Hva krever KI-forordningen av en virksomhet som bruker LLM-er internt?

Som idriftsetter setter dere i verk tiltak som fremmer KI-kompetansen hos de ansatte som arbeider med KI (artikkel 4, i EU fra 2. februar 2025). Fra 2. august 2026 opplyser dere om det når dere publiserer dypforfalskninger eller KI-generert tekst som skal informere allmennheten om saker av allmenn interesse (artikkel 50). Bruker dere KI til et formål med høy risiko etter vedlegg III, for eksempel rekruttering eller kredittvurdering, kommer pliktene i artikkel 26 i tillegg fra 2. desember 2027.

Hvem har pliktene for KI-modeller for allmenne formål?

Leverandørene av modellene. Pliktene deres i kapittel V gjelder i EU fra 2. august 2025. En virksomhet som bruker GPT, Claude eller Gemini via et API, er idriftsetter av KI-systemet den bruker.

Må vi logge bruken av LLM-er?

Forordningen krever logger ved bruk med høy risiko: etter artikkel 26 nr. 6 oppbevarer idriftsettere loggene et KI-system med høy risiko genererer automatisk, i den grad de er under deres kontroll, i minst seks måneder, med mindre unionsretten eller nasjonal rett, særlig om vern av personopplysninger, bestemmer noe annet. Uansett er en oversikt over hvilke modeller og leverandører hver applikasjon bruker, utgangspunktet for en oversikt over KI-systemene deres. Den oversikten fører en gateway.

Vi bruker LLM-API-er internt. Hva endret seg i august 2026?

I EU har åpenhetspliktene i artikkel 50 gjeldt fra 2. august 2026. Kravet om KI-kompetanse har gjeldt fra 2. februar 2025, og pliktene for idriftsettere ved bruk med høy risiko etter vedlegg III begynner 2. desember 2027. I Norge gjelder forordningen når den er innlemmet i EØS-avtalen og gjennomført i norsk rett.

Overtar Standard Compute pliktene våre etter KI-forordningen?

Pliktene ligger hos virksomheten deres som idriftsetter. Standard Compute leverer dokumentasjonen og reglene arbeidet bygger på: en forespørselslogg med modell, leverandør og regionregel i 12 måneder, en administratorlogg, godkjenningslister for modeller og leverandører og Europa-regelen.

Lagrer forespørselsloggen promptene våre?

Nei. Forespørselslogger inneholder bare metadata (modell, leverandør, tokens, kostnad og status), aldri promptene eller svarene deres. Vi behandler promptene i minnet for å betjene hver forespørsel og skriver dem aldri til lagring eller logger.

Hva bør innkjøp spørre en LLM-leverandør om KI-forordningen og GDPR?

Hvor promptene behandles, om innhold lagres eller brukes til trening, hvem underleverandørene er og hvilken dokumentasjon dere får. Standard Compute svarer med Europa-regelen, null datalagring, en databehandleravtale dere signerer i dashbordet, en offentlig liste over underleverandører med 14 dagers varsel og en forespørselslogg over 12 måneder.

Blir vi modelleverandør av å kalle Claude, GPT eller Gemini via API?

Nei. Forordningen kaller en virksomhet som bruker et KI-system under egen myndighet, for idriftsetter. Leverandøren av en modell er selskapet som utvikler den og bringer den i omsetning.

KI-forordningen: hvilke plikter har virksomheter som bruker LLM-er?

Sist oppdatert 9. november 2026

For en virksomhet som bruker LLM-er via API eller som assistenter, handler KI-forordningen først og fremst om plikter for idriftsettere: KI-kompetanse hos de ansatte (artikkel 4, fra 2. februar 2025), åpenhet om dypforfalskninger og KI-generert tekst om saker av allmenn interesse (artikkel 50, fra 2. august 2026) og, bare ved bruk med høy risiko etter vedlegg III, pliktene i artikkel 26 fra 2. desember 2027, blant annet å oppbevare automatisk genererte logger i minst seks måneder. Datoene er EUs datoer.

Norge og EØS: KI-forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen arbeider med innlemmelsen og en ny KI-lov, og har som mål å fremme loven for Stortinget våren 2027. Norske virksomheter kan likevel være omfattet allerede nå: forordningen gjelder idriftsettere som er etablert i EU, og idriftsettere utenfor EU når utdataene fra KI-systemet brukes i EU (artikkel 2 nr. 1 bokstav b og c).

