EUs KI-lov: hva gjelder nå og hva som er utsatt

EUs KI-lov, forordning (EU) 2024/1689 , har blitt anvendt i etapper siden den trådte i kraft 1. august 2024: forbudene, reglene for generelle KI-modeller og åpenhetsplikten for chatboter og KI-generert innhold gjelder allerede. Det strengeste regimet, for høyrisiko-KI, er utsatt av KI-omnibusen til 2. desember 2027 for systemene oppført i vedlegg III og til 2. august 2028 for KI i regulerte produkter.

AI Omnibus, forordning (EU) 2026/1744, ble publisert i EU-tidende i juli 2026 og er nå i kraft. De utsatte datoene er derfor fast lov, ikke en planleggingsforutsetning.

Hva er EU AI Act?

KI-loven er en risikobasert EU-forordning: jo høyere risiko et KI-system utgjør, desto tyngre er forpliktelsene. Den gjelder direkte i Nederland, uten behov for nederlandsk implementeringslovgivning for kjernereglene.

Loven definerer et AI-system bredt, i tråd med OECDs tilnærming. Det er et maskinbasert system som opererer med en viss grad av autonomi, kan tilpasse seg etter at det er distribuert, og fra inputen det mottar, utleder hvordan det skal generere output som for eksempel spådommer, innhold, anbefalinger eller beslutninger som kan påvirke fysiske eller virtuelle miljøer. Enkel regelbasert programvare som bare følger instruksjoner skrevet av mennesker faller vanligvis utenfor dette.

Gjelder KI-loven for din organisasjon?

Sannsynligvis hvis du utvikler, selger eller bruker AI-systemer i en profesjonell sammenheng i EU. Loven gjelder også for selskaper utenfor EU når systemet deres bringes på EU-markedet eller resultatet brukes i EU.

Et amerikansk eller britisk selskap som betjener europeiske kunder kan derfor falle inn under virkeområdet. Loven skiller mellom flere roller, hver med sine egne plikter:

• Leverandører utvikler et AI-system eller en generell AI-modell og bringer det på markedet eller tar det i bruk under eget navn eller varemerke. De har de største forpliktelsene.
• Utplasseringsselskaper bruker et AI-system under deres autoritet i en profesjonell kontekst, for eksempel en arbeidsgiver som bruker et AI-verktøy til å screene jobbsøkere. Rent personlig, ikke-profesjonell bruk faller utenfor disse pliktene.
• Importører og distributører bringer et tredjepartssystem inn på EU-markedet eller gjør det tilgjengelig lenger ned i forsyningskjeden, og må kontrollere at leverandøren har oppfylt sine forpliktelser.
• Produktprodusenter og i noen tilfeller autoriserte representanter for leverandører utenfor EU kan påta seg leverandørforpliktelser.

Rollen din kan endre seg. En distributør som i vesentlig grad modifiserer et høyrisikosystem, eller markedsfører det under eget navn, blir en leverandør og tar på seg de strengere pliktene. Sjekk dette før du tilpasser et system kjøpt fra en leverandør.

Hvordan klassifiserer KI-loven risiko?

Loven arbeider med fire risikonivåer: forbudt praksis, høy risiko, begrenset risiko med åpenhetsplikt og minimal risiko. Nivået avhenger av formålet du bruker systemet til, ikke av teknologien bak det.

Forbudte praksiser

Noe bruk er fullstendig forbudt i henhold til artikkel 5, og disse forbudene har gjeldt siden 2. februar 2025. De inkluderer manipulerende eller villedende teknikker som vesentlig forvrenger atferd og forårsaker betydelig skade, og utnyttelse av sårbarheter knyttet til alder, funksjonshemming eller sosioøkonomisk situasjon. Også forbudt er sosial scoring, umålrettet skraping av ansiktsbilder for å bygge gjenkjenningsdatabaser, følelsesgjenkjenning på arbeidsplassen og i utdanning (unntatt av medisinske eller sikkerhetsmessige årsaker), og biometrisk kategorisering som antyder sensitive egenskaper som religion eller seksuell legning.

