Hva den digitale omnibusen om KI endrer for virksomheter som bruker KI (forordning (EU) 2026/1744)

Sist oppdatert

Forordning (EU) 2026/1744, den digitale omnibusen om KI, ble kunngjort i EU-tidende 24. juli 2026 og trådte i kraft i EU 27. juli 2026. Den skrev om plikten om KI-kompetanse i artikkel 4, la til to forbudte praksiser i artikkel 5 som gjelder fra 2. desember 2026, og flyttet datoene for høy risiko i artikkel 113. Pliktene for idriftsettere i artikkel 26 ble ikke endret.

Norge og EØS: KI-forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen arbeider med innlemmelsen og en ny KI-lov, og har som mål å fremme loven for Stortinget våren 2027. Norske virksomheter kan likevel være omfattet allerede nå: forordningen gjelder idriftsettere som er etablert i EU, og idriftsettere utenfor EU når utdataene fra KI-systemet brukes i EU (artikkel 2 nr. 1 bokstav b og c).

Siden oppsummerer hva som endres for en virksomhet som bruker ChatGPT, Claude, Copilot eller LLM-API-er, hva som er uendret og hva dere bør gjøre nå. Norsk er ikke et offisielt EU-språk, så gjengivelsene av forordningsteksten er våre egne norske gjengivelser av den engelske teksten i EU-tidende, kontrollert 9. november 2026. Datoene er EUs datoer. Dette er ikke juridisk rådgivning.

Opprett bedriftskontoeller skriv til contact@standardcompute.com

EnglishDeutschFrançaisNederlandsEspañolItalianoSvenskaDanskSuomiPolski

Korte svar

Hva endret forordning (EU) 2026/1744 for virksomheter som bruker KI?
For idriftsettere er fire punkter viktigst. Artikkel 4 krever nå tiltak som støtter KI-kompetanse, uten et garantert nivå. Artikkel 5 får to nye forbud fra 2. desember 2026: intime deepfakes av identifiserbare personer uten samtykke og materiale med seksuelle overgrep mot barn. Reglene for høy risiko gjelder fra 2. desember 2027 (vedlegg III) og 2. august 2028 (vedlegg I). Leverandører av generative systemer som allerede er på markedet, har frist til 2. desember 2026 med å merke innhold etter artikkel 50 nr. 2.
Hvilke KI-praksiser er nye forbud, og fra når?
Fra 2. desember 2026 forbyr artikkel 5 nr. 1 bokstav ba KI-systemer som genererer eller manipulerer realistiske intime bilder, videoer eller lyd av en identifiserbar person uten personens uttrykkelige samtykke, og bokstav bb KI-systemer som genererer eller manipulerer materiale med seksuelle overgrep mot barn slik det er definert i direktiv 2011/93/EU. For idriftsettere er bruken forbudt når systemet brukes til det formålet.
Er pliktene for idriftsettere i artikkel 26 endret?
Nei. Forordning 2026/1744 endrer ikke artikkel 26. Menneskelig tilsyn ved personer med nødvendig kompetanse, opplæring og myndighet, overvåking og lagring av logger i minst seks måneder er som før. Det som er flyttet, er datoen: for høyrisikosystemer etter vedlegg III gjelder de fra 2. desember 2027.
Har det betydning om vi bare bruker ChatGPT, Claude eller et LLM-API?
Ja. Artikkel 4 gjelder alle idriftsettere. De nye forbudene gjelder alle KI-systemer som brukes til å generere det forbudte materialet, også verktøy for allmenne formål. Bruksregler, opplæring og spørsmål til leverandører bør dekke begge deler.

Hva 2026/1744 endret, bestemmelse for bestemmelse

Forordning (EU) 2026/1744 endrer KI-forordningen, forordning (EU) 2024/1689, i 43 punkter. Tabellen viser endringene som betyr noe for en virksomhet som bruker KI-systemer og ikke lager høyrisikoprodukter.

