EUs nye AI-lov tvinger globale selskaper til å endre praksis

Europas banebrytende AI-lov, som trådte i kraft i august 2024, har global rekkevidde og påvirker selskaper verden over. Loven krever at bedrifter som tilbyr AI-systemer eller bruker AI-verktøy der resultatet brukes i EU, må overholde europeiske standarder for transparens og risikostyring. Allerede i februar 2025 ble forbud mot AI-systemer med uakseptabel risiko gjeldende, og krav til AI-kompetanse for ansatte ble innført. Regler for generelle AI-modeller (GPAI) kom i august 2025, mens de fleste pliktene for frittstående høy- og lavrisiko AI-systemer vil gjelde fra 2027–2028. Dette betyr at mange norske virksomheter som handler med eller opererer i EU må vurdere hvilken risikokategori deres AI-verktøy faller inn under, og deretter tilpasse seg. I tillegg til AI-loven utvides personvern- og cybersikkerhetsreglene. Data Act, som har vært gjeldende siden september 2025, pålegger produsenter av smarte produkter og skytjenester nye krav til datatilgang og -deling. Cybersikkerhetsloven (CRA), i kraft fra desember 2024, stiller bindende sikkerhetskrav til all maskinvare og programvare som selges i EU, med rapporteringsplikter fra september 2026. Brudd kan medføre bøter på opptil 15 millioner euro eller 2,5 prosent av den globale årsomsetningen. For mange bedrifter krever dette betydelige investeringer i både teknisk tilpasning og kontraktsendringer, spesielt for de med tilknytning til helse, energi og skybaserte tjenester.