KI-forordningen kort fortalt

I kapittel 1 har vi sett at KI-forordningen stiller krav til leverandører av KI-modeller for allmenne formål. Vi har også sett at slike KI-modeller skiller seg fra KI-systemer ved at de har svært stor regnekraft, de er trent på store mengder data og de kan brukes til å utføre en rekke forskjellige oppgaver.

De aller fleste av kravene som forordningen stiller til leverandører av denne typen kunstig intelligens, har trolig begrenset relevans i høyere utdanning og forskning. Det skyldes at kravene primært gjelder for KI-tjenester som tilbys av store internasjonale selskaper (OpenAI, Anthropic, Google, Meta, osv.), se KI-forordningen artikkel 51-56.^[82]

Det som likevel er av særlig interesse i vår sektor, er at universiteter, høyskoler og andre forvaltningsorganer kan benytte KI-modeller for allmenne formål til å utvikle sine egne KI-systemer. KI-modeller for allmenne formål kan altså benyttes som underliggende teknologi i egenutviklede KI-systemer. Eksempler på dette kan være KI-assistenter eller samtaleroboter i undervisning og læring som er laget med utgangspunkt i store språkmodeller (ChatGPT, Claude, osv.).^[83] Virksomheter som integrerer KI-modeller i egenutviklede KI-systemer, inkludert KI-assistenter eller samtaleroboter, betegnes i forordningen som nedstrøms leverandører.^[84]

Flere virksomheter i høyere utdanning og forskning er allerede nedstrøms leverandører, mens andre har konkrete ambisjoner om å bli det.^[85] De driver derfor med utvikling av KI-systemer hvor KI-modeller for allmenne formål er underliggende teknologi – eller planlegger å gjøre det. For disse virksomhetene er det viktig å merke seg at leverandører av de store KI-modellene, for eksempel OpenAI eller Google, har plikt til å utarbeide, oppdatere og gjøre tilgjengelig dokumentasjon som setter dem i stand til å

• forstå modellenes kapabiliteter, styrker og begrensninger,
• oppfylle sine plikter dersom de utvikler KI-systemer med høy eller begrenset risiko.^[86]

Det innebærer altså at leverandører av KI-modeller for allmenne formål skal gi relevant, oppdatert og kvalitetssikret informasjon til alle virksomheter som benytter modellene i sine egne KI-systemer. Mer konkret betyr dette at dersom en av de store språkmodellene – la oss si ChatGPT – brukes av et universitet (nedstrøms leverandør) til å utvikle et KI-system med høy risiko, for eksempel til å styre studentenes læring, skal informasjonen fra modell-leverandøren (OpenAI) hjelpe universitetet til å overholde de plikter som gjelder for leverandører av høyrisikosystemer. Informasjon fra modell-leverandøren kan for eksempel inkludere risikovurderingen av KI-modellen eller i modell-/systemkortet.^[87] Universitetet kan deretter legge denne informasjonen til grunn for arbeidet med å utvikle sitt eget høyrisikosystem.^[88]

Skulle universitetet tilby sitt egenutviklede høyrisikosystemet til andre virksomheter i eller utenfor høyere utdannings- og forskningssektoren, blir disse virksomhetene idriftsettere. De må derfor overholde de plikter som gjelder for idriftsettere av høyrisikosystemer. Også idriftsettere er avhengig av informasjon, inkludert risikovurderinger og systemkort, fra aktører høyere i verdikjeden (modell- og systemleverandører). Informasjonen vil blant annet kunne brukes i vurderinger av hvordan kunstig intelligens påvirker enkeltpersoners grunnleggende rettigheter (FRIA).^[89]

Hvert land skal opprette en regulatorisk sandkasse for kunstig intelligens. Nærmere regler om nasjonale regulatoriske sandkasser finner i KI-forordningen artikkel 57-63.^[95]

I Norge har Digitaliseringsdirektoratet fått i oppdrag å opprette og drive en slik sandkasse.^[96] Det skal skje i samarbeid med Datatilsynet og Nasjonal kommunikasjonsmyndighet, og planen er at den regulatoriske sandkassen skal være operativ i løpet av 2026.^[97] Sandkassen kan benyttes av leverandører av KI-systemer i høyere utdanning og forskning.