Endringer i forordning (EU) 2026/1744 som er relevante for idriftsettere
BestemmelseHva som er endretHva det betyr for en virksomhet som bruker KI
Artikkel 4, KI-kompetanseHva som er endret: Erstattet. Leverandører og idriftsettere treffer tiltak som støtter utviklingen av KI-kompetanse; det kreves ikke et bestemt nivå hos enkeltpersoner. Gjelder i EU fra 27. juli 2026.Hva det betyr for en virksomhet som bruker KI: Fortsatt en plikt for alle virksomheter som bruker KI. Behold opplæringsprogrammet og dokumentasjonen.
Artikkel 5 nr. 1 bokstav ba og bbHva som er endret: To nye forbudte praksiser: intime bilder, videoer eller lyd av en identifiserbar person uten samtykke, og materiale med seksuelle overgrep mot barn. Gjelder fra 2. desember 2026.Hva det betyr for en virksomhet som bruker KI: Forbudt for alle brukere og alle verktøy. Skriv begge inn i bruksreglene.
Artikkel 5 nr. 1a og 1bHva som er endret: Angir når de nye forbudene gjelder: for leverandører når genereringen er systemets tiltenkte formål eller et forutsigbart resultat uten tilstrekkelige sikringstiltak; for idriftsettere når de bruker systemet til det formålet.Hva det betyr for en virksomhet som bruker KI: Spør leverandører av bilde-, video- og lydgenerering hvilke sikringstiltak de har og hvordan de retter opp rapportert misbruk.
Artikkel 113 tredje ledd bokstav cHva som er endret: Reglene for høy risiko i kapittel III avsnitt 1 til 3 gjelder fra 2. desember 2027 for systemer etter vedlegg III og fra 2. august 2028 for systemer etter vedlegg I.Hva det betyr for en virksomhet som bruker KI: Idriftsetterpliktene for bruk etter vedlegg III, for eksempel rekruttering eller kredittvurdering, starter 2. desember 2027.
Artikkel 111 nr. 4Hva som er endret: Leverandører av generative KI-systemer som ble brakt i omsetning før 2. august 2026, har frist til 2. desember 2026 med å oppfylle merkeplikten i artikkel 50 nr. 2.Hva det betyr for en virksomhet som bruker KI: Spør modelleverandørene fra når innholdet deres er merket. Tilbyr dere et eget generativt produkt, bør dere sjekke om dere er leverandøren.
Artikkel 27 nr. 4 og 5Hva som er endret: En konsekvensvurdering for grunnleggende rettigheter kan vise til personvernkonsekvensvurderingen etter personvernforordningen (GDPR). KI-kontoret (AI Office) utarbeider en spørreskjemamal.Hva det betyr for en virksomhet som bruker KI: For idriftsettere som må gjennomføre en, for eksempel offentlige organer og idriftsettere av systemer for kredittvurdering eller prising av liv- og helseforsikring.
Artikkel 4aHva som er endret: Leverandører og idriftsettere kan unntaksvis behandle særlige kategorier personopplysninger for å oppdage og rette skjevheter, med strenge sikringstiltak. Det oppstår ingen plikt til å gjøre det.Hva det betyr for en virksomhet som bruker KI: Dokumenter det i personverndokumentasjonen hvis dere tester KI-utdata for skjevheter.
Artikkel 75 nr. 1Hva som er endret: KI-kontoret har enekompetanse for KI-systemer som bygger på en KI-modell for allmenne formål fra samme leverandør. For idriftsettere bare når de også er leverandør.Hva det betyr for en virksomhet som bruker KI: For deres egen bruk av et slikt system er nasjonale markedstilsynsmyndigheter fortsatt kompetente, med mindre dere også er leverandøren.
Artikkel 99Hva som er endret: Sanksjoner tar hensyn til interessene til små og mellomstore bedrifter og små mid cap-selskaper. For små mid cap-selskaper gjelder det laveste av beløpet og prosentsatsen.Hva det betyr for en virksomhet som bruker KI: Taket for bøter for forbudte praksiser er uendret.

