# Sjekkliste til KI-forordningen for virksomheter som bruker KI

Oppdatert 9. november 2026. Kan fritt kopieres og brukes. Artikkeltekst fra EUR-Lex, AI Act Service Desk og regjeringens uoffisielle norske oversettelse.

En virksomhet som bruker KI-systemer under egen myndighet, er idriftsetter etter KI-forordningen (artikkel 3 nr. 4). Denne sjekklisten viser hva forordningen krever av idriftsettere, hvilken artikkel hver plikt kommer fra og hvilken dokumentasjon som viser at den er oppfylt: KI-kompetanse fra 2. februar 2025, åpenhet fra 2. august 2026 og pliktene i artikkel 26 og 27 for bruk med høy risiko fra 2. desember 2027. Datoene er EUs datoer.

Norge og EØS: KI-forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Regjeringen arbeider med innlemmelsen og en ny KI-lov, og har som mål å fremme loven for Stortinget våren 2027. Norske virksomheter kan likevel være omfattet allerede nå: forordningen gjelder idriftsettere som er etablert i EU, og idriftsettere utenfor EU når utdataene fra KI-systemet brukes i EU (artikkel 2 nr. 1 bokstav b og c).

14. oktober 2026: den første harmoniserte standarden etter KI-forordningen, EN 18286 (kvalitetsstyring for leverandører av KI-systemer med høy risiko), ble kunngjort i Den europeiske unions tidende. [Hva det betyr for idriftsettere](https://standardcompute.com/en-18286-harmonisert-standard-ki-forordningen).

## 1. Alle virksomheter som bruker KI

_Gjelder uansett verktøy: chatassistenter, KI-funksjoner i annen programvare, kodeagenter og modeller som kalles via API._

| Ferdig | Nr. | Hva som skal gjøres | Artikkel | Slik dokumenterer dere det |
| --- | --- | --- | --- | --- |
| [ ] | 1 | KI-kompetanse. Sett i verk tiltak som fremmer KI-kompetansen hos de ansatte og andre som arbeider med drift og bruk av KI-systemer på virksomhetens vegne, tilpasset deres kunnskap, erfaring og opplæring og sammenhengen systemene brukes i. | Art. 4 (fra 2. feb. 2025, endret ved forordning 2026/1744) | Opplæringsoversikt per rolle (dato, deltakere, innhold), KI-retningslinjene de ansatte har bekreftet, og veiledning om risikoer som hallusinasjoner. Det kreves ikke sertifikat. |
| [ ] | 2 | Oversikt. Før opp hvert KI-system og bruksområde: hva det gjør, hvem som eier det, hvem som bruker det, hvilke modeller og leverandører som leverer det, og hvilke data som sendes inn. | Grunnlag for art. 4, 6, 26 og 50 | Et KI-register med eier, formål, brukere, modeller, leverandører, datakategorier, om utdata publiseres, og dato for siste gjennomgang. En eksport per app eller nøkkel av modellene og leverandørene som brukes. |
| [ ] | 3 | Risikoklassifisering. Vurder hvert bruksområde mot de åtte områdene i vedlegg III: biometri, kritisk infrastruktur, utdanning, sysselsetting og arbeidsledelse, vesentlige private og offentlige tjenester (blant annet kredittverdighet og prising av livs- og helseforsikring), rettshåndhevelse, migrasjon og grensekontroll, og rettspleie og demokratiske prosesser. Utkast, oversettelse, oppsummering og kodehjelp er ikke områder i vedlegg III. Slik bruk blir høyrisiko når KI-en brukes til et oppført formål, for eksempel til å sile jobbsøknader. | Art. 6 nr. 2 og 3, vedlegg III | En klassifisering per bruksområde som viser hvilket punkt i vedlegg III som er vurdert og begrunnelsen, et eventuelt unntak etter artikkel 6 nr. 3, godkjenning fra juridisk og ny vurdering når formålet endres. Profilering av fysiske personer innenfor et område i vedlegg III regnes alltid som høyrisiko. |
| [ ] | 4 | Rollesjekk. Bekreft at dere fortsatt er idriftsetter. Dere får leverandørens plikter hvis dere setter eget navn eller varemerke på et system med høy risiko, endrer et slikt system vesentlig eller endrer formålet med et KI-system slik at det blir et høyrisikosystem. | Art. 25 nr. 1 | En merknad i registeret per system: eget varemerke eller ikke, endringer som er gjort, og tiltenkt formål sammenlignet med leverandørens. |