Den nye regulatoriske sandkassen vil tilby rådgiving og veiledning for leverandører som utvikler KI-systemer, slik at systemene er i samsvar med kravene i KI-forordningen. Det innebærer blant annet at sandkassen skal bidra til å identifisere og håndtere risiko for skadevirkninger. Sandkassen skal også bidra til å bygge kompetanse om hvordan regelverket kan anvendes og til utvikling av beste praksis.

Forordningen inneholder i tillegg regler om andre forhold knyttet til den regulatoriske sandkassen. Det dreier seg for eksempel om behandling av personopplysninger i forbindelse med utvikling av visse typer KI-systemer og om testing av høyrisikosystemer utenfor den regulatoriske sandkassen.

KI-forordningen artikkel 70 og 74-84 har bestemmelser om tilsyn med og håndheving av krav og plikter i regelverket. Det som er særlig verdt å merke seg her, er at Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt som koordinerende markedstilsynsmyndighet i Norge.^[98]

Rollen som koordinerende markedstilsynsmyndighet innebærer blant annet at Nkom vil være nasjonalt kontaktpunkt for forordningen og skal sikre enhetlig tilsyn med forordningen på tvers av sektorer. Nkom skal dessuten føre tilsyn med KI-systemer som reguleres i forordningen, inkludert høyrisikosystemer innen utdanning og yrkesfaglig opplæring, sysselsetting og arbeidsledelse.

Nkom kan be om tilgang til dokumentasjon fra leverandører og idriftsettere av KI-systemer. Det samme kan myndigheter som håndhever eller fører tilsyn med EU-regler om beskyttelse av grunnleggende rettigheter, for eksempel Datatilsynet.

Enhver person eller virksomhet som mener at en leverandør eller idriftsetter ikke overholder bestemmelsene i forordningen, kan klage dette inn til tilsynsmyndigheten.

KI-forordningen artikkel 99-101 regulerer sanksjoner og overtredelsesgebyr ved brudd på visse krav og plikter i regelverket. Her fremgår det at hvert land kan avgjøre at offentlige virksomheter skal unntas fra forordningens gebyrbestemmelser.

I den norske KI-loven som var på høring i 2025, foreslår Digitaliserings- og forvaltningsdepartementet at disse bestemmelsene likevel skal gjelde også for offentlige virksomheter.^[99] Dersom forslaget vedtas av Stortinget, betyr det at statlige universiteter, høyskoler og andre forvaltningsorganer i høyere utdanning og forskning kan ilegges gebyr for regelbrudd.

Digitaliserings- og forvaltningsdepartementet foreslår også at forordningens beløpsgrenser for overtredelsesgebyr skal gjelde for offentlige virksomheter. Følgende beløpsgrenser vil dermed kunne gjelde i offentlig sektor, inkludert utdannings- og forskningssektoren, dersom departementets forslag vedtas:

• Brudd på forbudet mot omsetning og bruk av KI-systemer med uakseptabel risiko, kan føre til bøter på opptil 35 mill. euro (omkring 395 mill. norske kroner pr. februar 2026).^[100]
• Brudd på en rekke andre bestemmelser i forordningen, inkludert plikter som leverandører og idriftsettere har med hensyn til KI-systemer med høy og begrenset risiko, kan føre til bøter på opptil 15 mill. euro (omkring 169 mill. norske kroner pr. februar 2026).^[101]
• Å gi feilaktig, ufullstendig eller villedende informasjon til blant annet tilsynsmyndigheter, kan føre til bøter på opptil 7,5 mill. euro (omkring 85 mill. norske kroner pr. februar 2026).^[102]

Beløpsgrensene for overtredelsesgebyr i forordningen er maksimalgrenser. De angir derfor det høyeste overtredelsesgebyret som det er mulig å ilegges for brudd på de aktuelle bestemmelsene.^[103]

Digitaliserings- og forvaltningsdepartementet foreslår i tillegg at det kan ilegges tvangsmulkt dersom pålegg om lukking av regelavvik ikke følges opp av de ansvarlige for avviket.^[104] Også virksomheter i høyere utdanning og forskning kan ilegges tvangsmulkt. Dette er ment å styrke håndhevingen både av den norske KI-loven og KI-forordningen.

