Ja, det er lov å bruke AI i norske bedrifter. Per september 2026 er KI-forordningen, altså EUs AI Act, ennå ikke tatt inn i norsk rett. Men personopplysningsloven og personvernforordningen gjelder fullt ut allerede i dag, og det er de reglene de fleste norske bedrifter faktisk bryter når de tar i bruk AI.
Kort svar
Norske bedrifter kan bruke AI. Det finnes ingen generell forbudsregel. Men to regelsett gjelder samtidig, og de blandes ofte sammen:
- Personvernreglene gjelder nå. Behandler AI-løsningen personopplysninger, gjelder personopplysningsloven og personvernforordningen på helt vanlig måte. Dette er ikke nytt, og det håndheves av Datatilsynet.
- KI-forordningen gjelder ennå ikke i Norge. Den er vedtatt i EU, men er per september 2026 ikke innlemmet i norsk rett. Arbeidet er forsinket på grunn av forhandlinger om EØS-tilpasninger.
Den praktiske konsekvensen: dere trenger ikke vente på KI-forordningen for å komme i gang, men dere kan ikke se bort fra personvernreglene.
Merk om tidslinjen
Datoene for norsk innlemmelse har blitt utsatt flere ganger. Denne artikkelen beskriver situasjonen slik den er i september 2026. Sjekk status hos Nkom og Datatilsynet før dere tar beslutninger med juridiske konsekvenser, og bruk juridisk rådgiver ved tvil. Denne artikkelen er generell informasjon, ikke juridisk rådgivning.
Status: KI-forordningen i Norge
EU vedtok KI-forordningen i 2024. Den er EØS-relevant, noe som betyr at den etter planen skal tas inn i norsk rett gjennom EØS-avtalen. Den prosessen er ikke fullført.
Regjeringen sendte et lovforslag på høring i 2025. Innlemmelsen har siden blitt forsinket, fordi forhandlingene med EU om nødvendige EØS-tilpasninger har tatt lengre tid enn ventet. Nkom er utpekt som koordinerende tilsynsmyndighet for regelverket når det trer i kraft.
Digitaliseringsdirektoratet er samtidig tildelt ansvaret for KI Norge, som skal gi veiledning og tilby en regulatorisk sandkasse der virksomheter kan teste løsninger i kontrollerte former.
For en vanlig norsk SMB betyr dette at dere har tid til å forberede dere, men at forberedelsen bør starte nå. Kravene i forordningen handler i stor grad om dokumentasjon, og dokumentasjon er billigst å lage mens man bygger, ikke i ettertid.
Hva gjelder i dag, uansett
Dette er reglene som allerede binder dere.
Personopplysninger krever behandlingsgrunnlag
Skal AI-løsningen behandle opplysninger om kunder, ansatte eller søkere, må dere ha et gyldig behandlingsgrunnlag. Samtykke er bare ett av flere, og ofte ikke det mest praktiske i en bedriftssammenheng.
Databehandleravtale med leverandøren
Bruker dere en ekstern AI-tjeneste som behandler personopplysninger på deres vegne, skal det foreligge en databehandleravtale. Dette gjelder også når tjenesten er en del av et verktøy dere allerede betaler for.
Vit hvor dataene havner
Mange AI-tjenester behandler data utenfor EØS. Overføring ut av EØS krever et eget grunnlag. Dette er et av punktene norske bedrifter oftest overser, fordi det ikke er synlig i grensesnittet på verktøyet.
Ikke mat modellen med det den ikke trenger
Prinsippet om dataminimering gjelder også for AI. Skal en chatbot svare på spørsmål om åpningstider, trenger den ikke tilgang til kundedatabasen.
Åpenhet overfor de det gjelder
Personer har rett til å vite at opplysninger om dem behandles, og i noen tilfeller at de kommuniserer med et automatisert system fremfor et menneske.
Når EU-reglene treffer dere likevel
Selv om KI-forordningen ikke er norsk lov ennå, kan den ramme norsk virksomhet på to måter.
- Dere har kunder eller brukere i EU. Forordningen gjelder i EU, og forbudsbestemmelsene har vært virksomme der siden februar 2025. Retter dere et AI-system mot brukere i EU, kan reglene komme til anvendelse uavhengig av norsk innlemmelse.
- Kundene deres krever det. Store norske og europeiske innkjøpere stiller allerede krav om AI-dokumentasjon i anbud. Dette er i praksis den vanligste grunnen til at norske leverandører må ha orden på papirene før loven krever det.
