Er det høyrisiko etter KI-forordningen å bruke ChatGPT, Claude eller en kodeagent til kontorarbeid?

Høy risiko gjelder systemene i artikkel 6 nr. 1 og bruksområdene i vedlegg III, for eksempel rekruttering, arbeidsledelse, kredittverdighet, utdanning og tilgang til vesentlige tjenester. Utkast, oversettelse, oppsummering og kodehjelp står ikke på den listen. Det samme verktøyet blir høyrisiko når det brukes til et oppført formål, for eksempel til å sile jobbsøknader eller vurdere ansatte.

Hvor lenge må en idriftsetter oppbevare KI-logger?

For systemer med høy risiko krever artikkel 26 nr. 6 at idriftsettere oppbevarer loggene systemet genererer automatisk, i den grad de er under deres kontroll, i en periode som passer det tiltenkte formålet, og i minst seks måneder, med mindre unionsretten eller nasjonal rett, særlig om vern av personopplysninger, bestemmer noe annet.

Hvem må gjennomføre en konsekvensanalyse om grunnleggende rettigheter?

Etter artikkel 27 offentligrettslige organer, private enheter som yter offentlige tjenester, og idriftsettere av systemer etter vedlegg III for kredittverdighet eller risikovurdering og prising av livs- og helseforsikring. Den gjennomføres før første bruk, og resultatet meldes til markedstilsynsmyndigheten. Den kan vise til vurderingen av personvernkonsekvenser etter personvernforordningen.

Når gjelder åpenhetsreglene i artikkel 50?

I EU fra 2. august 2026. Idriftsettere opplyser om dypforfalskninger og om KI-generert tekst som publiseres om saker av allmenn interesse (artikkel 50 nr. 4). Leverandører merker syntetiske utdata i et maskinlesbart format (artikkel 50 nr. 2), og for systemer som er brakt i omsetning før 2. august 2026, gir artikkel 111 nr. 4 dem frist til 2. desember 2026.

Hva tilfører en KI-gateway til sjekklisten?

Én oversikt over hvilke modeller og leverandører hver applikasjon bruker, og ett sted der den godkjente listen håndheves. Standard Compute eksporterer en kall-logg med modell, leverandør og regionregel, lagret i 12 måneder, registrerer hver administratorendring med verdien før og etter, og håndhever lister over godkjente modeller og leverandører.

Sjekkliste til KI-forordningen for virksomheter som bruker KI

Oppdatert 9. november 2026. Kan fritt kopieres og brukes. Artikkeltekst fra EUR-Lex, AI Act Service Desk og regjeringens uoffisielle norske oversettelse.

En virksomhet som bruker KI-systemer under egen myndighet, er idriftsetter etter KI-forordningen (artikkel 3 nr. 4). Denne sjekklisten viser hva forordningen krever av idriftsettere, hvilken artikkel hver plikt kommer fra og hvilken dokumentasjon som viser at den er oppfylt: KI-kompetanse fra 2. februar 2025, åpenhet fra 2. august 2026 og pliktene i artikkel 26 og 27 for bruk med høy risiko fra 2. desember 2027. Datoene er EUs datoer.

Norge og EØS: KI-forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen arbeider med innlemmelsen og en ny KI-lov, og har som mål å fremme loven for Stortinget våren 2027. Norske virksomheter kan likevel være omfattet allerede nå: forordningen gjelder idriftsettere som er etablert i EU, og idriftsettere utenfor EU når utdataene fra KI-systemet brukes i EU (artikkel 2 nr. 1 bokstav b og c).

Last den ned som Markdown-fil eller som CSV med tomme kolonner for ansvarlig, status og dokumentasjon, og gå gjennom den sammen med juridisk og informasjonssikkerhet.

14. oktober 2026: den første harmoniserte standarden etter KI-forordningen, EN 18286 (kvalitetsstyring for leverandører av KI-systemer med høy risiko), ble kunngjort i Den europeiske unions tidende. Hva det betyr for idriftsettere.

Last ned sjekklisten (.md)Regneark (.csv)

CSV-filen åpnes i Excel, Google Sheets eller Numbers, med kolonner for ansvarlig, status og lenke til dokumentasjon.

Sjekklisten

Begynn med del 1, som gjelder alle virksomheter. Del 2 gjelder bare KI-systemer med høy risiko etter artikkel 6 og vedlegg III. Del 3 avhenger av hva dere publiserer, og del 4 av hvilke modeller dere bygger på.

1. Alle virksomheter som bruker KI

Gjelder uansett verktøy: chatassistenter, KI-funksjoner i annen programvare, kodeagenter og modeller som kalles via API.

