EUs AI Act for småbedrifter: hva som faktisk gjelder etter august 2026 — og hva som ble utsatt

Kort svar først. Driver du en liten bedrift i EU, er kravene i EUs AI Act som gjelder deg i 2026 smalere enn de fleste artikler antyder: transparensreglene i artikkel 50 — inkludert plikten til å fortelle folk at de snakker med en chatbot — begynte å gjelde 2. august 2026, mens de tunge høyrisikoforpliktelsene ble utsatt til 2. desember 2027 og 2. august 2028 gjennom Digital Omnibus (forordning (EU) 2026/1744). Forbudene mot visse AI-praksiser og plikten til AI-kompetanse har allerede gjeldt siden 2. februar 2025.

Hvorfor forvirringen? Fordi tidslinjen endret seg midt i året. AI Act (forordning (EU) 2024/1689) sa opprinnelig at hoveddelen av forordningen «får anvendelse fra 2. august 2026». Så, 24. juli 2026, publiserte EU Digital Omnibus om AI — forordning (EU) 2026/1744 — som trådte i kraft 27. juli 2026 og flyttet høyrisikofristene. En stor andel av guidene du finner i søk, ble skrevet før den datoen og hevder fortsatt at høyrisikoforpliktelsene startet i august 2026. Det gjorde de ikke. Denne artikkelen går gjennom hva som faktisk gjelder, med hver dato sjekket mot EUR-Lex og AI Act Explorer. Ett forbehold med en gang: vi er et implementeringsstudio, ikke et advokatfirma — alt som påvirker din rettslige posisjon, bør du få bekreftet av advokaten din.

AI Act-fristene i 2026: hva som gjelder nå, og hva som ble utsatt

• 2. februar 2025 — gjelder allerede: forbudte AI-praksiser (artikkel 5) og plikten til AI-kompetanse (artikkel 4), etter artikkel 113(a)
• 2. august 2025 — gjelder allerede: regler for tilbydere av generelle AI-modeller (GPAI), styring og sanksjonskapitlet (unntatt artikkel 101), etter artikkel 113(b)
• 2. august 2026 — gjelder nå: den generelle anvendelsesdatoen, inkludert transparens etter artikkel 50 (chatbot-opplysning, merking av AI-generert innhold); fra denne datoen har AI Office og nasjonale myndigheter ansvar for tilsyn og håndheving
• 2. desember 2026 — slutten på overgangsperioden for maskinlesbar merking av syntetisk innhold for systemer som allerede var på markedet før 2. august 2026; også oppgitt anvendelsesdato for de to nye forbudene Omnibus la til (intime bilder uten samtykke og CSAM)
• 2. desember 2027 — utsatt: høyrisikoforpliktelser for AI-systemer klassifisert etter artikkel 6(2) og vedlegg III (tidligere 2. august 2026)
• 2. august 2028 — utsatt: høyrisikoforpliktelser for AI-systemer klassifisert etter artikkel 6(1) og vedlegg I

Formuleringen av utsettelsen kommer rett fra forordning (EU) 2026/1744 på EUR-Lex: anvendelsesdatoen for kapittel III avsnitt 1, 2 og 3 «settes til 2. desember 2027 for AI-systemer klassifisert som høyrisiko etter artikkel 6(2) og vedlegg III, og til 2. august 2028 for AI-systemer klassifisert som høyrisiko etter artikkel 6(1) og vedlegg I». Dette er faste datoer. Det tidligere forslaget om å knytte fristene til modenheten i tekniske standarder — en betinget utløser — kom ikke med i den endelige teksten.

Deployer eller leverandør: det første spørsmålet for enhver liten bedrift under AI Act

Før du leser en eneste forpliktelse, finn ut hvilken rolle du har — AI Act fordeler plikter etter rolle, ikke etter bedriftsstørrelse. Begge er definert i artikkel 3.

«Leverandør (artikkel 3(3)): en fysisk eller juridisk person, offentlig myndighet, et byrå eller annet organ som utvikler et AI-system eller en generell AI-modell, eller får et slikt utviklet, og bringer det i omsetning eller tar AI-systemet i bruk under eget navn eller varemerke, mot betaling eller gratis.»

«Deployer (artikkel 3(4)): en fysisk eller juridisk person, offentlig myndighet, et byrå eller annet organ som bruker et AI-system under sin myndighet, unntatt når AI-systemet brukes i personlig, ikke-profesjonell aktivitet.»

De fleste små selskaper er deployere: dere bruker ChatGPT, et CRM med AI-scoring, en chatbot bygget på noen andres modell, et verktøy for fakturabehandling. En deployers plikter er vesentlig lettere enn en leverandørs. Grensen kan bli uklar — for eksempel hvis dere tar en modell og setter et system på markedet under eget merkenavn — og i slike grensetilfeller betyr klassifiseringen faktisk noe, så la advokaten deres bekrefte hvilken side av streken dere står på.