De fire risikonivåene, forklart enkelt
KI-forordningen deler AI-systemer inn etter risiko. Dette er strukturen dere bør kjenne når dere planlegger.
| Nivå | Hva det betyr | Eksempler |
|---|---|---|
| Uakseptabel risiko | Forbudt | Sosial rangering av personer, visse former for biometrisk overvåkning |
| Høy risiko | Strenge krav til dokumentasjon, testing og menneskelig kontroll | Systemer brukt i rekruttering, kredittvurdering, utdanning |
| Begrenset risiko | Krav om åpenhet, brukeren skal vite at det er AI | Chatbot i kundeservice |
| Minimal risiko | Ingen særskilte krav | Stavekontroll, produktanbefaling, intern tekstbehandling |
De aller fleste AI-løsningene norske SMB-er bygger havner i de to nederste kategoriene. En chatbot på nettsiden er begrenset risiko. En løsning som siler jobbsøknader er ikke det, og bør planlegges deretter.
Sjekkliste: seks ting dere bør gjøre nå
- Lag en oversikt. Skriv ned hvilke AI-verktøy som faktisk brukes i bedriften i dag, også de ansatte har tatt i bruk på egen hånd.
- Marker hvilke som ser personopplysninger. Det er disse som haster.
- Sjekk databehandleravtalene. Har leverandøren en, og dekker den faktisk AI-funksjonaliteten?
- Finn ut hvor dataene behandles. Innenfor eller utenfor EØS.
- Skriv en kort intern kjøreregel. Én side som sier hva ansatte kan og ikke kan lime inn i AI-verktøy holder langt.
- Dokumenter beslutningene. Ikke fordi loven krever det ennå, men fordi det er gratis nå og dyrt senere.
Vi bygger AI-løsninger med dette innebygd fra start. Se AI-løsninger og automatisering, som starter på 19 000 kr eks. mva.
Fire feil vi ser oftest
- Ansatte limer kundedata inn i gratis AI-verktøy. Dette er den klart vanligste bruddsituasjonen, og den skjer uten at ledelsen vet om det.
- Bedriften venter på KI-forordningen. Personvernreglene gjelder allerede, og de er det som faktisk håndheves i dag.
- Chatboten presenterer seg som et menneske. Unødvendig risiko, og lett å unngå.
- Ingen vet hvem som eier løsningen internt. Uten en ansvarlig blir hverken feil eller dokumentasjon fulgt opp.
Vanlige spørsmål om AI-regler i Norge
Gjelder EUs AI Act i Norge i dag?
Nei. Per september 2026 er KI-forordningen ennå ikke innlemmet i norsk rett. Prosessen er forsinket på grunn av forhandlinger om EØS-tilpasninger. Nkom er utpekt som koordinerende tilsynsmyndighet når regelverket trer i kraft. Personopplysningsloven gjelder imidlertid fullt ut allerede.
Kan ansatte bruke ChatGPT på jobb?
Ja, men ikke med personopplysninger eller fortrolig informasjon med mindre bedriften har vurdert hvor dataene behandles og har et grunnlag for det. Den praktiske løsningen er en kort skriftlig kjøreregel for hva som kan og ikke kan limes inn.
Må vi ha databehandleravtale med AI-leverandøren?
Ja, dersom leverandøren behandler personopplysninger på deres vegne. Dette gjelder også når AI-funksjonen er en del av et større verktøy dere allerede bruker.
Hvem fører tilsyn med AI i Norge?
Datatilsynet fører tilsyn med behandling av personopplysninger, også når den skjer med AI. Nkom er utpekt som koordinerende tilsynsmyndighet for KI-forordningen når den innlemmes i norsk rett.
Er en chatbot på nettsiden vår høyrisiko?
Normalt ikke. En vanlig kundeservicechatbot regnes som begrenset risiko, der hovedkravet er åpenhet om at brukeren snakker med et automatisert system. Systemer som brukes til rekruttering eller kredittvurdering er derimot høyrisiko.
Bør vi vente med AI til reglene er på plass i Norge?
Nei. Kravene handler i stor grad om dokumentasjon og kontroll, og begge deler er billigere å bygge inn fra start enn å ettermontere. Å vente gir sjelden lavere risiko, bare dårligere dokumentasjon.
Skal dere ta i bruk AI?
Vi starter med å måle hva oppgaven koster dere i dag, og sier fra hvis et ferdig verktøy er et bedre kjøp. AI-løsninger fra 19 000 kr eks. mva.
Snakk med DevAI