Fjernbiometrisk identifikasjon i sanntid på offentlige steder for politi er forbudt, med forbehold om snevre unntak med sikkerhetstiltak. AI Omnibus legger til et nytt forbud mot AI-systemer som genererer materiale med seksuelt misbruk av barn eller intime bilder av identifiserbare personer uten samtykke.

Høy risiko

Høyrisikosystemer er tillatt, men strengt regulert. Det er to grupper. Vedlegg I dekker KI som er en sikkerhetskomponent i, eller i seg selv er et produkt som allerede er regulert av EUs produktlovgivning, for eksempel medisinsk utstyr, maskiner, heiser og leker. Vedlegg III viser frittstående bruksområder innen sensitive områder: biometri, kritisk infrastruktur, utdanning, sysselsetting og arbeidstakeradministrasjon, tilgang til viktige offentlige og private tjenester som kreditt og forsikring, rettshåndhevelse, migrasjon og grensekontroll, samt rettsadministrasjon og demokratiske prosesser.

Et system oppført i vedlegg III er ikke høyrisiko hvis det bare utfører en snever prosedyremessig eller forberedende oppgave og ikke vesentlig påvirker resultatet av en beslutning. Dette unntaket er strengt trukket, og en leverandør som er avhengig av det må dokumentere sin vurdering.

Begrenset risiko: åpenhet

Noen systemer er ikke høyrisiko, men kan villede folk. De har åpenhetsplikt i henhold til artikkel 50. Folk må bli informert når de samhandler med en chatbot, AI-generert eller manipulert innhold må opplyses og merkes, og folk må informeres når de blir utsatt for tillatt følelsesgjenkjenning eller biometrisk kategorisering.

Minimal risiko

Mesteparten av AI, som spamfiltre, anbefalingsmotorer og AI i videospill, faller inn under denne kategorien. Loven pålegger ingen spesifikke forpliktelser her, selv om frivillige atferdsregler oppmuntres, og den generelle plikten til AI-kompetanse i artikkel 4 gjelder fortsatt.

Når gjelder forpliktelsene?

Loven gjelder i faser. Forbudene, plikten til KI-kompetanse, reglene for generell KI og åpenhetsplikten gjelder allerede; høyrisikoreglene følger i desember 2027 og august 2028.

Siden 2. august 2026 gjelder åpenhetsplikten fullt ut; bare generative AI-systemer som allerede er på markedet før den datoen har frist til 2. desember 2026 for maskinlesbar merking. Den ekstra tiden for høyrisiko-AI er en utsettelse, ikke et unntak: det tar måneder å bygge en teknisk fil, risikostyring og menneskelig tilsyn.

Hva må leverandører, distributører og importører gjøre?

Leverandører av høyrisikosystemer bærer hovedbyrden og må bevise samsvar før systemet når markedet. Distributører må bruke systemet riktig, føre tilsyn med det og informere de berørte personene.

Leverandører av høyrisikosystemer må etablere et risikostyringssystem som dekker hele livssyklusen, anvende datastyring, oppbevare teknisk dokumentasjon, bygge inn automatisk logging og menneskelig tilsyn, og oppnå passende nøyaktighet, robusthet og cybersikkerhet. Før markedslansering fullfører de samsvarsvurderingen, EU-samsvarserklæringen, CE-merkingen og registreringen i EU-databasen, og deretter overvåker de systemet og rapporterer alvorlige hendelser.

Utrullere av høyrisikosystemer må bruke systemet i tråd med leverandørens instruksjoner, tildele menneskelig tilsyn til kompetent personale, sørge for at inndataene er relevante, overvåke driften og føre logger. Der det er nødvendig, må de informere de berørte personene. Offentlige organer og visse private utrullere, for eksempel innen kredittscoring og forsikringsprising, må gjennomføre en konsekvensvurdering av grunnleggende rettigheter. Arbeidsgivere må informere arbeidstakere og deres representanter før de tar et høyrisikosystem i bruk på arbeidsplassen.