Standard Compute leverer den praktiske delen: modell, leverandøren som betjente forespørselen, og gjeldende regionregel for hver forespørsel, oppbevart i 12 måneder og klar til eksport, i tillegg til en administratorlogg, godkjenningslister for modeller og leverandører og Europa-regelen. Siden oppsummerer de offisielle tekstene med artikkel og dato. Hva som gjelder for deres virksomhet, avgjør den juridiske avdelingen deres.

Opprett bedriftskontoeller skriv til contact@standardcompute.com

English Deutsch Français Nederlands Italiano Español Svenska Dansk Suomi Polski

Korte svar

Gjelder KI-forordningen i Norge?: Forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen arbeider med innlemmelsen og en ny KI-lov, og har som mål å fremme loven for Stortinget våren 2027. Den gjelder likevel norske virksomheters enheter i EU, og idriftsettere utenfor EU når utdataene fra KI-systemet brukes i EU (artikkel 2 nr. 1 bokstav b og c).
Hva krever KI-forordningen av en virksomhet som bruker LLM-er internt?: Som idriftsetter setter dere i verk tiltak som fremmer KI-kompetansen hos de ansatte som arbeider med KI (artikkel 4, i EU fra 2. februar 2025). Fra 2. august 2026 opplyser dere om det når dere publiserer dypforfalskninger eller KI-generert tekst som skal informere allmennheten om saker av allmenn interesse (artikkel 50). Bruker dere KI til et formål med høy risiko etter vedlegg III, for eksempel rekruttering eller kredittvurdering, kommer pliktene i artikkel 26 i tillegg fra 2. desember 2027.
Hvem har pliktene for KI-modeller for allmenne formål?: Leverandørene av modellene. Pliktene deres i kapittel V gjelder i EU fra 2. august 2025. En virksomhet som bruker GPT, Claude eller Gemini via et API, er idriftsetter av KI-systemet den bruker.
Må vi logge bruken av LLM-er?: Forordningen krever logger ved bruk med høy risiko: etter artikkel 26 nr. 6 oppbevarer idriftsettere loggene et KI-system med høy risiko genererer automatisk, i den grad de er under deres kontroll, i minst seks måneder, med mindre unionsretten eller nasjonal rett, særlig om vern av personopplysninger, bestemmer noe annet. Uansett er en oversikt over hvilke modeller og leverandører hver applikasjon bruker, utgangspunktet for en oversikt over KI-systemene deres. Den oversikten fører en gateway.

Hvilke frister i KI-forordningen gjelder for virksomheter?

Datoene kommer fra artikkel 113 og artikkel 111 i forordning (EU) 2024/1689, slik de er endret ved den digitale omnibusen om KI. Det er EUs datoer: i Norge gjelder forordningen først når den er innlemmet i EØS-avtalen og gjennomført i norsk rett.

Frister i KI-forordningen
Dato	Hva som gjelder	Offisiell kilde
1. august 2024	Hva som gjelder: KI-forordningen, forordning (EU) 2024/1689, trer i kraft i EU.	Offisiell kilde: EUR-Lex
2. februar 2025	Hva som gjelder: Kapittel I gjelder, blant annet kravet om KI-kompetanse i artikkel 4.	Offisiell kilde: Artikkel 113, artikkel 4
2. august 2025	Hva som gjelder: Pliktene for leverandører av KI-modeller for allmenne formål (kapittel V) gjelder.	Offisiell kilde: Artikkel 113
2. august 2026	Hva som gjelder: Forordningen gjelder generelt, også åpenhetspliktene i artikkel 50.	Offisiell kilde: Artikkel 113, artikkel 50
2. desember 2026	Hva som gjelder: Overgangsperioden i artikkel 111 nr. 4 utløper: leverandører av systemer som er brakt i omsetning før 2. august 2026, skal merke syntetiske utdata i et maskinlesbart format etter artikkel 50 nr. 2.	Offisiell kilde: Artikkel 111
2. desember 2027	Hva som gjelder: Kravene til KI-systemer med høy risiko etter vedlegg III, for eksempel rekruttering, arbeidsforhold, kredittverdighet og utdanning, inkludert pliktene for idriftsettere i artikkel 26.	Offisiell kilde: Artikkel 113, artikkel 26
2. august 2028	Hva som gjelder: Kravene til KI med høy risiko i produkter som omfattes av EUs harmoniseringsregelverk i vedlegg I.	Offisiell kilde: Artikkel 113

Sammendrag av de offisielle tekstene, kontrollert 9. november 2026. Ikke juridisk rådgivning.