Sammendrag av artikkel 1 i forordning (EU) 2026/1744, kontrollert 9. november 2026. Ikke juridisk rådgivning.

De to nye forbudene i artikkel 5

Artikkel 5 nr. 1 bokstav ba forbyr, i vår norske gjengivelse av den engelske teksten, å bringe i omsetning, ta i bruk eller bruke et KI-system som genererer eller manipulerer realistiske bilder, videoer, lyd eller lignende materiale av en identifiserbar fysisk persons intime kroppsdeler, eller av en identifiserbar fysisk person som deltar i seksuelt eksplisitte handlinger, uten at personen har gitt et frivillig, spesifikt, informert, utvetydig og uttrykkelig samtykke til denne genereringen eller manipuleringen.

Bokstav bb forbyr på samme måte å bringe i omsetning, ta i bruk eller bruke et KI-system som genererer eller manipulerer materiale eller fremføringer slik det er definert i artikkel 2 bokstav c og e i direktiv 2011/93/EU, unntatt der et forsvar om at handlingen ikke var rettsstridig, gjelder etter nasjonal rett. Direktiv 2011/93/EU er EU-direktivet om bekjempelse av seksuelle overgrep mot og seksuell utnytting av barn og barnepornografi.

For en virksomhet som bruker KI, er det regelen for idriftsettere i artikkel 5 nr. 1a bokstav b som gjelder: bruk av et KI-system som genererer eller manipulerer slikt materiale, er bare forbudt når idriftsetteren bruker systemet for å generere eller manipulere slikt materiale. Artikkel 5 nr. 1b legger til at manipulering som ikke øker eksponeringen av avbildede intime kroppsdeler eller endrer arten av avbildede seksuelt eksplisitte handlinger, ikke regnes som manipulering etter bokstav ba.

Datoen står i artikkel 113 tredje ledd bokstav a slik den nå lyder: kapittel I og II gjelder fra 2. februar 2025, med unntak av artikkel 5 nr. 1 første ledd bokstav ba og bb og artikkel 5 nr. 1a og 1b, som gjelder fra 2. desember 2026. Brudd på et forbud i artikkel 5 kan gi bøter på opptil 35 millioner euro eller 7 % av den samlede globale årsomsetningen, avhengig av hva som er høyest (artikkel 99 nr. 3, uendret). For små og mellomstore bedrifter, og nå også små mid cap-selskaper, gjelder det laveste beløpet.

En beslektet plikt gjelder allerede i EU. Siden 2. august 2026 har artikkel 50 nr. 4 krevd at idriftsettere av et KI-system som genererer eller manipulerer bilde-, lyd- eller videoinnhold som utgjør en deepfake, opplyser om at innholdet er kunstig generert eller manipulert.

Artikkel 4: KI-kompetanse, omskrevet

Artikkel 4 er erstattet. Leverandører og idriftsettere skal fortsatt treffe tiltak som støtter KI-kompetansen hos sine ansatte og andre som handler på deres vegne, og artikkel 4 nr. 1 slutter nå med at plikten ikke krever at leverandører eller idriftsettere garanterer et bestemt nivå av KI-kompetanse hos noen enkeltperson. Den tidligere ordlyden, om å sikre et tilstrekkelig nivå av KI-kompetanse så langt det er mulig, er borte.

Hva plikten krever i dag, hva Kommisjonens spørsmål og svar forventer og en sjekkliste med opplæringslogg, står på siden om KI-kompetanse etter artikkel 4. De nye forbudene hører hjemme i den opplæringen: De som genererer bilder, video eller lyd, må vite hva som er forbudt.

