KI-kompetanse er nå et krav: hva KI-forordningen artikkel 4 betyr for din virksomhet

KI-forordningen krever at virksomheter som bruker kunstig intelligens i jobben, sørger for at de som bruker verktøyene, forstår hva de gjør. Kravet står i KI-forordningen art. 4 og har gjeldt i EU siden 2. februar 2025. I juli 2026 ble ordlyden endret, slik at plikten nå er å sette i verk tiltak, ikke å garantere et bestemt nivå. For norske virksomheter er kravet ennå ikke gjeldende rett, men det kommer.

Hva betyr KI-kompetanse etter KI-forordningen?

KI-kompetanse er ferdighetene, kunnskapen og forståelsen som gjør det mulig å bruke KI-systemer på et informert grunnlag, og å være klar over mulighetene, risikoen og skadene KI kan gi. Definisjonen står i KI-forordningen art. 3 nr. 56 i forordning (EU) 2024/1689.

Begrepet handler altså ikke om teknisk ekspertise. En saksbehandler som bruker en språkmodell til å skrive utkast, må forstå at modellen kan finne opp fakta, at innholdet kan bli lagret hos leverandøren, og når svaret må kontrolleres. En utvikler som setter opp et system for kundene, trenger en annen og dypere kompetanse.

Hvem må sørge for KI-kompetanse?

Plikten gjelder både leverandører og idriftsettere av KI-systemer. En idriftsetter er enhver fysisk eller juridisk person, offentlig myndighet eller annet organ som bruker et KI-system under egen myndighet, med unntak for bruk i personlig, ikke-profesjonell sammenheng, jf. KI-forordningen art. 3 nr. 4.

Det betyr at nesten alle virksomheter som lar ansatte bruke ChatGPT, Copilot eller lignende verktøy i jobben, er idriftsettere. Kommisjonen bekrefter i sin veiledning om KI-kompetanse at kravet gjelder også ved bruk av generelle språkmodeller, og bruker risikoen for hallusinasjoner som eksempel på hva ansatte må kjenne til.

Kravet omfatter eget personale og andre som bruker systemene på virksomhetens vegne. Kommisjonen nevner kontraktører, tjenesteleverandører og kunder som kan falle inn under dette. Innleide konsulenter og vikarer bør derfor tas med i planen.

Hva endret den digitale omnibusen i artikkel 4?

Endringen gjør plikten til en innsatsplikt. Forordning (EU) 2026/1744, kjent som den digitale omnibusen om KI, trådte i kraft 27. juli 2026 og skrev om artikkel 4.

For virksomhetene er den praktiske forskjellen mindre enn det kan se ut. Plikten til å handle står fortsatt, og en virksomhet som ikke har gjort noe, oppfyller heller ikke den nye ordlyden. Det som er borte, er risikoen for å bli målt mot et udefinert «tilstrekkelig nivå».

Kravet er ikke at alle skal bli eksperter. Kravet er at virksomheten kan vise at den har gjort noe fornuftig for at folk forstår verktøyene de bruker.

Hva må et opplæringsprogram for KI-kompetanse inneholde?

Et godt program er tilpasset rollene i virksomheten, ikke et felles kurs for alle. Kommisjonen anbefaler å bygge tiltakene rundt fire spørsmål. Hva er en generell forståelse av KI i virksomheten? Er virksomheten leverandør eller idriftsetter? Hvilken risiko gir systemene som faktisk brukes? Og hvilke tiltak passer de ansattes bakgrunn og bruken av systemene?

Opplæringen bør også gjentas. KI-verktøyene endres raskt, og nye funksjoner som tilgang til e-post, dokumenter eller kundedata endrer risikoen. En kort oppfriskning når et verktøy får nye funksjoner, gir mer enn et langt kurs én gang. Mange virksomheter lykkes med korte, praktiske økter der de ansatte prøver verktøyet på egne arbeidsoppgaver og ser hvor det feiler.