Er vi leverandør eller idriftsetter når vi bruker en LLM via API?

Forordningen kaller enhver fysisk eller juridisk person, offentlig myndighet, etat eller annet organ som bruker et KI-system under egen myndighet, for idriftsetter (artikkel 3 nr. 4), unntatt ved personlig, ikke-profesjonell bruk. En virksomhet som kaller GPT, Claude eller Gemini via et API eller gir de ansatte en KI-assistent, er idriftsetter av det systemet. Begrepene er hentet fra regjeringens uoffisielle norske oversettelse av forordningen.

Pliktene for KI-modeller for allmenne formål i kapittel V, for eksempel teknisk dokumentasjon og informasjon til leverandører lenger ned i verdikjeden, ligger hos selskapene som utvikler modellene og bringer dem i omsetning.

Hva krever artikkel 50 fra 2. august 2026?

Leverandører av KI-systemer som genererer syntetisk lyd-, bilde-, video- eller tekstinnhold, merker utdataene i et maskinlesbart format som kunstig generert eller manipulert (artikkel 50 nr. 2). For systemer som er brakt i omsetning før 2. august 2026, gjelder dette etter artikkel 111 nr. 4 fra 2. desember 2026.

Idriftsettere opplyser om at bilde-, lyd- eller videoinnhold som utgjør en dypforfalskning, er kunstig generert eller manipulert (artikkel 50 nr. 4). Det samme gjelder KI-generert eller manipulert tekst som publiseres for å informere allmennheten om saker av allmenn interesse, med mindre teksten er gjennomgått av et menneske eller underlagt redaksjonell kontroll og noen har det redaksjonelle ansvaret. Idriftsettere av systemer for følelsesgjenkjenning eller biometrisk kategorisering informerer personene som berøres (artikkel 50 nr. 3).

Hvor lenge må idriftsettere oppbevare logger?

Bare ved bruk med høy risiko. Den som bruker KI til et formål i vedlegg III, for eksempel utvelgelse av søkere, arbeidsledelse, kredittvurdering eller utdanning, bruker et KI-system med høy risiko. Artikkel 26 krever da fra 2. desember 2027 blant annet at systemet brukes i samsvar med leverandørens bruksanvisning, at menneskelig tilsyn overlates til personer med nødvendig kompetanse, og at driften overvåkes.

Artikkel 26 nr. 6: idriftsettere oppbevarer loggene KI-systemet med høy risiko genererer automatisk, i den grad de er under deres kontroll, i en periode som passer det tiltenkte formålet, og i minst seks måneder, med mindre annet følger av unionsretten eller nasjonal rett, særlig om vern av personopplysninger.

Hvilken dokumentasjon gir en KI-gateway?

Standard Compute samler Claude, GPT, Gemini og åpne modeller under én bedriftskonto, med en nøkkel til hver person og hver applikasjon. Oversikten over KI-systemer, retningslinjene for bruk og dokumentasjonen ligger da på ett sted.

Hver administratorendring registreres med verdien før og etter, og dere kan eksportere en oversikt over hver forespørsel med modell, leverandøren som betjente den, og gjeldende regionregel, oppbevart i 12 måneder. Forespørselslogger inneholder bare metadata (modell, leverandør, tokens, kostnad og status), aldri promptene eller svarene deres.

Bestem hvilke modeller hver nøkkel kan bruke, og hvilke inferensleverandører som kan behandle dataene deres, for hele virksomheten, et team eller en nøkkel. Lavere nivåer kan bare stramme inn reglene, og reserveruter kan aldri gå rundt listen deres. Med en Europa-regel betjenes hver forespørsel, også nye forsøk og reserveruter, bare av godkjente europeiske inferensendepunkter.

Hva gatewayen registrerer og hvilket arbeid det støtter
Funksjon	Hva den gjør	Støtter
Eksport av forespørselsloggen	Hva den gjør: Modell, leverandøren som betjente forespørselen, og regionregel for hver forespørsel, oppbevart i 12 måneder og klar til eksport	Støtter: Dokumentasjon av bruk, oversikt over KI-systemer
Administratorlogg	Hva den gjør: Hver administratorendring med verdien før og etter	Støtter: Historikk for retningslinjene
Godkjenningsliste for modeller	Hva den gjør: Bare modellene dere godkjenner for hver applikasjon eller person	Støtter: Retningslinjer for bruk
Godkjenningsliste for leverandører	Hva den gjør: Bare godkjente inferensleverandører; nye bare når en administrator godkjenner dem	Støtter: Valg av leverandører
Én nøkkel per person og applikasjon	Hva den gjør: Bruken knyttes til en person eller applikasjon fra første forespørsel	Støtter: Oversikt over KI-systemer
Europa-regel	Hva den gjør: Forespørsler, nye forsøk og reserveruter bare via godkjente europeiske inferensendepunkter	Støtter: Personvernarbeid
Enkel pålogging (SSO)	Hva den gjør: Microsoft Entra ID eller en annen SAML-identitetsleverandør	Støtter: Dokumentasjon av tilgang

