guide: KI-forordningen for norske bedrifter. For en praktisk sjekkliste, se KI-compliance steg for steg.
Kildegrunnlag: Forordning (EU) 2024/1689 med fortalepunkter; Høringsnotat fra Digitaliserings- og forvaltningsdepartementet (2025); Uoffisiell norsk oversettelse av KI-forordningen (Regjeringen.no); NKOM – hvem gjelder KI-loven (18.12.2025); Digital Omnibus – Europaparlamentets resolusjon (mars 2026); Lexolve – ki-loven.lexolve.com (oppdatert april 2026).