Kommisjonen understreker at det ikke er nok å vise til leverandørens bruksanvisning. Opplæringen bør knyttes til virksomhetens egne KI-retningslinjer for ansatte, slik at reglene og kompetansen henger sammen. Gjelder det verktøy som behandler personopplysninger, bør opplæringen også bygge på funnene i DPIA-en for KI-verktøyet.

Hvordan dokumenteres KI-kompetanse?

Intern dokumentasjon er tilstrekkelig. Det kreves verken sertifisering eller innrapportering til myndighetene. Kommisjonen peker på at virksomheten kan føre egne oversikter over opplæring og andre tiltak.

I praksis bør dokumentasjonen vise hvilke KI-systemer som brukes, hvem som bruker dem, hvilke tiltak som er gjennomført for hvilke grupper, og når programmet sist ble oppdatert. Det er denne oversikten tilsynet vil be om, og det er den som viser at virksomheten har oppfylt innsatsplikten.

Artikkel 4 er ikke blant bestemmelsene med egne bøtesatser i KI-forordningen art. 99. Medlemsstatene skal likevel fastsette sanksjoner for brudd på forordningen, og de nasjonale markedstilsynsmyndighetene håndhever kravet fra august 2026. Manglende opplæring kan i tillegg få betydning når ansvar for en KI-feil skal vurderes etter andre regler, for eksempel i en sak om erstatning eller personvern.

Gjelder kravet om KI-kompetanse i Norge?

Nei, ikke ennå. KI-forordningen er ikke innlemmet i EØS-avtalen, og den er ikke gjennomført i norsk lov. Regjeringen sendte utkast til KI-lov på høring i juni 2025, med forslag om at Nkom blir koordinerende tilsynsmyndighet. Etter endringene i EU i juli 2026 opplyste regjeringen 4. august 2026 at loven sendes på ny høring høsten 2026, med proposisjon til Stortinget våren 2027. Forhandlingene om EØS-tilpasninger pågår.

Det finnes to viktige forbehold. Norske leverandører som gjør KI-systemer tilgjengelige på EU-markedet, er omfattet allerede nå, jf. KI-forordningen art. 2 nr. 1. Det samme kan gjelde når resultatet fra et KI-system brukes i EU. Konsern med selskaper i EU må dessuten oppfylle kravet der.

Kravet har dessuten verdi uavhengig av forordningen. Norske regler som allerede gjelder, forutsetter at de som bruker teknologien, forstår den. Personvernforordningen krever egnede organisatoriske tiltak for å sikre personopplysninger, og en virksomhet som lar ansatte legge kundedata inn i et KI-verktøy uten opplæring, står svakt dersom noe går galt. Det samme gjelder taushetsplikt og vern av forretningshemmeligheter.

For de fleste norske virksomheter er spørsmålet derfor ikke om kravet kommer, men når. Et program som bygges nå, kan tilpasses den norske loven når den foreligger, og gir samtidig et dokumentert grunnlag for styrets tilsyn med KI-bruken. Les mer på pilarsiden om kunstig intelligens.

Hva bør virksomheten gjøre?

1. Kartlegg KI-bruken. Lag en oversikt over hvilke KI-systemer som brukes, av hvem og til hva, også verktøy de ansatte har tatt i bruk på egen hånd.
2. Avklar rollen. Finn ut om virksomheten bare er idriftsetter, eller om den også utvikler eller tilpasser systemer og dermed kan være leverandør.
3. Del inn etter rolle. Lag kortere grunnopplæring for alle og mer målrettede tiltak for ledere, HR, innkjøp og IT.
4. Knytt opplæringen til reglene. Sørg for at interne KI-retningslinjer og opplæringen sier det samme.
5. Ta med innleide. Regulér i konsulent- og vikaravtaler hvem som har ansvaret for opplæringen.
6. Dokumentér. Før en enkel oversikt over tiltak, deltakere og datoer, og oppdater den når nye verktøy tas i bruk.
7. Følg med på norsk lov. Høringen høsten 2026 kan gi norske særregler om tilsyn og sanksjoner.

Spørsmål og svar

Neste faglige kontroll: 1. desember 2026