Det hersker en utbredt misforståelse i norsk næringsliv: At den norske KI-loven først kommer i 2027, og at virksomhetene derfor har god tid. Det er å snu saken på hodet.
Mens Norge forbereder lovverket, har deler av EUs KI-forordning (AI Act) allerede trådt i kraft. Transparenskravene i artikkel 50 gjelder i EU fra august 2026. Likevel behandler mange norske virksomheter KI-styring som et fremtidig etterlevelsesprosjekt. Den reelle risikoen er at teknologien tas i bruk raskere enn virksomheten klarer å etablere oversikt, eierskap og kontroll.
Feil å vente på loven
Når ansatte bruker generativ KI til å analysere kundedata, skrive kildekode eller oppsummere interne dokumenter, oppstår risikoen uavhengig av når norsk lov trer i kraft. Datalekkasjer, feilaktige beslutningsgrunnlag, immaterialrettslige brudd og svekket kundetillit er problemer virksomheten må håndtere nå.
For selskaper som opererer i EU eller leverer tjenester til europeiske kunder, kan EU-kravene dessuten allerede være relevante. Å vente til 2027 med å bygge intern styring og kontroll, er derfor en dårlig strategi.
Fire konkrete tiltak
KI-styring trenger ikke bli et byråkratisk monster, men den må være systematisk. Norske virksomheter bør prioritere fire tiltak:
1. Bygg en komplett systemoversikt
Du kan ikke styre det du ikke vet at du har. Kartlegg innkjøpte KI-tjenester, egne utviklingsprosjekter og KI-funksjonalitet som leverandører har bygget inn i eksisterende systemer. Oversikten bør vise hvilke data som behandles, hvilke prosesser som påvirkes, og hvem som bruker løsningene.
2. Avdekk skjult KI-bruk
Uformell bruk av ikke-godkjente verktøy, såkalt shadow AI, blir ikke borte med et forbud. Den blir bare mindre synlig. Virksomheter bør derfor kombinere tydelige rammer med godkjente alternativer og en enkel prosess for å registrere verktøy som allerede er i bruk. En godkjenningsprosess på seks uker taper mot en gratis tjeneste som er tilgjengelig på sekunder.
3. Plasser tydelig eierskap og ansvar
KI-risiko faller lett mellom teknologimiljøet, juristene og forretningen. Hvert vesentlig KI-system bør derfor ha en navngitt systemeier med ansvar for ytelse, datagrunnlag og risikohåndtering. Dersom et system gir kunden et feilaktig svar, skal virksomheten kunne svare på hvem som eier problemet.
4. Etabler kontinuerlig evaluering og overvåking
KI-modeller er ikke statiske. Leverandører oppdaterer dem, bruksmønstre endres, og mer autonome systemer utfører stadig flere oppgaver med begrenset menneskelig innblanding. Virksomheter bør derfor stille krav om varsling ved modellendringer, rett til testing før produksjonssetting og begrensninger på bruk av egne data til trening. Internt bør kritiske brukstilfeller testes på nytt ved vesentlige endringer, også på norsk.
Styrets ansvar
Styret trenger ikke dyp teknisk ekspertise for å utøve sitt tilsynsansvar, men de må etterspørre risikobaserte nøkkeltall. Et godt utgangspunkt er å kreve kvartalsvis rapportering på tre størrelser: antall KI-systemer i drift, antall avvik eller sikkerhetshendelser og antall uregistrerte verktøy avdekket i perioden. Det siste tallet er ofte det mest avslørende, ettersom det indikerer den reelle kontrollen virksomheten har.
Når den norske KI-loven til slutt vedtas i 2027, vil de virksomhetene som har ventet, måtte bruke enorme ressurser på skippertak og brannslukking. De som derimot bygger KI-styringen inn i virksomheten i dag, sikrer ikke bare at de overholder fremtidige lover. De bygger det viktigste konkurransefortrinnet i den digitale økonomien: Tillit.
Mange KI-prosjekter leverer ikke målbar verdi – problemet er ikke teknologien
