KI-loven er utsatt til 2027. Det er ikke en grunn til å vente – det er et pusterom du bør bruke.

De siste ukene kom beskjeden mange norske virksomheter kanskje pustet lettet ut over: den norske KI-loven, som opprinnelig skulle tre i kraft i august 2026, er utsatt. Regjeringen tar nå sikte på å sende endringene på høring høsten 2026 og legge fram lovproposisjonen våren 2027, og ikrafttredelsen henger sammen med EØS-forhandlingene og EUs egen forenklingspakke, «Digital Omnibus» [1][2].

Det er lett å lese en slik utsettelse som «da har vi god tid». Vår erfaring tilsier det motsatte. Utsettelsen er ikke en utsatt regning – den er et pusterom. Og pusterom har en tendens til å bli borte hvis man ikke bruker dem bevisst.

La oss forklare hvorfor.

Forsinkelsen gjelder den norske loven – ikke virkeligheten

Det er en viktig nyanse i dette som er lett å overse. At den norske KI-loven er forsinket, betyr ikke at KI-regulering ikke berører norske virksomheter i dag.

For det første gjelder EUs AI Act allerede i EU, med trinnvis innfasing som startet i 2025 [3]. Regelverket har ekstraterritoriell rekkevidde: dersom din virksomhet tilbyr KI-systemer i EU-markedet, eller resultatene av et KI-system brukes av personer i EU, kan dere være omfattet allerede nå – uavhengig av når den norske loven kommer [4][5]. For norske bedrifter med kunder, brukere eller ansatte i EU er dette ikke en fremtidig problemstilling.

For det andre forsvinner ikke personvernkravene mens vi venter. GDPR gjelder fullt ut. I det øyeblikket dere bruker KI til å behandle personopplysninger – analysere ansattdata, vurdere jobbsøkere, score kunder, håndtere henvendelser – utløses kravene til lovlig behandlingsgrunnlag, åpenhet og, i mange tilfeller, en personvernkonsekvensvurdering (DPIA) etter personvernforordningen artikkel 35 [6]. Det gjelder i dag, ikke i 2027.

Med andre ord: den delen av regelverket som er mest sannsynlig å ramme en vanlig norsk virksomhet – personvern og ansvarlig bruk – er allerede i kraft. KI-loven legger struktur og risikoklassifisering oppå dette, men den skaper ikke pliktene fra bunnen av.

Hva et pusterom faktisk er verdt

Tenk på forskjellen mellom to virksomheter når loven etter planen trer i kraft.

Den ene begynte tidlig, mens presset var lavt. De kartla hvilke KI-systemer de faktisk bruker – ofte flere enn ledelsen var klar over, gjemt i HR-systemet, rekrutteringsplattformen, CRM-et og kundeserviceverktøyet [7]. De vurderte risiko i ro og mak, ryddet i databehandleravtaler, og bygget en enkel dokumentasjonspraksis. Da loven kom, var det en formalitet.

Den andre ventet, fordi fristen var langt unna. Nå skal de kartlegge, risikovurdere, dokumentere og rydde – samtidig, under tidspress, mens tilsynsmyndigheten er ny og alle andre gjør det samme. De betaler mer, gjør det dårligere, og har mindre kontroll.

Compliance er sjelden vanskelig fordi kravene er uforståelige. Det blir vanskelig fordi det gjøres for sent, alt på én gang. Et pusterom er nettopp muligheten til å slippe det. Det er verdt å merke seg at Nkom, som er utpekt til koordinerende tilsynsmyndighet for KI-loven i Norge, selv anbefaler virksomheter å begynne forberedelsene så tidlig som mulig [7][8].

Tre ting enhver virksomhet kan gjøre nå – uavhengig av dato

Man trenger ikke vente på lovteksten for å komme i gang. Tre steg gir mest trygghet for minst innsats, og de samsvarer med det tilsynsmyndigheten selv trekker fram som det første steget [7]:

Kartlegg KI-bruken deres. Skaff en oversikt over hvilke systemer i virksomheten som bruker kunstig intelligens, og til hva. Dette alene avdekker som regel både risiko og muligheter man ikke visste om.

Klassifiser risikoen. Ikke all KI-bruk er likestilt. KI-forordningen bygger på en risikobasert tilnærming med fire kategorier – uakseptabel, høy, begrenset og minimal risiko – og jo høyere risiko, desto strengere krav [3][9]. Å skrive utkast og gjøre research er typisk lavrisiko. Å vurdere jobbsøkere, kredittscore kunder eller støtte forvaltningsvedtak kan utløse høyrisiko-krav. Å vite hvor dere står er halve jobben.