Nr.	Hva som skal gjøres	Artikkel	Slik dokumenterer dere det
1	KI-kompetanse. Sett i verk tiltak som fremmer KI-kompetansen hos de ansatte og andre som arbeider med drift og bruk av KI-systemer på virksomhetens vegne, tilpasset deres kunnskap, erfaring og opplæring og sammenhengen systemene brukes i.	ArtikkelArt. 4 (fra 2. feb. 2025, endret ved forordning 2026/1744)	Slik dokumenterer dere detOpplæringsoversikt per rolle (dato, deltakere, innhold), KI-retningslinjene de ansatte har bekreftet, og veiledning om risikoer som hallusinasjoner. Det kreves ikke sertifikat.
2	Oversikt. Før opp hvert KI-system og bruksområde: hva det gjør, hvem som eier det, hvem som bruker det, hvilke modeller og leverandører som leverer det, og hvilke data som sendes inn.	ArtikkelGrunnlag for art. 4, 6, 26 og 50	Slik dokumenterer dere detEt KI-register med eier, formål, brukere, modeller, leverandører, datakategorier, om utdata publiseres, og dato for siste gjennomgang. En eksport per app eller nøkkel av modellene og leverandørene som brukes.
3	Risikoklassifisering. Vurder hvert bruksområde mot de åtte områdene i vedlegg III: biometri, kritisk infrastruktur, utdanning, sysselsetting og arbeidsledelse, vesentlige private og offentlige tjenester (blant annet kredittverdighet og prising av livs- og helseforsikring), rettshåndhevelse, migrasjon og grensekontroll, og rettspleie og demokratiske prosesser. Utkast, oversettelse, oppsummering og kodehjelp er ikke områder i vedlegg III. Slik bruk blir høyrisiko når KI-en brukes til et oppført formål, for eksempel til å sile jobbsøknader.	ArtikkelArt. 6 nr. 2 og 3, vedlegg III	Slik dokumenterer dere detEn klassifisering per bruksområde som viser hvilket punkt i vedlegg III som er vurdert og begrunnelsen, et eventuelt unntak etter artikkel 6 nr. 3, godkjenning fra juridisk og ny vurdering når formålet endres. Profilering av fysiske personer innenfor et område i vedlegg III regnes alltid som høyrisiko.
4	Rollesjekk. Bekreft at dere fortsatt er idriftsetter. Dere får leverandørens plikter hvis dere setter eget navn eller varemerke på et system med høy risiko, endrer et slikt system vesentlig eller endrer formålet med et KI-system slik at det blir et høyrisikosystem.	ArtikkelArt. 25 nr. 1	Slik dokumenterer dere detEn merknad i registeret per system: eget varemerke eller ikke, endringer som er gjort, og tiltenkt formål sammenlignet med leverandørens.

2. Bare hvis dere bruker et KI-system med høy risiko

Bruk etter vedlegg III, fra 2. desember 2027 i EU (artikkel 113 slik den er endret ved digital omnibus om KI).

Nr.	Hva som skal gjøres	Artikkel	Slik dokumenterer dere det
5	Bruk etter bruksanvisningen. Sett i verk tekniske og organisatoriske tiltak for å bruke systemet i samsvar med leverandørens bruksanvisning.	ArtikkelArt. 26 nr. 1	Slik dokumenterer dere detBruksanvisningen arkivert med versjon, og en intern rutine som knytter hver instruks til en kontroll.
6	Menneskelig tilsyn. Gi oppgaven med menneskelig tilsyn til personer med nødvendig kompetanse, opplæring og myndighet, og gi dem den støtten de trenger.	ArtikkelArt. 26 nr. 2	Slik dokumenterer dere detNavngitte ansvarlige per system, opplæringsoversikten deres, myndigheten til å stanse eller overstyre systemet, og eskaleringsveien.
7	Inndata. Der dere kontrollerer inndataene, sørg for at de er relevante og tilstrekkelig representative for det tiltenkte formålet.	ArtikkelArt. 26 nr. 4	Slik dokumenterer dere detEn beskrivelse av datakildene og en datert vurdering av relevans og representativitet.
8	Overvåking. Overvåk systemet på grunnlag av bruksanvisningen. Hvis det kan utgjøre en risiko, underrett leverandøren eller distributøren og markedstilsynsmyndigheten, og stans bruken. Rapporter alvorlige hendelser.	ArtikkelArt. 26 nr. 5	Slik dokumenterer dere detEn overvåkingslogg, en hendelsesrutine med kontaktpunkter hos leverandøren og myndigheten, og dokumentasjon av hver underretning eller stans.
9	Logger. Oppbevar loggene systemet med høy risiko genererer automatisk, i den grad de er under deres kontroll, i en periode som passer det tiltenkte formålet, og i minst seks måneder, med mindre annet følger av unionsretten eller nasjonal rett, særlig om vern av personopplysninger.	ArtikkelArt. 26 nr. 6	Slik dokumenterer dere detLagringsinnstilling og lagringssted for systemets logger, sletteplanen og en eksempeleksport som viser seks måneder eller mer.
10	Informer arbeidstakere. Før et system med høy risiko tas i bruk eller brukes på arbeidsplassen, informerer arbeidsgiveren arbeidstakernes representanter og de berørte arbeidstakerne.	ArtikkelArt. 26 nr. 7	Slik dokumenterer dere detDen daterte meldingen til de ansatte og referatet eller brevet til de tillitsvalgte.
11	Informer berørte personer. Når et system etter vedlegg III treffer eller bistår i beslutninger om fysiske personer, informer dem om at systemet brukes overfor dem.	ArtikkelArt. 26 nr. 11	Slik dokumenterer dere detInformasjonsteksten, og hvor og når den vises for de berørte.
12	Konsekvensanalyse om grunnleggende rettigheter, der den kreves: offentligrettslige organer, private enheter som yter offentlige tjenester, og idriftsettere av systemer for kredittverdighet eller prising av livs- og helseforsikring (vedlegg III nr. 5 bokstav b og c) vurderer virkningene før første bruk og underretter markedstilsynsmyndigheten om resultatet. Kritisk infrastruktur (vedlegg III nr. 2) er unntatt.	ArtikkelArt. 27, art. 26 nr. 9	Slik dokumenterer dere detDen gjennomførte analysen (prosesser, periode og hyppighet for bruken, berørte grupper, risikoer, tilsyn, tiltak og klageordninger), underretningen som er sendt, og henvisninger til vurderingen av personvernkonsekvenser etter artikkel 35 i personvernforordningen.