Datoene i KI-forordningen etter omnibusen

Tidslinjen i KI-forordningen slik den er endret ved forordning (EU) 2026/1744 (EUs datoer)
DatoHva som gjelderBestemmelse
2. februar 2025Hva som gjelder: Kapittel I og II, blant annet artikkel 4 og de opprinnelige forbudte praksiseneBestemmelse: Artikkel 113 tredje ledd bokstav a
24. juli 2026Hva som gjelder: Forordning (EU) 2026/1744 kunngjøres i EU-tidendeBestemmelse: EU-tidende
27. juli 2026Hva som gjelder: Forordning (EU) 2026/1744 trer i kraft, med den nye artikkel 4; artikkel 102 til 110 gjelderBestemmelse: 2026/1744 artikkel 4; artikkel 113 tredje ledd bokstav d
2. august 2026Hva som gjelder: Generell anvendelsesdato, blant annet åpenhetspliktene i artikkel 50 som opplysningsplikten for deepfakes i artikkel 50 nr. 4Bestemmelse: Artikkel 113
2. desember 2026Hva som gjelder: Nye forbud i artikkel 5 nr. 1 bokstav ba og bb; leverandører av generative systemer som ble brakt i omsetning før 2. august 2026, oppfyller artikkel 50 nr. 2Bestemmelse: Artikkel 113 tredje ledd bokstav a; artikkel 111 nr. 4
2. desember 2027Hva som gjelder: Reglene for høy risiko for systemer etter vedlegg III, blant annet idriftsetterpliktene i artikkel 26Bestemmelse: Artikkel 113 tredje ledd bokstav c punkt i
2. august 2028Hva som gjelder: Reglene for høy risiko for KI-systemer i produkter etter vedlegg IBestemmelse: Artikkel 113 tredje ledd bokstav c punkt ii
2. august 2030Hva som gjelder: Leverandører og idriftsettere av høyrisikosystemer som brukes av offentlige myndigheter, oppfyller kravene, også for eksisterende systemerBestemmelse: Artikkel 111 nr. 2

Etter den engelske teksten i EU-tidende, kontrollert 9. november 2026. Ikke juridisk rådgivning.

Artikkel 111 nr. 4 sier, i vår gjengivelse, at leverandører av KI-systemer, også KI-systemer for allmenne formål, som genererer syntetisk lyd-, bilde-, video- eller tekstinnhold og som ble brakt i omsetning før 2. august 2026, skal treffe de nødvendige tiltakene for å oppfylle artikkel 50 nr. 2 innen 2. desember 2026. Systemer som bringes i omsetning fra 2. august 2026, må oppfylle kravet fra den datoen.

Den nye artikkel 111 nr. 2 omfatter høyrisikosystemer som ble brakt i omsetning eller tatt i bruk før anvendelsesdatoen for kapittel III, bare hvis utformingen endres vesentlig fra den datoen.

Hva som ikke er endret

Artikkel 26, pliktene for idriftsettere av høyrisikosystemer. Ingen punkter i forordning 2026/1744 endrer den. Idriftsettere bruker systemet i samsvar med bruksanvisningen, gir det menneskelige tilsynet til personer med nødvendig kompetanse, opplæring og myndighet (artikkel 26 nr. 2), overvåker systemet, oppbevarer loggene de kontrollerer i minst seks måneder (artikkel 26 nr. 6) og informerer arbeidstakere før et høyrisikosystem tas i bruk på arbeidsplassen. Bare startdatoen er flyttet, gjennom artikkel 113.

Åpenhetspliktene i artikkel 50. Bare artikkel 50 nr. 7, om atferdsregler, er erstattet. Opplysningsplikten for deepfakes i nr. 4 og merkeplikten i nr. 2 lyder som før.