Rydd i personverngrunnlaget. Der KI behandler personopplysninger: sørg for behandlingsgrunnlag, databehandleravtaler og en vurdering av om DPIA kreves [6]. Dette er krav som gjelder i dag.

Ingen av disse stegene er bortkastet om loven skulle bli ytterligere forsinket. De er god drift uansett – og de er nøyaktig det dere ellers må gjøre under tidspress senere.

Derfor bygde vi SCOUT

Vi lagde SCOUT fordi vi så at avstanden mellom «vi burde ha kontroll på dette» og «vi har faktisk gjort noe» var for stor for de fleste norske virksomheter. Ikke fordi de ikke brydde seg, men fordi terskelen – en konsulent til 1 500–2 500 kroner timen, en prosess på 40–80 timer – var for høy til å komme i gang.

SCOUT senker den terskelen. Det starter med en gratis Lyn-scanner som gir en foreløpig vurdering på to minutter, og skalerer opp til full DPIA- og samsvarsdokumentasjon når behovet er der. Språket og kravene tilpasses om du er i privat, offentlig eller frivillig sektor – en kommune ser forvaltningskrav og FRIA-prosedyrer, en bedrift ser forretningsorientert risiko, en frivillig organisasjon ser minimumskravene uten unødvendig juss-jargong. Alt er forankret i det faktiske regelverket – AI Act, GDPR og Datatilsynets veiledning – og all data lagres i EU.

Poenget er ikke å skremme noen til compliance. Det er å gjøre det så enkelt å komme i gang at «vi venter til loven kommer» slutter å være det fornuftige valget.

Bruk pusterommet

Utsettelsen til 2027 er en gave hvis du bruker den, og en felle hvis du ikke gjør det. Den beste tiden å skaffe seg oversikt over egen KI-bruk var da presset var lavt. Nettopp nå.

Vil du vite hvor virksomheten din står? Start med en gratis Lyn-scanner på scout.sentrumsoftware.com – det tar to minutter, og krever ingen kortdetaljer.

---

Kilder

Alle kilder var tilgjengelige per august 2026. Ettersom KI-loven er under utvikling, kan status og datoer endres – sjekk Nkom og regjeringen for det oppdaterte bildet.

1. Digi.no / NTB: «Nye EU-regler for KI: Norge og EØS henger ennå langt etter». https://www.digi.no/artikler/nye-eu-regler-for-ki-norge-og-eos-henger-enna-langt-etter/575266
2. Tek.no: «Nye EU-regler for AI – Norge og EØS henger ennå langt etter». https://www.tek.no/nyheter/nyhet/i/lnQjWe/nye-eu-regler-for-ai-norge-og-eoes-henger-ennaa-langt-etter
3. Nkom: «KI-loven i et nøtteskall». https://nkom.no/ki/i-et-notteskall
4. Nettavisen / NTB: «Nye KI-regler i EU: Derfor gjelder ikke AI Act i Norge». https://www.nettavisen.no/kunstig-intelligens-ki/eu-og-eos/nyhet/nye-ki-regler-i-eu-derfor-gjelder-ikke-ai-act-i-norge/s/5-95-3178535
5. Lexolve: «KI-loven 2026: Regler og hvem de gjelder». https://lexolve.com/ressurser/ki-lov
6. Datatilsynet: veileder om personvernkonsekvensvurdering (DPIA) etter GDPR artikkel 35. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdere-personvernkonsekvenser/
7. Nkom: «KI-loven i et nøtteskall» – anbefaling om kartlegging som første steg. https://nkom.no/ki/i-et-notteskall
8. Nkom: hovedside om kunstig intelligens og Nkoms tilsynsrolle. https://nkom.no/ki
9. Nkom: «Ofte stilte spørsmål om KI-loven» – risikokategorier, tilsyn og sanksjoner. https://nkom.no/ki/ofte-stilte-sporsmal

---

SCOUT er en del av Sentrum Software – et norsk teknologiselskap som bygger AI-verktøy forankret i norsk regelverk, sammen med blant annet JusHjelp for juridisk veiledning. Denne artikkelen er generell informasjon om et regelverk under utvikling, ikke individuell juridisk rådgivning.

Sentrum Software DA · Org.nr 985 897 654 · Søndre Land, Norge