Plikten til KI-kompetanse i artikkel 4 gjelder for alle leverandører og distributører. KI-omnibusen har myket opp formuleringen: organisasjoner må nå iverksette tiltak for å støtte et tilstrekkelig nivå av KI-kompetanse blant sine ansatte. Forventningen om at folk som jobber med KI forstår hva det gjør og hvor det kan gå galt, består.

Hva gjelder for generelle AI-modeller?

Leverandører av generelle AI-modeller (GPAI) har hatt sine egne forpliktelser siden 2. august 2025. Modeller med systemisk risiko står overfor ytterligere plikter.

I henhold til artikkel 53 til 55 må alle GPAI-leverandører opprettholde teknisk dokumentasjon, publisere et tilstrekkelig detaljert sammendrag av innholdet som brukes i opplæringen, ha en policy for å overholde EUs opphavsrettslovgivning og gi informasjon til selskapene som bygger på modellen. Leverandører av modeller med systemisk risiko må også evaluere modellene sine, inkludert kontradiktorisk testing, vurdere og redusere systemisk risiko, spore og rapportere alvorlige hendelser og sikre sterk cybersikkerhet. Å følge den offisielle generelle AI-kodeksen er en anerkjent måte å vise samsvar på. AI-kontoret i Europakommisjonen fører direkte tilsyn med disse leverandørene.

Hvilke åpenhetsplikter gjelder nå?

Siden 2. august 2026 krever artikkel 50 at folk vet når de har med AI å gjøre. Dette gjelder chatboter, AI-generert innhold og deepfakes, samt følelsesgjenkjenning og biometrisk kategorisering.

Leverandører av chatboter og samtaleagenter må gjøre det klart at brukeren samhandler med en maskin, med mindre det er åpenbart. Leverandører av systemer som genererer syntetisk lyd, bilder, video eller tekst må merke utdataene i et maskinlesbart format slik at det kan oppdages som kunstig. Utviklere som publiserer deepfakes må opplyse om at innholdet ble kunstig generert eller manipulert, og utviklere som publiserer AI-generert tekst om saker av offentlig interesse må opplyse om dette med mindre en person har gjennomgått det og har redaksjonelt ansvar. Utviklere av tillatt følelsesgjenkjenning eller biometrisk kategorisering må informere personene som er eksponert for det.

Hva er bøtene i henhold til AI-loven?

Bøter avhenger av typen brudd og er angitt i artikkel 99. For hver kategori gjelder det høyeste av det faste beløpet og omsetningsprosenten.

• Forbudt praksis (artikkel 5): opptil 35 millioner euro eller 7 % av den globale årlige omsetningen, avhengig av hva som er høyest.
• Brudd på de fleste andre forpliktelser, inkludert høyrisikokravene og åpenhetsplikten: opptil 15 millioner euro eller 3 % av den globale årlige omsetningen.
• Å gi uriktig, ufullstendig eller villedende informasjon til meldte organer eller myndigheter: opptil 7.5 millioner euro eller 1 % av den globale årlige omsetningen.

For små og mellomstore bedrifter og oppstartsbedrifter er boten begrenset til det laveste av det faste beløpet og prosentsatsen. AI Omnibus utvider en rekke av disse lettelsene til små mellomstore selskaper. Bøter er ikke det eneste instrumentet: markedstilsynsmyndighetene kan kreve korrigerende tiltak, begrense eller forby tilgjengeliggjøring av et system og beordre tilbaketrekking eller tilbakekalling av det.

Hvordan forholder KI-loven seg til GDPR og cybersikkerhetsloven?