KI-forordningen oppretter en rekke organer på EU-nivå, jf. spesielt KI-forordningen artikkel 64-68.^[105] EU-organene skal blant annet sørge for at gjennomføringen av regelverket skjer på en harmonisert og samordnet måte på tvers av land. De har også ansvar for veiledning om hvordan regelverket skal forstås og praktiseres.

De viktigste organene er KI-kontor og Det europeiske KI-rådet. I tillegg opprettes et rådgivende forum og et vitenskapspanel.

Forordningen oppretter et KI-kontor («the AI Office») under EU-kommisjonen.^[106] KI-kontorets ansvar og oppgaver inkluderer blant annet å

• koordinere politikk på KI-området og bidra til samarbeid mellom EU-organer, eksperter og akademia,
• utarbeide og anbefale standard kontraktsvilkår i avtaler mellom leverandører av høyrisikosystemer og underleverandører,
• utarbeide og kontrollere etterlevelsen av atferdsregler,
• føre tilsyn med leverandører av KI-modeller for allmenne formål, kreve retting av regelbrudd og ilegge sanksjoner ved manglende regeletterlevelse,
• undersøke/evaluere KI-modeller for allmenne formål med systemisk risiko på EU-nivå,
• bistå nasjonale tilsynsmyndigheter.^[107]

I KI-rådet («European Artificial Intelligence Board») deltar hvert EU-land med én representant hver.^[108] EFTA-landene har status som observatører i rådet (med talerett, men uten stemmerett). Nasjonal kommunikasjonsmyndighet representerer Norge i KI-rådet.

KI-rådets ansvar og oppgaver inkluderer blant annet å

• gi støtte og råd til EU-kommisjonen (KI-kontoret), medlemslandene og nasjonale organer, for eksempel tilsynsmyndigheter, slik at regelverket blir praktisert på en effektiv og konsistent måte,
• utarbeide og publisere råd, anbefalinger og veiledninger,
• bidra til utarbeidelse av retningslinjer, spesifikasjoner og standarder for etterlevelse av regelverket.

KI-rådet kan opprette permanente undergrupper, blant annet for nasjonale tilsynsmyndigheter.

Ut over KI-kontoret og KI-rådet, oppretter forordningen to andre KI-organer på EU-nivå. Det første av dem er rådgiverforumet («Advisory Forum»).^[109] Forumet skal rådgi og bidra med teknisk ekspertise inn mot KI-rådet og KI-kontoret.

Rådgiverforumet skal bestå av tekniske eksperter som representanter ulike «stakeholders», for eksempel industrien, oppstartsbedrifter, sivilsamfunnet og akademia. Medlemmene i rådgiverforumet utnevnes av EU-kommisjonen.

Det andre organet er vitenskapspanelet, som vil ha omkring 60 medlemmer. Vitenskapspanelets ansvar og oppgaver inkluderer blant annet å

• gi råd til KI-kontoret, spesielt når det gjelder reglene om KI-modeller (og systemer) for allmenne formål,
• gi råd om kategorisering av KI-modeller for allmenne formål som kan innebære systemisk risiko og varsle KI-kontoret om slike modeller,
• bidra til utvikling av verktøy og metoder for vurdering av kapasiteten til KI-modeller (og systemer) for allmenne formål,
• bistå nasjonale tilsynsmyndigheter dersom de ber om assistanse.

EU-kommisjonen utnevner medlemmene i vitenskapspanelet basert på deres tekniske ekspertise. Norge kan delta med tekniske eksperter i vitenskapspanelet på lik linje med eksperter fra EU-land.^[110]