Standard Compute-dashbordet, administratorlogg: endringer i regionregel, null datalagring, utgiftstak, modellvalg for en applikasjonsnøkkel og SSO-domene, hver med verdien før og etter. — Administratorloggen: hver endring i regler, budsjetter og nøkler med verdien før og etter. Bedriften er et eksempel, og dashbordet er på engelsk.

Dette er gatewayens dokumentasjon av hvilke modeller og leverandører som brukes. Loggene i artikkel 26 nr. 6 er de et KI-system med høy risiko selv genererer. Hva forordningen krever av deres virksomhet, avgjør den juridiske avdelingen deres, og dokumentasjonen til det arbeidet ligger samlet hos Standard Compute.

Spørsmål fra IT, sikkerhet og innkjøp

Vi bruker LLM-API-er internt. Hva endret seg i august 2026?: I EU har åpenhetspliktene i artikkel 50 gjeldt fra 2. august 2026. Kravet om KI-kompetanse har gjeldt fra 2. februar 2025, og pliktene for idriftsettere ved bruk med høy risiko etter vedlegg III begynner 2. desember 2027. I Norge gjelder forordningen når den er innlemmet i EØS-avtalen og gjennomført i norsk rett.
Overtar Standard Compute pliktene våre etter KI-forordningen?: Pliktene ligger hos virksomheten deres som idriftsetter. Standard Compute leverer dokumentasjonen og reglene arbeidet bygger på: en forespørselslogg med modell, leverandør og regionregel i 12 måneder, en administratorlogg, godkjenningslister for modeller og leverandører og Europa-regelen.
Lagrer forespørselsloggen promptene våre?: Nei. Forespørselslogger inneholder bare metadata (modell, leverandør, tokens, kostnad og status), aldri promptene eller svarene deres. Vi behandler promptene i minnet for å betjene hver forespørsel og skriver dem aldri til lagring eller logger.
Hva bør innkjøp spørre en LLM-leverandør om KI-forordningen og GDPR?: Hvor promptene behandles, om innhold lagres eller brukes til trening, hvem underleverandørene er og hvilken dokumentasjon dere får. Standard Compute svarer med Europa-regelen, null datalagring, en databehandleravtale dere signerer i dashbordet, en offentlig liste over underleverandører med 14 dagers varsel og en forespørselslogg over 12 måneder.
Blir vi modelleverandør av å kalle Claude, GPT eller Gemini via API?: Nei. Forordningen kaller en virksomhet som bruker et KI-system under egen myndighet, for idriftsetter. Leverandøren av en modell er selskapet som utvikler den og bringer den i omsetning.

Kilder

Forordning (EU) 2024/1689 (KI-forordningen), EUR-Lex, engelsk versjon, kontrollert 9. november 2026
Forordning (EU) 2026/1744 (digital omnibus om KI), EUR-Lex, kontrollert 9. november 2026
Artikkel 4, EU-kommisjonens AI Act Service Desk, kontrollert 9. november 2026
Artikkel 26, AI Act Service Desk, kontrollert 9. november 2026
Artikkel 50, AI Act Service Desk, kontrollert 9. november 2026
Artikkel 111, AI Act Service Desk, kontrollert 9. november 2026
Artikkel 113, AI Act Service Desk, kontrollert 9. november 2026
KI-forordningen, uoffisiell norsk oversettelse, regjeringen.no, kontrollert 9. november 2026
Tung vil sende KI-loven med endringer på høring, regjeringen.no, 4. august 2026, kontrollert 9. november 2026
Regjeringen sender forenklinger i KI-forordningen på høring, regjeringen.no, 30. oktober 2026, kontrollert 9. november 2026

Opprett virksomheten, sett reglene for modeller og leverandører, og start forespørselsloggen som arbeidet med KI-forordningen bygger på.

Opprett bedriftskonto