KI-loven kommer i tillegg til eksisterende lov. Hvis KI-systemet ditt behandler personopplysninger, gjelder GDPR fullt ut, og hvis du tilbyr essensielle eller viktige tjenester, gjelder også nederlandsk lov om cybersikkerhet.

I henhold til GDPR trenger du et lovlig grunnlag, du må respektere formålsbegrensning og den registrertes rettigheter, og du må ofte gjennomføre en konsekvensutredning for personvern (DPIA). Konsekvensutredningen for grunnleggende rettigheter i henhold til KI-loven og DPIA overlapper hverandre, så det er effektivt å gjennomføre dem sammen.

Nettsikkerhetsloven (Cyberbeveiligingswet), som implementerer EUs NIS2-direktiv, har vært gjeldende i Nederland siden 15. august 2026. Den legger til plikter for risikostyring og hendelsesrapportering for essensielle og viktige enheter, noe som forsterker KI-lovens krav til robusthet og sikkerhet.

Hvem håndhever KI-loven i Nederland?

Generelle AI-modeller overvåkes av AI-kontoret i Brussel; alt annet håndheves av nasjonale markedstilsynsmyndigheter. I Nederland er loven som utpeker disse myndighetene fortsatt under lovgivningsprosessen.

På EU-nivå fører EU-kommisjonens AI-kontor direkte tilsyn med generelle AI-modeller og samarbeider med European Artificial Intelligence Board. AI Omnibus utvidet sine fullmakter til AI-systemer bygget på en leverandørs egen GPAI-modell og til AI i svært store nettplattformer og søkemotorer.

KI-loven gjelder direkte, så bedrifter er allerede bundet av de delene som gjelder. Den nederlandske loven som utpeker tilsynsmyndighetene og deres fullmakter, har imidlertid ennå ikke trådt i kraft, og den endelige fordelingen kan fortsatt endres. Modellen som er foreslått så langt er en hybrid modell. Eksisterende sektorregulatorer blir markedstilsynsmyndigheter på sine egne felt, slik at KI i helsevesenet faller inn under helsetilsynet og KI på arbeidsplassen under arbeidstilsynet. Den nederlandske databeskyttelsesmyndigheten (Autoriteit Persoonsgegevens, AP) og den nederlandske myndigheten for digital infrastruktur (Rijksinspectie Digitale Infrastructuur, RDI) har koordinerende roller, med AP som gjenværende tilsynsmyndighet for høyrisikosystemer som ikke har noen åpenbar sektorregulator.

Hvilke misoppfatninger bør du unngå?

Fire misforståelser fører regelmessig til at organisasjoner bruker innsats på feil sted.

Det første er at en menneskelig signatur fjerner høyrisikoetiketten. Det gjør den ikke. Unntaket for snevre prosedyremessige eller forberedende oppgaver er strengt trukket. Et verktøy som rangerer jobbsøkere eller velger filer for nærmere gjennomgang påvirker avgjørelsen selv om en person signerer. Et gummistempel er ikke menneskelig tilsyn og fjerner ikke et system fra vedlegg III.

Det andre er at bare utviklere er regulert. Utviklernes forpliktelser er reelle og kan håndheves mot organisasjonen som bruker systemet. Flere av dem, som å informere arbeidere og deres representanter, tildele kompetent tilsyn og føre logger, kan ikke overføres til leverandøren.

Det tredje er at alt som allerede er i bruk er unntatt. I henhold til artikkel 111 er høyrisikosystemer som bringes på markedet før høyrisikoreglene gjelder i prinsippet bare omfattet dersom designet endres vesentlig etterpå. Dette unntaket er snevrere enn det høres ut: oppdateringer, omskolering og ny bruk er akkurat den typen endringer som bringer et system tilbake inn under virkeområdet. Systemer som brukes av offentlige myndigheter må uansett overholde regelverket innen 2. august 2030. Hvis du planlegger å bruke overgangsregelen, må du dokumentere den nåværende konfigurasjonen nå.

