KI-loven er utsatt til 2027 – dette bør norske organisasjoner likevel gjøre før 2. desember 2026

KI-loven er utsatt: Per oktober 2026 er den norske KI-loven ikke vedtatt, og regjeringen vil sende den på ny høring denne høsten med mål om å legge den fram for Stortinget våren 2027. Imens gjelder personvernregelverket, straffeloven og åndsverkloven for all KI-bruk i Norge – og EUs nye frister fra 2. desember 2026 når norske foreninger gjennom verktøyene de bruker.

• KI-loven er den norske loven som skal gjennomføre EUs KI-forordning (AI Act, forordning (EU) 2024/1689) i norsk rett.
• 27. juli 2026: EUs endringsforordning Digital Omnibus on AI, (EU) 2026/1744, trådte i kraft.
• 2. desember 2026: nytt forbud i EU mot KI som lager intime deepfakes uten samtykke eller overgrepsmateriale mot barn, og frist for maskinlesbar merking i eldre generative KI-verktøy.
• 2. desember 2027 og 2. august 2028: nye datoer for høyrisiko-reglene i EU.
• Våren 2027: regjeringens ambisjon for å fremme KI-loven for Stortinget.
• Nkom er utpekt som koordinerende tilsynsmyndighet for KI i Norge.

Er KI-loven vedtatt i Norge?

Nei. Forslaget til ny KI-lov var på høring høsten 2025, og departementet fikk i underkant av 150 høringssvar. Den 4. august 2026 varslet daværende digitaliserings- og forvaltningsminister Karianne Tung (Ap) at loven sendes på ny høring i høst. «Min ambisjon er å fremme KI-loven for Stortinget våren 2027», sa Tung ifølge pressemeldingen fra Digitaliserings- og forvaltningsdepartementet. Departementet ledes per oktober 2026 av Torgeir Micaelsen (Ap).

Merk at «våren 2027» er en ambisjon, ikke en vedtatt plan. Per 18. oktober 2026 var den nye høringen ennå ikke publisert, så det finnes verken høringsfrist eller endelig lovtekst.

Hvorfor er KI-loven utsatt?

Ifølge regjeringen skyldes utsettelsen tre ting: EU endret selve KI-forordningen i juli 2026, forordningen er ennå ikke innlemmet i EØS-avtalen, og Norge forhandler om nødvendige EØS-tilpasninger. Det er vanskelig å gjennomføre en lov som peker på en EU-tekst som nettopp er skrevet om.

Hva er Digital Omnibus – og hva endret den?

Digital Omnibus on AI er en EU-forordning som forenkler og forskyver deler av KI-forordningen. Den heter offisielt forordning (EU) 2026/1744, ble vedtatt 8. juli 2026, publisert i EU-tidende 24. juli og trådte i kraft 27. juli 2026. For små organisasjoner er fire endringer viktigst:

• Høyrisiko utsatt: Reglene for høyrisiko-KI, for eksempel systemer som sorterer jobbsøknader, gjelder i EU fra 2. desember 2027. KI som er innebygd i regulerte produkter, får frist 2. august 2028.
• Nye forbud: Fra 2. desember 2026 er det forbudt i EU å bruke KI-systemer som lager realistiske intime bilder, video eller lyd av en identifiserbar person uten samtykke, eller materiale som viser seksuelle overgrep mot barn.
• Merkefrist for eldre verktøy: Leverandører av generative KI-systemer som var på markedet før 2. august 2026, må innen 2. desember 2026 merke innholdet maskinlesbart.
• Mildere krav til KI-kompetanse: Virksomheter skal nå «take measures to support the development of AI literacy» hos ansatte, uten å måtte garantere et bestemt kompetansenivå.

Gjelder 2. desember 2026 for norske foreninger?

Ikke formelt. EU-datoene binder ikke en norsk forening før forordningen er tatt inn i EØS-avtalen og KI-loven er vedtatt. Likevel merker dere endringene på to måter.

For det første må leverandørene – OpenAI, Microsoft, Google og andre – følge reglene i EU, og de bygger merking og sperrer inn i de samme produktene som brukes i Norge. Merkeplikten for eldre verktøy ligger på leverandøren, ikke på foreningen som bruker ChatGPT eller Copilot. For det andre kan norske virksomheter som selv tilbyr KI-tjenester til brukere i EU, bli omfattet direkte.

Hva betyr åpenhetsreglene for en forening?

KI-forordningen skiller mellom «leverandører» som lager KI-systemer og «brukere» (deployers) som tar dem i bruk. Ifølge artikkel 50 i forordningen må brukere opplyse om deepfakes, altså KI-genererte eller manipulerte bilder, lyd og video. KI-generert tekst om saker av allmenn interesse skal også merkes, men ikke når et menneske har gjennomgått teksten og noen har redaksjonelt ansvar for publiseringen.

