Strenge AI-krav trådte i kraft globalt i august – selskaper risikerer milliardbøter

Global AI-regulering har skiftet gir fra frivillige retningslinjer til konkrete lovkrav i august 2026, med EU AI Act som spydspiss. Dette har skapt et komplekst landskap av plikter for selskaper som opererer internasjonalt, inkludert norske aktører som må forholde seg til alt fra datavern til algoritmisk ansvarlighet. I kjernen av endringene ligger EUs nye krav til generelle AI-modeller (GPAI), som trådte i kraft 2. august. Leverandører av disse modellene, som store språkmodeller, må nå dokumentere arkitektur, treningsdata og energiforbruk, samt publisere sammendrag av dataene og overholde EUs opphavsrettlovgivning – spesielt artikkel 53 som krever innsyn i brukte data og opt-out-mekanismer for rettighetshavere. Modeller med systemisk risiko, definert av en beregningsterskel på over 10^25 FLOPs, møter enda strengere krav, inkludert obligatorisk «red-teaming», altså sårbarhetstesting utført av et uavhengig team, og sikring av modellvekter. Utover EU pågår det en intens debatt i USA om føderal overstyring av delstatslover, hvor for eksempel California krever dokumenterte sikkerhetsprotokoller fra selskaper som bruker over 100 millioner dollar på modelltrening. Samtidig ruller 13 andre land ut egne, strenge rammeverk. Kina krever nå sanntids vannmerking for offentlige AI-tjenester, mens Brasil har innført strengt sivilrettslig ansvar for utviklere av høyrisiko AI-systemer, slik som de som tar automatiserte beslutninger. For norske virksomheter betyr dette at et produkt som er lovlig i ett marked, kan være ulovlig i et annet, og krever en grundig juridisk og teknisk gjennomgang av hvordan AI brukes og utvikles. Manglende etterlevelse kan få alvorlige følger. Under EU AI Act kan brudd på GPAI-forpliktelsene medføre bøter på opptil 15 millioner euro, eller 3 prosent av selskapets globale årsomsetning. Dette understreker behovet for at selskaper nå må implementere detaljerte tekniske revisjoner for å bevise samsvar, ikke bare gjennom skriftlige retningslinjer, men med verifiserbare data og tester av modellens adferd, sikkerhet og dataopprinnelse.