De opprinnelige forbudte praksisene i artikkel 5 nr. 1 bokstav a til h, som har gjeldt i EU siden 2. februar 2025, definisjonene av idriftsetter (artikkel 3 nr. 4) og KI-kompetanse (artikkel 3 nr. 56), listen over høyrisikobruk i vedlegg III og taket for bøter for forbudte praksiser i artikkel 99 nr. 3.

Hvordan pliktene gjelder for en virksomhet som bruker LLM-er, står på siden om plikter etter KI-forordningen.

Hva dere bør gjøre nå

De nye forbudene gjelder i EU fra 2. desember 2026. Stegene passer inn i dokumentene de fleste virksomheter allerede har.

Steg for virksomheter som bruker KI etter forordning (EU) 2026/1744
StegHva dere gjørHvor dere begynner
1. Oppdater KI-retningslinjeneHva dere gjør: Legg til de to nye forbudte bruksområdene, regelen om å opplyse om deepfakes og datoen for neste gjennomgangHvor dere begynner: Mal for KI-retningslinjer
2. Sett bruksregler for bilde-, video- og lydgenereringHva dere gjør: Ingen intime eller seksuelt eksplisitte bilder, videoer eller lyd av en virkelig, identifiserbar person uten personens uttrykkelige samtykke; aldri seksuelt materiale som involverer barn; opplys om deepfakes dere publiserer; bestem hvem som godkjenner nye genereringsverktøyHvor dere begynner: Et avsnitt i KI-retningslinjene
3. List opp verktøyene som kan generere bilder, video eller lydHva dere gjør: Også funksjoner i annen programvare og modell-API-er som utviklerne deres kallerHvor dere begynner: Sjekkliste til KI-forordningen for idriftsettere
4. Spør leverandøreneHva dere gjør: Hvilke sikringstiltak som hindrer forbudt innhold, og hvordan rapportert misbruk rettes opp (artikkel 5 nr. 1a); hvordan og fra når innhold merkes (artikkel 50 nr. 2 og artikkel 111 nr. 4); hvilke modeller og leverandører som behandler dataene deresHvor dere begynner: Kravspesifikasjon for anbud på en KI-plattform
5. Oppdater opplæringen i KI-kompetanseHva dere gjør: Legg de nye forbudene og opplysningsregelen inn i grunnmodulen for alle som genererer innholdHvor dere begynner: KI-kompetanse etter artikkel 4
6. Planlegg høyrisikobrukHva dere gjør: For bruk etter vedlegg III, planlegg pliktene i artikkel 26 til 2. desember 2027 og, der det kreves, en konsekvensvurdering for grunnleggende rettigheter som viser til personvernkonsekvensvurderingen deresHvor dere begynner: Plikter etter KI-forordningen
7. Før en datert loggHva dere gjør: Hva dere endret, når og hvilken bestemmelse det svarer påHvor dere begynner: Versjonshistorikken til retningslinjene

Ikke juridisk rådgivning. Juristene deres avgjør hva KI-forordningen krever av virksomheten.

Der en gateway hjelper

Bruksregler er lettere å holde når tilgangen til modeller går gjennom ett sted. Standard Compute er én måte å gjøre det på for modell-API-er, Claude Code og Claude Desktop: hver person og hver app får sin egen nøkkel, alt under én bedriftskonto. Bestem hvilke modeller hver nøkkel kan bruke, slik at hver app og hvert teammedlem får akkurat de modellene dere godkjenner.

Velg nøyaktig hvilke inferensleverandører som kan behandle dataene deres, for hele virksomheten, et team eller én nøkkel. Hver administratorendring logges med verdien før og etter, slik at oversikten over hvem som kunne bruke hvilken modell, ligger ved siden av retningslinjene deres.

Disse innstillingene bestemmer hvilke modeller og leverandører som kan brukes. De vurderer ikke prompter eller utdata og gjør ingen bruk lovlig.