3. Åpenhet

Artikkel 50 gjelder fra 2. august 2026 i EU.

Nr.	Hva som skal gjøres	Artikkel	Slik dokumenterer dere det
13	Merking hos leverandøren. Leverandører av KI-systemer som genererer syntetisk lyd-, bilde-, video- eller tekstinnhold, skal merke utdataene i et maskinlesbart format som kunstig generert eller manipulert. Plikten ligger hos leverandøren. For systemer som er brakt i omsetning før 2. august 2026, gjelder den fra 2. desember 2026.	ArtikkelArt. 50 nr. 2, art. 111 nr. 4	Slik dokumenterer dere detFor hvert generativt verktøy i registeret: leverandørens erklæring eller dokumentasjon om hvordan utdata merkes, med datoen dere sjekket den.
14	Dypforfalskninger og tekst av allmenn interesse. Opplys om at bilde-, lyd- eller videoinnhold som utgjør en dypforfalskning, er kunstig generert eller manipulert. Opplys om KI-generert eller manipulert tekst som publiseres for å informere allmennheten om saker av allmenn interesse, med mindre teksten er gjennomgått av et menneske eller underlagt redaksjonell kontroll og noen har det redaksjonelle ansvaret.	ArtikkelArt. 50 nr. 4	Slik dokumenterer dere detEn merkeregel i publiseringsflyten, eksempler på merket innhold og navnet på den som har det redaksjonelle ansvaret for gjennomgått tekst.
15	Følelsesgjenkjenning og biometrisk kategorisering. Informer personene som eksponeres for et slikt system.	ArtikkelArt. 50 nr. 3	Slik dokumenterer dere detInformasjonsteksten og hvor den vises, eller en merknad i registeret om at ingen slike systemer brukes.

4. Dokumenter å be modelleverandørene om

Pliktene for KI-modeller for allmenne formål ligger hos leverandørene og har gjeldt i EU siden 2. august 2025.

Nr.	Hva som skal gjøres	Artikkel	Slik dokumenterer dere det
16	Dokumentasjon for KI-modeller for allmenne formål. Hvis dere bygger en slik modell inn i et eget KI-system, be om informasjonen og dokumentasjonen leverandøren skal gjøre tilgjengelig for leverandører lenger ned i kjeden, i tillegg til det offentlige sammendraget av treningsinnholdet og retningslinjene for opphavsrett. Modeller med åpen kildekode er unntatt fra dokumentasjonsplikten, med mindre de innebærer systemisk risiko.	ArtikkelArt. 53 nr. 1 bokstav b, c og d, vedlegg XII	Slik dokumenterer dere detEn mappe per modell med leverandørens dokumentasjon, lenke til sammendraget av treningsinnholdet, retningslinjer for opphavsrett, vilkår for behandling av personopplysninger og hentedato, lenket fra registeret.

Last ned sjekklisten (.md)Regneark (.csv)

Slik hjelper en gateway med dokumentasjonen

Flere av punktene over trenger det samme: en oppdatert oversikt over hvilke modeller og leverandører hver applikasjon bruker, og en historikk over hvem som endret reglene. Når hvert KI-kall går gjennom én gateway, bygger den oversikten seg selv.