## 2. Bare hvis dere bruker et KI-system med høy risiko

_Bruk etter vedlegg III, fra 2. desember 2027 i EU (artikkel 113 slik den er endret ved digital omnibus om KI)._

| Ferdig | Nr. | Hva som skal gjøres | Artikkel | Slik dokumenterer dere det |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Bruk etter bruksanvisningen. Sett i verk tekniske og organisatoriske tiltak for å bruke systemet i samsvar med leverandørens bruksanvisning. | Art. 26 nr. 1 | Bruksanvisningen arkivert med versjon, og en intern rutine som knytter hver instruks til en kontroll. |
| [ ] | 6 | Menneskelig tilsyn. Gi oppgaven med menneskelig tilsyn til personer med nødvendig kompetanse, opplæring og myndighet, og gi dem den støtten de trenger. | Art. 26 nr. 2 | Navngitte ansvarlige per system, opplæringsoversikten deres, myndigheten til å stanse eller overstyre systemet, og eskaleringsveien. |
| [ ] | 7 | Inndata. Der dere kontrollerer inndataene, sørg for at de er relevante og tilstrekkelig representative for det tiltenkte formålet. | Art. 26 nr. 4 | En beskrivelse av datakildene og en datert vurdering av relevans og representativitet. |
| [ ] | 8 | Overvåking. Overvåk systemet på grunnlag av bruksanvisningen. Hvis det kan utgjøre en risiko, underrett leverandøren eller distributøren og markedstilsynsmyndigheten, og stans bruken. Rapporter alvorlige hendelser. | Art. 26 nr. 5 | En overvåkingslogg, en hendelsesrutine med kontaktpunkter hos leverandøren og myndigheten, og dokumentasjon av hver underretning eller stans. |
| [ ] | 9 | Logger. Oppbevar loggene systemet med høy risiko genererer automatisk, i den grad de er under deres kontroll, i en periode som passer det tiltenkte formålet, og i minst seks måneder, med mindre annet følger av unionsretten eller nasjonal rett, særlig om vern av personopplysninger. | Art. 26 nr. 6 | Lagringsinnstilling og lagringssted for systemets logger, sletteplanen og en eksempeleksport som viser seks måneder eller mer. |
| [ ] | 10 | Informer arbeidstakere. Før et system med høy risiko tas i bruk eller brukes på arbeidsplassen, informerer arbeidsgiveren arbeidstakernes representanter og de berørte arbeidstakerne. | Art. 26 nr. 7 | Den daterte meldingen til de ansatte og referatet eller brevet til de tillitsvalgte. |
| [ ] | 11 | Informer berørte personer. Når et system etter vedlegg III treffer eller bistår i beslutninger om fysiske personer, informer dem om at systemet brukes overfor dem. | Art. 26 nr. 11 | Informasjonsteksten, og hvor og når den vises for de berørte. |
| [ ] | 12 | Konsekvensanalyse om grunnleggende rettigheter, der den kreves: offentligrettslige organer, private enheter som yter offentlige tjenester, og idriftsettere av systemer for kredittverdighet eller prising av livs- og helseforsikring (vedlegg III nr. 5 bokstav b og c) vurderer virkningene før første bruk og underretter markedstilsynsmyndigheten om resultatet. Kritisk infrastruktur (vedlegg III nr. 2) er unntatt. | Art. 27, art. 26 nr. 9 | Den gjennomførte analysen (prosesser, periode og hyppighet for bruken, berørte grupper, risikoer, tilsyn, tiltak og klageordninger), underretningen som er sendt, og henvisninger til vurderingen av personvernkonsekvenser etter artikkel 35 i personvernforordningen. |

