Nedtellingen er i gang. Den 2. august 2026 trer flere viktige forpliktelser i den europeiske forordningen om kunstig intelligens — vanligvis kalt AI Act — i kraft for virksomheter som opererer i Den europeiske union. For franske organisasjoner som bruker, tar i bruk eller leverer KI-systemer, er tiden for å handle nå.

Hva er AI Act?

AI Act, vedtatt i 2024, er verdens første helhetlige regelverk viet kunstig intelligens. Målet er å etablere klare regler som sikrer at KI-systemer brukt i Europa er sikre, transparente og respekterer grunnleggende rettigheter.

Teksten gjelder et bredt spekter av aktører: virksomheter som utvikler KI-systemer, dem som tar dem i bruk i forretningsprosessene sine, og til og med importører av KI-løsninger utviklet utenfor EU. Kort sagt: Hvis bedriften din bruker et KI-verktøy som samhandler med personopplysninger, tar automatiserte beslutninger eller støtter kritiske prosesser, er den svært sannsynlig berørt.

Tidsplanen: hva som gjelder fra 2. august 2026

AI Act er utformet med gradvis innføring. Den 2. august 2026 blir følgende forpliktelser fullt ut gjeldende:

• Reglene om transparens: KI-systemer som samhandler med mennesker (chatboter, virtuelle assistenter), må tydelig informere brukerne om at de samhandler med en maskin.
• Forbudet mot praksiser med uakseptabel risiko: sosiale poengsystemer, subliminal kognitiv manipulasjon og visse former for sanntids ansiktsgjenkjenning i det offentlige rom blir endelig forbudt.
• Opplæring av teamene: virksomheter må sikre at ansatte som bruker KI-verktøy, har et nivå av KI-kompetanse som passer til rollen deres.

Merk: etter den foreløpige avtalen kalt "Digital Omnibus", inngått i mai 2026, er de tyngste forpliktelsene for høyrisiko-KI-systemer i vedlegg III (HR-systemer, kredittscoring, kandidatvalg osv.) utsatt til 2. desember 2027, noe som gir berørte virksomheter ekstra tid.

Risikoklassifiseringen: hvor står din KI?

AI Act bygger på klassifisering etter risikonivå. Å forstå hvilken kategori verktøyene dine faller i, er det første nødvendige steget.

Uakseptabel risiko (forbudt)

Systemer som manipulerer menneskelig atferd uten at brukerne vet det, generell sosial scoring, biometrisk identifisering i sanntid i offentlige rom for håndhevingsformål (med få regulerte unntak).

Høy risiko

Systemer brukt i kritisk infrastruktur, utdanning, arbeidsliv (automatisert CV-sortering, prestasjonsvurdering), essensielle tjenester (kreditt, forsikring) og rettsvesen. Disse systemene må oppfylle strenge krav: teknisk dokumentasjon, revisjonslogger, obligatorisk menneskelig tilsyn og registrering i den europeiske databasen til KI-kontoret.

Begrenset risiko

Systemer som chatboter eller deepfakes, som først og fremst krever transparens og merking.

Minimal risiko

Det store flertallet av vanlige KI-verktøy (spamfiltre, enkle innholdsanbefalinger) faller i denne kategorien og er ikke underlagt noen ekstra forpliktelser.

Sanksjonene: beløp som får en til å tenke

Manglende etterlevelse av AI Act utsetter virksomheter for betydelige økonomiske sanksjoner, etter modell av GDPR:

• Opptil 35 millioner euro eller 7 % av global omsetning for de alvorligste overtredelsene (bruk av et forbudt system).
• Opptil 15 millioner euro eller 3 % av global omsetning for brudd på forpliktelser som gjelder høyrisikosystemer.
• Opptil 7,5 millioner euro eller 1,5 % av global omsetning for å gi uriktige opplysninger til myndighetene.

I Frankrike er myndighetene som er utpekt til å kontrollere anvendelsen CNIL, DGCCRF og Arcom. CNIL har allerede kunngjort at den vil intensivere kontrollene av KI-systemer som brukes i HR-prosesser fra høsten 2026.

Hvordan forberede seg konkret?

For franske virksomheter som ennå ikke har startet etterlevelsesarbeidet, er dette de viktigste stegene:

1. Kartlegg KI-verktøyene dine

List opp alle KI-systemer som brukes i organisasjonen, enten de er utviklet internt, kjøpt fra en leverandør eller tilgjengelige via API. Ikke glem løsninger integrert i tredjepartsprogramvare (CRM, HR, ERP).

2. Vurder risikonivået for hvert verktøy

For hvert identifisert system må du bestemme kategorien etter AI Act-rammeverket. Konsentrer innsatsen om høyrisikosystemer, særlig dem som berører personalressurser, kreditt eller automatiserte beslutninger som påvirker enkeltpersoner.

3. Kontroller leverandørenes etterlevelse

Hvis du bruker tredjeparts KI-løsninger, har leverandørene dine egne forpliktelser. Kontroller at de står i registeret til det europeiske KI-kontoret og at de gir deg nødvendig teknisk dokumentasjon.

4. Lær opp teamene dine

Forpliktelsen til opplæring i "KI-kompetanse" trer i kraft allerede 2. august 2026. Alle medarbeidere som bruker KI-verktøy, må forstå systemenes muligheter, begrensninger og risikoer. Korte og målrettede kurs kan oppfylle dette kravet.

5. Dokumenter og revider

For høyrisikosystemer bør du allerede nå bygge opp tekniske mapper: systembeskrivelse, treningsdata, ytelse og tiltak for menneskelig tilsyn. Denne dokumentasjonen vil kreves ved kontroll.

En tekst som former Europas digitale fremtid

AI Act oppfattes ofte som en begrensning, men representerer også en mulighet. Virksomheter som forutser etterlevelsen, vil vinne tillit hos kunder, partnere og investorer. I en situasjon der skepsisen til KI fortsatt er sterk i den franske offentligheten, kan en ansvarlig tilnærming bli et reelt konkurransefortrinn.

Frankrike, som har frigjort ytterligere 655 millioner euro til KI gjennom France 2030-planen, ønsker å være både en ledende aktør i KI-utvikling og en pioner innen ansvarlig regulering. AI Act er den regulatoriske hjørnesteinen.

AI Act har ikke som mål å bremse innovasjon, men å sikre at KI tjener mennesker, ikke omvendt. — Europakommisjonen

Kort sagt: datoen 2. august 2026 markerer et vendepunkt. Virksomheter som forbereder seg seriøst i dag, vil unngå morgendagens bøter og samtidig bygge et varig tillitsforhold til brukere og medarbeidere.