EU AI Act, forordning (EU) 2024/1689, omtales ofte som om den var én fremtidig frist. Det er den ikke. Den gjelder i etapper, og to av dem er allerede her. For et europeisk SaaS-selskap er delene som betyr noe i dag, artikkel 4 om KI-kompetanse og artikkel 50 om åpenhet.
Begge er praktiske snarere enn tekniske. Begge trenger noen som eier dem, og begge er lette å overse, rett og slett fordi ingen har lagt merke til hvor mye KI som allerede er i bruk i selskapet.
En merknad før detaljene: Denne artikkelen forklarer hva reglene sier og hvordan selskaper vanligvis håndterer dem. Det er ikke juridisk rådgivning. Snakk med en advokat om beslutninger som gjelder ditt selskap spesielt.
Hva krever artikkel 4 og 50 i EU AI Act av et SaaS-selskap?
Artikkel 4, som har gjeldt siden 2. februar 2025, krever at selskaper iverksetter tiltak slik at de som bruker KI, har tilstrekkelig KI-kompetanse; intern dokumentasjon av opplæringen er nok. Artikkel 50, som har gjeldt siden august 2026, krever at KI som samhandler med mennesker, opplyser at den er KI med mindre det er åpenbart, og at deepfakes opplyses om.
Ingen av dem krever et sertifikat eller en ny avdeling. I praksis krever de bevissthet, dokumentasjon og ærlig merking.
Artikkel 4: KI-kompetanse i praksis
Artikkel 4 har gjeldt siden 2. februar 2025, og nasjonale myndigheter har ført tilsyn med AI Act siden august 2026. Den krever at selskaper iverksetter tiltak slik at de som jobber med KI på deres vegne, forstår den godt nok til å bruke den riktig: hva den er god til, hvor den svikter, og hvilke data som aldri skal inn i den.
To punkter blir ofte misforstått. For det første kreves det ikke noe sertifikat. Det finnes ikke noe offisielt kurs å kjøpe og ingen eksamen å bestå. For det andre er intern dokumentasjon nok: hvilken opplæring og veiledning som ble gitt, til hvem og når.
For et SaaS-selskap er ikke opplæringen det vanskelige. Det vanskelige er å vite hvor KI faktisk brukes. Microsoft og LinkedIn Work Trend Index 2024 fant at 75% av kunnskapsarbeidere bruker generativ KI på jobben, og at 78% av KI-brukerne tar med seg sine egne verktøy. I et typisk SaaS-selskap betyr det supportmedarbeidere som lager utkast til svar, selgere som skriver oppsøkende e-poster, utviklere som bruker kodeassistenter, og økonomifolk som limer inn tall i et chattevindu, ofte uten et godkjent verktøy og uten veiledning.
En gjennomførbar tilnærming har tre steg:
- Kartlegging. List opp KI-verktøyene som er i bruk, godkjente eller ikke, hvem som bruker dem, og hvilke selskaps- eller kundedata som går inn i dem.
- Veiledning per rolle. Kort, konkret veiledning for hvert team: hva verktøyene kan brukes til, hvilke data som må holdes utenfor, og hvordan resultatet skal kontrolleres. Et supportteam og et økonomiteam trenger ulike regler.
- Dokumentasjon. En datert oversikt over hvem som har fått hvilken veiledning eller opplæring, oppdatert når verktøy eller roller endres.
Dette er også god drift, lov eller ikke. Et selskap som vet hvor dataene dets går, er et selskap som kan svare ærlig på en kundes sikkerhetsspørreskjema.
Artikkel 50: å fortelle folk at de snakker med KI
Artikkel 50 har gjeldt siden august 2026. Kjernen er enkel: Et KI-system som samhandler med mennesker, må gjøre det tydelig at det er KI, med mindre det er åpenbart ut fra sammenhengen. Deepfakes, altså KI-genererte bilder, lyd eller video som kan oppfattes som ekte, må opplyses om.
For et SaaS-selskap er dette som regel stedene som må sjekkes:
- Assistenten i produktet. En hjelpefunksjon i appen som svarer brukerne, bør si at den er KI.
- Chat på nettstedet, i salg og i support. En chat som svarer kunder eller potensielle kunder, trenger en tydelig opplysning om at svarene kommer fra KI.
- Stemme og video. En KI-stemme i en samtale, eller en KI-generert programleder i en produktvideo eller en reklame, må opplyses om.
Opplysningen er mer en designoppgave enn en juridisk oppgave: en linje i chattevinduet, en merkelapp i grensesnittet, en setning i starten av en samtale. Den er billigst når den er en del av designet fra starten. Den samme tenkningen gjelder for interne agenter: NordOps AI Agent er bygget for europeiske regler, og hvert spørsmål og hver handling logges.
Hva som ikke gjelder ennå
Mye av oppmerksomheten rundt forordningen går til høyrisiko-KI, og for de fleste SaaS-selskaper ligger den delen fortsatt foran oss:
- 2. desember 2027: reglene for høyrisikoområdene som er oppført i vedlegg III, som KI brukt i rekruttering, begynner å gjelde.
- 2. august 2028: reglene for KI bygget inn i regulerte produkter begynner å gjelde.
Disse datoene følger endringen av forordningen fra 2026, som trådte i kraft 27. juli 2026. Et SaaS-selskap der produktet brukes i rekruttering, eller på et annet område i vedlegg III, bør bruke tiden til å forberede seg i stedet for å vente. For alle andre er prioriteten de to artiklene som allerede gjelder.
En praktisk sjekkliste for dette kvartalet
- Utpek én eier av KI i selskapet, med tid til å gjøre jobben.
- Gjennomfør en fullstendig kartlegging av KI i bruk, inkludert verktøyene folk har tatt med seg selv.
- Skriv kort veiledning for hvert team, og dokumenter hvem som har fått den.
- Sjekk alle steder der KI snakker med kunder, potensielle kunder eller offentligheten, og legg til en tydelig opplysning der den mangler.
- Gå gjennom markedsføringsinnhold for KI-genererte personer eller stemmer, og merk det.
- Hvis produktet ditt brukes i rekruttering eller på et annet område i vedlegg III, begynn å planlegge for desember 2027.
Ingenting av dette gjør en Chief AI Officer til et lovkrav; det er en rolle, ikke en forpliktelse. Men arbeidet trenger en eier, og i de fleste selskaper i vekst har det ingen ennå. Det er en del av det en fractional Chief AI Officer tar på seg, og vår AI Snapshot starter nettopp med denne kartleggingen og sjekken av KI-kompetanse og åpenhet.
Kilde: Forordning (EU) 2024/1689, artikkel 4, 50 og 113, slik den ble endret i 2026. Denne artikkelen informerer; den er ikke juridisk rådgivning.