Vi skrev 2. august om merking av KI-innhold som en tillitsmulighet for ideelle. Det rådet står seg: merk KI-bilder og fortell når folk snakker med en chatbot, selv om norsk lov ennå ikke krever det.

Hvem skal føre tilsyn med KI-loven i Norge?

Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt. Regjeringen besluttet i mars 2025 at Nkom skal være koordinerende tilsynsmyndighet for KI og nasjonalt kontaktpunkt mot EU, sammen med eksisterende sektortilsyn. Nkom skriver selv (mars 2026) at den nasjonale organiseringen i sin helhet ennå ikke er bestemt, se Nkoms oversikt over hvem som håndhever KI-forordningen. Selve lovhjemmelen for tilsynet kommer først med KI-loven.

Hvilke regler gjelder allerede for KI-bruk i Norge?

«Selv om KI-forordningen ikke enda er gjennomført i Norge, er det ikke ‘fritt fram’ på KI-området», skriver regjeringen. Personvernregelverket, straffeloven og åndsverkloven gjelder også når KI utvikles og brukes. For en forening er personvernet det som oftest blir aktuelt.

Personvern: DPIA og tilgangsstyring

Datatilsynet skriver i sluttrapporten fra sandkasseprosjektet med NTNU om Microsoft Copilot (2024, oppdatert oktober 2025) at det som hovedregel kreves en vurdering av personvernkonsekvenser (DPIA) når generativ KI behandler personopplysninger. Copilot får tilgang til den samme informasjonen som brukeren har, så tilgangsstyringen må ryddes først. Bruk i personalsaker gir ifølge tilsynet særlig høy risiko, se Datatilsynets Copilot-rapport.

Bilder av ekte mennesker

I februar 2026 sto 61 datatilsyn bak en felles uttalelse om KI-deepfakes. Ifølge Datatilsynet regnes KI-genererte bilder av ekte personer som personopplysninger – også når de viser noe som ikke er sant. Det betyr at personvernreglene allerede i dag setter grenser for hva en forening kan lage av bilder av medlemmer, frivillige eller brukere.

Sjekkliste: foreningen som bruker ChatGPT eller Copilot

Disse punktene kan styret gå gjennom på ett møte. De bygger på regler som gjelder nå, og forbereder dere på KI-loven.

1. Kartlegg verktøyene. Skriv ned hvilke KI-tjenester som brukes, av hvem og til hva.
2. Hold sensitive opplysninger utenfor. Ikke legg inn medlemslister, helseopplysninger eller personalsaker uten en personvernvurdering – som hovedregel en DPIA.
3. Rydd tilgangene før Copilot. Sjekk hvem som har tilgang til hvilke mapper i Microsoft 365, siden Copilot ser det samme som brukeren.
4. Vær åpen. Si fra når folk snakker med en chatbot, merk KI-genererte bilder, lyd og video, og la et menneske stå ansvarlig for tekster som publiseres.
5. Lag aldri bilder av ekte personer uten samtykke. Det er personopplysninger i dag, og den groveste formen blir forbudt i EU fra 2. desember 2026.
6. Lag interne kjøreregler. Våre fire kjøreregler for trygg KI-bruk i små organisasjoner og guiden om ansvarlig KI for ideelle uten hype er et godt utgangspunkt.
7. Gi alle grunnopplæring. Kravet til KI-kompetanse gjelder i EU og ventes å komme til Norge med KI-loven. Gründerskolens gratis nettkurs er et lavterskel sted å starte.
8. Følg høringen. Når den nye høringen kommer, kan også lag og foreninger sende høringssvar – sivilsamfunnets erfaringer trengs.

Ofte stilte spørsmål

Når gjelder KI-forordningen (AI Act) i Norge?

Først når forordningen er innlemmet i EØS-avtalen og KI-loven er vedtatt. Regjeringens ambisjon er å legge fram loven for Stortinget våren 2027, så reglene kan tidligst gjelde i Norge etter det.

Er KI-loven vedtatt i Norge per oktober 2026?

Nei. Regjeringen varslet 4. august 2026 en ny høring høsten 2026, og per 18. oktober 2026 var den ikke publisert.

Hvem skal føre tilsyn med KI-loven i Norge?

Nkom er utpekt som koordinerende tilsynsmyndighet og nasjonalt kontaktpunkt, sammen med sektortilsyn. Den endelige organiseringen er ikke bestemt.

Må foreningen merke tekster laget med ChatGPT?

Norsk lov krever det ikke per oktober 2026. I EU er hovedregelen at KI-tekst om saker av allmenn interesse merkes, med unntak når et menneske har redaksjonelt ansvar. Åpenhet er uansett god praksis.

Blir det bøter for brudd på KI-loven?

Høringsutkastet fra 2025 foreslo tvangsmulkt og overtredelsesgebyr, også for offentlige organer. Endelige regler og beløp avhenger av lovforslaget som kommer etter den nye høringen.