Det fjerde er at KI-loven erstatter eksisterende lov. Den ligger oppå den. Databeskyttelse, likebehandlingslovgivning, forbrukerlovgivning, sektorregulering, arbeidsrett og rettighetene til arbeidsutvalget (ondernemingsraad) gjelder fortsatt fullt ut. I Nederland er det vanligvis en av disse, ikke selve KI-loven, som gir den første konkrete klagen. I henhold til artikkel 27(1)(l) i arbeidsutvalgsloven (Wet op de ondernemingsraden) krever for eksempel innføring av et system for overvåking av ansatte arbeidsutvalgets samtykke.

Hva bør du sjekke som leverandør?

• Om hvert system du bringer på EU-markedet er forbudt, høyrisiko, underlagt artikkel 50 eller minimal risiko.
• For generativ AI på markedet før 2. august 2026: maskinlesbar merking av output innen 2. desember 2026.
• For høyrisikosystemer: risikostyring, datastyring, teknisk dokumentasjon, logging og menneskelig tilsyn før 2. desember 2027 (vedlegg III).
• Samsvarsvurdering, EU-samsvarserklæring, CE-merking og registrering i EU-databasen.
• Hvis du utvikler generelle modeller: dokumentasjonen, sammendraget av opplæringsinnholdet og retningslinjene for opphavsrett i henhold til artikkel 53 til 55.

Hva bør du sjekke som distributør?

• En oversikt over alle AI-systemer du bruker, inkludert AI innebygd i tredjepartsprogramvare, med risikonivå.
• At ingen bruk faller inn under forbudene i artikkel 5, som for eksempel følelsesgjenkjenning på arbeidsplassen.
• Enten du har blitt en leverandør ved å endre et system vesentlig eller markedsføre det under ditt eget navn.
• Offentliggjøring av chatboter, deepfakes og AI-generert tekst i henhold til artikkel 50, og tiltak for AI-kompetanse i henhold til artikkel 4.
• Samtykke fra bedriftsrådet i henhold til artikkel 27(1)(l) i arbeidsloven før innføring av kunstig intelligens som overvåker ansatte, og en DPIA i henhold til GDPR.

Hva kan vi gjøre for deg med KI-loven?

Vi gir råd til leverandører og distributører om samsvar med AI-loven i tillegg til GDPR og arbeidsrett. Vår indeks over nederlandske IT- og personvernlovgivningsguider viser relaterte artikler.

• Vi klassifiserer AI-systemene dine etter risikonivå og bestemmer din rolle for hvert enkelt.
• Vi gjennomgår leverandørkontrakter for tildeling av forpliktelser og ansvar i henhold til KI-loven.
• Vi utarbeider åpenhetsvarslene som kreves i henhold til artikkel 50.
• Vi kombinerer konsekvensanalysen av grunnleggende rettigheter med DPIA i henhold til GDPR.
• Vi utarbeider søknaden om samtykke fra bedriftsrådet og gjennomfører høringen.

Sammendrag

• EUs KI-lov (forordning (EU) 2024/1689) har vært i kraft siden 1. august 2024 og gjelder i faser.
• Forbudene, AI-kompetanse, GPAI-reglene og åpenhetsplikten gjelder allerede; merking av output fra eldre generative systemer skal være ferdig innen 2. desember 2026.
• AI Omnibus (forordning (EU) 2026/1744) har utsatt høyrisikoreglene til 2. desember 2027 (vedlegg III) og 2. august 2028 (vedlegg I).
• Bøtene kan påløpe opptil 35 millioner euro eller 7 % av den globale omsetningen; for små og mellomstore bedrifter gjelder det lavere beløpet.
• KI-loven kommer i tillegg til GDPR, cybersikkerhetswet og arbeidsretten; planlegg samsvar som ett program.

Ofte stilte spørsmål