Spørsmål fra juridisk, compliance og innkjøp

Er en bilde- eller videogenerator for allmenne formål nå forbudt?
Ikke i seg selv. For leverandører forbyr artikkel 5 nr. 1a bokstav a å bringe systemet i omsetning når den forbudte genereringen er det tiltenkte formålet, eller et rimelig forutsigbart og reproduserbart resultat uten at systemet har rimelige og tilstrekkelige sikringstiltak for å hindre det på en pålitelig måte og rette opp rapportert misbruk. For idriftsettere er bruken forbudt når systemet brukes til det formålet.
Er forordning (EU) 2026/1744 fortsatt et forslag?
Nei. Den ble vedtatt 8. juli 2026, kunngjort i EU-tidende 24. juli 2026 og trådte i kraft i EU 27. juli 2026, tredje dag etter kunngjøringen. I Norge er KI-forordningen ennå ikke innlemmet i EØS-avtalen.
Er fristene for høy risiko flyttet?
Ja. Kapittel III avsnitt 1 til 3 gjelder nå fra 2. desember 2027 for systemer som er klassifisert som høyrisiko etter artikkel 6 nr. 2 og vedlegg III, og fra 2. august 2028 for systemer etter artikkel 6 nr. 1 og vedlegg I. De opprinnelige datoene var 2. august 2026 og 2. august 2027.
Endrer omnibusen hvem som fører tilsyn med vår bruk av KI?
For de fleste virksomheter ikke. KI-kontoret får enekompetanse for KI-systemer som bygger på en KI-modell for allmenne formål når modell og system kommer fra samme leverandør, og for KI-systemer i svært store nettplattformer og søkemotorer. For idriftsettere gjelder den kompetansen bare når de også er leverandør eller hører til samme foretak.
Omfattes redigering av et foto med KI av det nye forbudet?
Etter artikkel 5 nr. 1b regnes manipulering som ikke øker eksponeringen av avbildede intime kroppsdeler eller endrer arten av avbildede seksuelt eksplisitte handlinger, ikke som manipulering etter bokstav ba. Å generere eller manipulere intimt eller seksuelt eksplisitt materiale av en identifiserbar person uten uttrykkelig samtykke er forbudt.

Kilder

  1. Forordning (EU) 2026/1744 (Digital Omnibus on AI), EU-tidende L, 24. juli 2026: artikkel 1 og artikkel 4 (EUR-Lex, engelsk), kontrollert 2026-11-09
  2. Forordning (EU) 2024/1689 (KI-forordningen): artikkel 26, 50 nr. 4 og 99 nr. 3 (EUR-Lex, engelsk), kontrollert 2026-11-09
  3. Regjeringen: uoffisiell norsk oversettelse av KI-forordningen (EU) 2024/1689 (PDF), kontrollert 2026-11-09
  4. Direktiv 2011/93/EU om bekjempelse av seksuelle overgrep mot og seksuell utnytting av barn og barnepornografi (EUR-Lex, engelsk), kontrollert 2026-11-09
  5. KI-forordningen, artikkel 5: forbudte praksiser, konsolidert tekst (AI Act Service Desk, engelsk), kontrollert 2026-11-09
  6. KI-forordningen, artikkel 26: plikter for idriftsettere av høyrisikosystemer (AI Act Service Desk, engelsk), kontrollert 2026-11-09
  7. KI-forordningen, artikkel 50: åpenhetsplikter (AI Act Service Desk, engelsk), kontrollert 2026-11-09
  8. KI-forordningen, artikkel 111: KI-systemer som allerede er brakt i omsetning (AI Act Service Desk, engelsk), kontrollert 2026-11-09
  9. KI-forordningen, artikkel 113: ikrafttredelse og anvendelse (AI Act Service Desk, engelsk), kontrollert 2026-11-09

Opprett en bedriftskonto, gi hver person og app sin egen nøkkel med modellene og leverandørene dere godkjenner, og legg administratorloggen ved siden av KI-retningslinjene.

Opprett bedriftskonto