EUs AI-forordning er offisielt i kraft – men med en hake

Fra tidlig august 2026 har EUs AI-forordning gått fra å være et ventende lovverk til et sett med regler bedriftene faktisk må overholde. TechGDPRs siste personvernsammendrag markerer denne milepælen, og påpeker at forordningen ble gjeldende samtidig som reglene for høyrisiko-AI-systemer fortsatt er midlertidig unntatt. For alle som følger med på hvordan AI-regulering krysser personvernet, er dette et bemerkelsesverdig tidspunkt: loven er teknisk sett i kraft, men ett av de mest vidtrekkende kapitlene ligger på vent.

AI-forordningen ble utformet rundt et risikobasert rammeverk. Systemer sorteres i kategorier, fra minimal risiko til uakseptabel risiko, med plikter som skaleres deretter. Høyrisiko-AI – tenk systemer brukt i ansettelser, kredittvurdering, rettshåndhevelse eller medisinsk diagnostikk – var alltid ment å ha den tyngste etterlevelsesbyrden: samsvarsvurderinger, krav til menneskelig tilsyn og detaljert dokumentasjon. At disse spesifikke forpliktelsene utsettes, selv mens den overordnede loven trer i kraft, sier noe om hvor vanskelig det har vært for tilsynsmyndigheter og næringsliv å enes om tidsplaner for de strengeste bestemmelsene.

Hvorfor høyrisiko-AI-reglene er utsatt

Utsettelsen er ikke et tegn på at tilsynsmyndighetene har inntatt en mykere linje overfor AI-tilsyn. Den gjenspeiler snarere den praktiske virkeligheten med å rulle ut en lov som er så kompleks. Standardiseringsorganer, nasjonale tilsyn og Europakommisjonen trengte alle mer tid til å ferdigstille de tekniske spesifikasjonene som tilbydere av høyrisiko-AI må oppfylle. Fremfor å tvinge selskapene til å overholde regler som ikke var fullt ut definert, ble forpliktelsene knyttet til høyrisikosystemer utsatt, mens resten av forordningen – inkludert bestemmelser om forbudte praksiser og AI-kompetanse – gikk videre i henhold til tidsplanen.

Denne trinnvise innføringen har særlig betydning for personvernfaglige. Mange bruksområder for høyrisiko-AI – biometrisk identifikasjon, automatisert beslutningstaking i ansettelser eller utlån – innebærer omfattende behandling av personopplysninger. Når fristen for etterlevelse for disse systemene forskyves, oppstår det et midlertidig gap der AI-spesifikke garantier ennå ikke kan håndheves, selv om GDPR-forpliktelsene for de samme databehandlingsaktivitetene fortsatt gjelder fullt ut. Organisasjoner kan ikke behandle utsettelsen som et frikort for personvernetterlevelse generelt – bare for AI-forordningens ekstra lag med krav til høyrisikokategoriene.

GDPR-tilknytningen: Personvernet er fortsatt i bildet

Noe av det mest nyttige å forstå om AI-forordningen er at den ikke erstatter GDPR, men supplerer den. Ethvert AI-system som behandler personopplysninger, enten det klassifiseres som høyrisiko eller ikke, må fortsatt oppfylle eksisterende personvernregelverk: lovlig behandlingsgrunnlag, åpenhet overfor de registrerte og garantier mot misbruk. AI-forordningen legger sektor- og risikospesifikke regler på toppen av dette grunnlaget.

Denne tosporede tilnærmingen er ikke unik for EU. Personvernregimer over hele verden strever med lignende spørsmål om hvordan ny teknologi skal reguleres uten å etterlate hull i tilsynet. Zimbabwes telekomtilsyn forbereder seg for eksempel på å aktivt håndheve sin egen personvernlov fra september 2026, en endring vi dekket i vår rapport om POTRAZs håndhevingsplaner. Andre steder har forslag som Sør-Afrikas plan om å koble mobilens SIM-registrering til digital identitet reist lignende bekymringer for hvordan personopplysninger brukes når de først er samlet inn, et tema vi utforsket i vår dekning av Sør-Afrikas SIM-til-ID-debatt. Ulike regioner, ulike mekanismer, men den samme underliggende spenningen: teknologien beveger seg raskere enn reglene som skal styre den.

Hva dette betyr for deg

Hvis du er forbruker, er den umiddelbare praktiske virkningen begrenset. Høyrisikobestemmelsene i EUs AI-forordning var alltid rettet mot virksomheter og offentlige organer som tar i bruk AI-systemer, ikke mot enkeltbrukere. Men den bredere innføringen er verdt å følge med på fordi den signaliserer hvor alvorlig tilsynsmyndighetene tar AI-drevet databehandling, og hvor mye arbeid som gjenstår før disse beskyttelsene er fullt ut på plass.

Hvis du jobber i en bedrift som utvikler eller tar i bruk AI-verktøy som berører EU-brukere, betyr ikke utsettelsen av høyrisikoforpliktelsene at du kan vente med forberedelsene. Tilsynsmyndighetene har gjort det klart at utsettelsen handler om tidsplan for implementering, ikke en endring av kurs. Å ligge i forkant med dokumentasjon, risikovurderinger og datastyring nå vil ha betydning når høyrisikofristene faktisk inntreffer.

Hovedpunkter

  • EUs AI-forordning ble gjeldende i august 2026, men forpliktelser for høyrisiko-AI-systemer ble midlertidig unntatt i påvente av ferdigstilte tekniske standarder.
  • GDPR-forpliktelser gjelder fortsatt fullt ut uavhengig av AI-forordningens gradvise innføring, slik at databehandling knyttet til AI-systemer fortsatt krever et lovlig grunnlag og åpenhet.
  • Virksomheter som tar i bruk AI i EU bør behandle utsettelsen som et planleggingsvindu, ikke et unntak fra etterlevelse, og fortsette å bygge opp mot de endelige høyrisikokravene.
  • Å følge med på hvordan andre jurisdiksjoner, fra Zimbabwe til Sør-Afrika, håndterer personvernhåndhevelse gir nyttig kontekst for hvordan den globale reguleringsfremdriften rundt personopplysninger bygges opp parallelt med AI-spesifikke regler.