## 3. Åpenhet

_Artikkel 50 gjelder fra 2. august 2026 i EU._

| Ferdig | Nr. | Hva som skal gjøres | Artikkel | Slik dokumenterer dere det |
| --- | --- | --- | --- | --- |
| [ ] | 13 | Merking hos leverandøren. Leverandører av KI-systemer som genererer syntetisk lyd-, bilde-, video- eller tekstinnhold, skal merke utdataene i et maskinlesbart format som kunstig generert eller manipulert. Plikten ligger hos leverandøren. For systemer som er brakt i omsetning før 2. august 2026, gjelder den fra 2. desember 2026. | Art. 50 nr. 2, art. 111 nr. 4 | For hvert generativt verktøy i registeret: leverandørens erklæring eller dokumentasjon om hvordan utdata merkes, med datoen dere sjekket den. |
| [ ] | 14 | Dypforfalskninger og tekst av allmenn interesse. Opplys om at bilde-, lyd- eller videoinnhold som utgjør en dypforfalskning, er kunstig generert eller manipulert. Opplys om KI-generert eller manipulert tekst som publiseres for å informere allmennheten om saker av allmenn interesse, med mindre teksten er gjennomgått av et menneske eller underlagt redaksjonell kontroll og noen har det redaksjonelle ansvaret. | Art. 50 nr. 4 | En merkeregel i publiseringsflyten, eksempler på merket innhold og navnet på den som har det redaksjonelle ansvaret for gjennomgått tekst. |
| [ ] | 15 | Følelsesgjenkjenning og biometrisk kategorisering. Informer personene som eksponeres for et slikt system. | Art. 50 nr. 3 | Informasjonsteksten og hvor den vises, eller en merknad i registeret om at ingen slike systemer brukes. |

## 4. Dokumenter å be modelleverandørene om

_Pliktene for KI-modeller for allmenne formål ligger hos leverandørene og har gjeldt i EU siden 2. august 2025._

| Ferdig | Nr. | Hva som skal gjøres | Artikkel | Slik dokumenterer dere det |
| --- | --- | --- | --- | --- |
| [ ] | 16 | Dokumentasjon for KI-modeller for allmenne formål. Hvis dere bygger en slik modell inn i et eget KI-system, be om informasjonen og dokumentasjonen leverandøren skal gjøre tilgjengelig for leverandører lenger ned i kjeden, i tillegg til det offentlige sammendraget av treningsinnholdet og retningslinjene for opphavsrett. Modeller med åpen kildekode er unntatt fra dokumentasjonsplikten, med mindre de innebærer systemisk risiko. | Art. 53 nr. 1 bokstav b, c og d, vedlegg XII | En mappe per modell med leverandørens dokumentasjon, lenke til sammendraget av treningsinnholdet, retningslinjer for opphavsrett, vilkår for behandling av personopplysninger og hentedato, lenket fra registeret. |

---

## Kilder

- [Forordning (EU) 2024/1689, KI-forordningen, EUR-Lex](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689)
- [KI-forordningen, uoffisiell norsk oversettelse, regjeringen.no](https://www.regjeringen.no/contentassets/e823dc21809c43f2b4ba9ff1e389e245/ki-forordningen-eu-2024.1689-uoffisiell-norsk-131037.pdf)
- [Forordning (EU) 2026/1744, digital omnibus om KI, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng)
- [Tung vil sende KI-loven med endringer på høring, regjeringen.no, 4. august 2026](https://www.regjeringen.no/no/aktuelt/tung-vil-sende-ki-loven-med-endringer-pa-horing/id3169693/)
- [Regjeringen sender forenklinger i KI-forordningen på høring, regjeringen.no, 30. oktober 2026](https://www.regjeringen.no/no/aktuelt/regjeringen-sender-forenklinger-i-ki-forordningen-pa-horing/id3187283/)
- AI Act Service Desk, konsolidert tekst (engelsk): [Artikkel 4](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4), [Artikkel 6](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-6), [Artikkel 25](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25), [Artikkel 26](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26), [Artikkel 27](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27), [Artikkel 50](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50), [Artikkel 53](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-53), [Artikkel 111](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-111), [Artikkel 113](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113), [Vedlegg III](https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3)

_Gratis sjekkliste til KI-forordningen for idriftsettere fra https://standardcompute.com/ki-forordningen-sjekkliste-idriftsetter (versjon 9. november 2026). Kan fritt kopieres og redigeres. Ikke juridisk rådgivning._