KI-forordningen: hvem fører tilsyn med hva, og hvorfor de «første bøtene» som sirkulerer ikke finnes

Delingen, det første man må vite

Ingen fører tilsyn med alt, og derfor har spørsmålet «hvem kontrollerer meg» ikke ett svar. Kommisjonens KI-kontor tar seg direkte av modeller til allmenne formål, med myndighet til å kreve teknisk dokumentasjon, gjennomføre evalueringer, kreve korrigerende tiltak og ilegge gebyrer. Nasjonale kompetente myndigheter følger øvrige systemer på eget territorium. EDPS fører tilsyn med EU-institusjonene selv.

• Kunden utvikler eller gjør tilgjengelig en modell til allmenne formål: svarer til KI-kontoret
• Kunden bruker et KI-system i virksomheten: svarer til den nasjonale myndigheten som er utpekt i staten
• Kunden er en institusjon eller et organ i unionen: svarer til EDPS
• Kunden er behandlingsansvarlig og behandler personopplysninger med systemet: svarer også til personverntilsynet — et parallelt, ikke alternativt spor

Hva som ble obligatorisk 2. august

Åpenhetspliktene i artikkel 50 berører flest virksomheter, fordi de ikke gjelder dem som bygger modellene, men dem som bruker dem til å snakke med publikum. Systemene må si til brukeren at han samhandler med en maskin, og når innhold er generert eller endret av KI.

• Chatboter må oppgi at de er automatiserte systemer
• Deepfakes må merkes
• Maskingenerert eller redigert innhold må bære maskinlesbar merking, slik at det kan oppdages
• Gebyrene for disse bruddene når 15 millioner euro eller 3 % av samlet global årsomsetning, om det er høyere

For tilbydere av modeller til allmenne formål gjelder noe annet: dokumentere bestemte opplysninger og gjøre dem tilgjengelige for kompetente myndigheter og nedstrøms tilbydere, innføre en opphavsrettspolicy og publisere et tilstrekkelig detaljert sammendrag av innholdet brukt til trening. Tilbydere av de mest avanserte modellene må i tillegg håndtere risiko for skade i stor skala: kjemiske, biologiske, radiologiske og nukleære hendelser, tap av kontroll, cyberangrep, skadelig manipulasjon, trusler mot grunnleggende rettigheter.

Atferdsnormen om åpenhet

Sammen med håndhevingsstarten publiserte Kommisjonen en første liste over mer enn hundre og åtti organisasjoner som har undertegnet atferdsnormen om åpenhet for KI-generert innhold. Normen er frivillig, men pliktene under den er lov uansett: undertegning dokumenterer hvordan de oppfylles, den erstatter dem ikke.

Hva som ennå ikke er kommet

• Kravene til høyrisikosystemer er flyttet til 2. desember 2027
• De for høyrisikosystemer innebygd i allerede regulerte produkter til 2. august 2028
• Fra 2. desember 2026 forbys systemer som genererer seksuelt eksplisitt innhold uten samtykke eller materiale om seksuelt misbruk av barn

Verdt å huske at Kommisjonen allerede hadde brukt andre virkemidler før denne datoen: i januar 2026 åpnet den formell undersøkelse av X om verktøyet Grok etter forordningen om digitale tjenester.