Standard Compute samler Claude, GPT, Gemini og åpne modeller under én bedriftskonto, med en nøkkel for hver person og hver app. Hver endring en administrator gjør, registreres med verdien før og etter, og dere kan eksportere en oppføring for hvert kall som viser modellen, leverandøren som håndterte det og regionregelen som gjaldt, lagret i 12 måneder. Oppføringene inneholder bare metadata (modell, leverandør, tokens, kostnad og status), aldri promptene eller svarene deres.

Punkt i sjekklisten	Hva Standard Compute registrerer eller håndhever
2. Oversikt	En nøkkel per person og per app, modellene hver nøkkel får bruke, og modell og leverandøren som håndterte hvert kall.
3 og 4. Klassifisering og rolle	Godkjente modeller per nøkkel, slik at et bruksområde bare kjører på modellene dere har godkjent for det.
9. Logger	En kall-logg med modell, leverandør og regionregel for hvert kall, lagret i 12 måneder og mulig å eksportere.
1 og 16. Retningslinjer og leverandørvalg	Lister over tillatte leverandører for virksomheten, et team eller en nøkkel. Nye leverandører legges aldri til uten godkjenning fra en administrator, og reserveruter kan aldri gå utenom listen.
Historikk for reglene	En administratorlogg med verdien før og etter for hver endring av personer, nøkler og regler.
Personvernarbeid	En Europa-regel: hvert kall, også nye forsøk og reserveruter, håndteres bare av godkjente europeiske inferensendepunkter. Null datalagring: kallene går bare til endepunkter som forplikter seg til ikke å beholde noen kopi av dataene deres.

Dette er gatewayens oppføringer om bruk av modeller og leverandører. Loggene i artikkel 26 nr. 6 er de et system med høy risiko genererer selv. Hva forordningen krever av virksomheten, avgjør juridisk avdeling. Sjekklisten er ikke juridisk rådgivning.

Opprett en bedriftskonto

Spørsmål

Gjelder KI-forordningen i Norge?: Forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen arbeider med innlemmelsen og en ny KI-lov, og har som mål å fremme loven for Stortinget våren 2027. Den gjelder likevel norske virksomheters enheter i EU, og idriftsettere utenfor EU når utdataene fra KI-systemet brukes i EU (artikkel 2 nr. 1 bokstav b og c).
Er det høyrisiko etter KI-forordningen å bruke ChatGPT, Claude eller en kodeagent til kontorarbeid?: Høy risiko gjelder systemene i artikkel 6 nr. 1 og bruksområdene i vedlegg III, for eksempel rekruttering, arbeidsledelse, kredittverdighet, utdanning og tilgang til vesentlige tjenester. Utkast, oversettelse, oppsummering og kodehjelp står ikke på den listen. Det samme verktøyet blir høyrisiko når det brukes til et oppført formål, for eksempel til å sile jobbsøknader eller vurdere ansatte.
Hvor lenge må en idriftsetter oppbevare KI-logger?: For systemer med høy risiko krever artikkel 26 nr. 6 at idriftsettere oppbevarer loggene systemet genererer automatisk, i den grad de er under deres kontroll, i en periode som passer det tiltenkte formålet, og i minst seks måneder, med mindre unionsretten eller nasjonal rett, særlig om vern av personopplysninger, bestemmer noe annet.
Hvem må gjennomføre en konsekvensanalyse om grunnleggende rettigheter?: Etter artikkel 27 offentligrettslige organer, private enheter som yter offentlige tjenester, og idriftsettere av systemer etter vedlegg III for kredittverdighet eller risikovurdering og prising av livs- og helseforsikring. Den gjennomføres før første bruk, og resultatet meldes til markedstilsynsmyndigheten. Den kan vise til vurderingen av personvernkonsekvenser etter personvernforordningen.
Når gjelder åpenhetsreglene i artikkel 50?: I EU fra 2. august 2026. Idriftsettere opplyser om dypforfalskninger og om KI-generert tekst som publiseres om saker av allmenn interesse (artikkel 50 nr. 4). Leverandører merker syntetiske utdata i et maskinlesbart format (artikkel 50 nr. 2), og for systemer som er brakt i omsetning før 2. august 2026, gir artikkel 111 nr. 4 dem frist til 2. desember 2026.
Hva tilfører en KI-gateway til sjekklisten?: Én oversikt over hvilke modeller og leverandører hver applikasjon bruker, og ett sted der den godkjente listen håndheves. Standard Compute eksporterer en kall-logg med modell, leverandør og regionregel, lagret i 12 måneder, registrerer hver administratorendring med verdien før og etter, og håndhever lister over godkjente modeller og leverandører.

Kilder

La hvert KI-kall gå gjennom én bedriftskonto, og hold oversikten og dokumentasjonen på ett sted.