Gjelder siden februar 2025: forbudte praksiser og AI-kompetanse

To ting har gjeldt alle siden 2. februar 2025. For det første forbyr artikkel 5 visse AI-praksiser fullstendig: subliminale eller manipulerende teknikker; utnyttelse av sårbarheter knyttet til alder, funksjonsnedsettelse eller sosial og økonomisk situasjon; sosial scoring; prediksjon av kriminalitet utelukkende basert på profilering; vilkårlig skraping av ansiktsbilder fra internett eller overvåkningskameraer for å bygge gjenkjenningsdatabaser; følelsesgjenkjenning på arbeidsplasser og i utdanning (med snevre medisinske og sikkerhetsmessige unntak); biometrisk kategorisering etter beskyttede kjennetegn; samt biometrisk fjernidentifikasjon i sanntid på offentlige steder for rettshåndhevelse, med snevre unntak.

For et typisk selskap med 5–50 ansatte er den praktiske konklusjonen kort: hvis et verktøy dere bruker gjør følelsesgjenkjenning på ansatte eller scorer folk sosialt, er det ikke en compliance-oppgave — det er en slutt-å-bruke-det-oppgave. De fleste SMB-verktøy er ikke i nærheten av denne listen, men det vet dere først når dere har listet opp hva dere faktisk bruker.

For det andre krever artikkel 4 at både leverandører og deployere «treffer tiltak for å støtte utviklingen av AI-kompetanse» hos ansatte som jobber med AI-systemer, med hensyn til deres tekniske kunnskap og brukskonteksten. Forordningen foreskriver ikke noe bestemt opplæringsformat eller sertifiseringsnivå. Verdt å merke seg: Omnibus-endringen la til et avsnitt som forplikter Kommisjonen og medlemsstatene til å støtte etterlevelse «særlig for SMB-er, inkludert å publisere praktiske eksempler på etterlevelse» — følg med på offisielle maler.

Gjelder siden august 2025: GPAI-reglene — leverandørens hjemmelekse, dine spørsmål å stille

Siden 2. august 2025 har tilbydere av generelle AI-modeller sine egne forpliktelser etter artikkel 53: teknisk dokumentasjon for AI Office og nasjonale myndigheter (vedlegg XI); dokumentasjon for nedstrømsutviklere (vedlegg XII); en policy for å etterleve EUs opphavsrett, inkludert tekst- og datautvinnings-reservasjonen etter artikkel 4(3) i direktiv 2019/790; og et offentlig sammendrag av treningsdata basert på AI Offices mal. Frie og åpen kildekode-modeller med åpent tilgjengelige parametere er unntatt fra de to første pliktene — med mindre modellen utgjør systemisk risiko.

Ingenting av dette er din forpliktelse som liten deployer — men det er din due diligence-sjekkliste når du velger leverandør. Før du signerer med en AI-verktøyleverandør, spør: kan dere vise nedstrømsdokumentasjonen etter vedlegg XII? Publiserer dere et sammendrag av treningsdata? Hva er opphavsrettspolicyen deres? En leverandør som ikke kan svare i 2026, er en leverandør som tar risikoer du arver operasjonelt, om ikke juridisk.

Nytt siden 2. august 2026: transparens etter artikkel 50 — kravet om chatbot-opplysning

Dette er den delen av AI Act som berører flest vanlige nettsteder, og den gjelder nå. Artikkel 50(1) krever at leverandører sørger for at folk vet at de samhandler med et AI-system, «med mindre dette er åpenbart fra synspunktet til en rimelig velinformert person». Informasjonen skal gis «senest ved første interaksjon eller eksponering». EU-kommisjonen sier det rett ut: når AI-systemer som chatboter brukes, skal folk gjøres oppmerksomme på at de samhandler med en maskin.

Artikkel 50(2) dekker syntetisk innhold: tilbydere av systemer som genererer syntetisk lyd, bilder, video eller tekst, må sørge for at utdataene er «merket i et maskinlesbart format og mulige å oppdage som kunstig generert eller manipulert», med løsninger som er «effektive, interoperable, robuste og pålitelige så langt det er teknisk mulig». Assisterende redigeringsfunksjoner som ikke vesentlig endrer inndataene, er unntatt. Én overgangsnyanse fra Omnibus: fortalepunkt 38 i forordning 2026/1744 gir en fire måneders overgangsperiode for tilbydere hvis systemer allerede var på markedet før 2. august 2026 — den løper til 2. desember 2026. Nye systemer må etterleve umiddelbart.

Artikkel 50(3)–(4) retter seg direkte mot deployere: deepfakes — innhold som er «kunstig generert eller manipulert» — må opplyses om, med lettere behandling for kunstneriske og satiriske verk; AI-generert tekst publisert om saker av allmenn interesse er unntatt fra opplysningsplikten når et menneske bærer det redaksjonelle ansvaret; og bruker dere følelsesgjenkjenning eller biometrisk kategorisering, må dere informere de berørte og etterleve GDPR.

I praksis betyr dette tre ting for en liten bedrift: chatboten på nettstedet deres trenger en tydelig «du chatter med en AI-assistent»-opplysning ved første kontakt; publiserer dere AI-genererte bilder eller video av virkelige personer, merk dem; og kjøper dere en chatbot eller et innholdsverktøy, er den maskinlesbare merkingen leverandørens jobb — men å sjekke at den gjøres, er deres.

Digital Omnibus (forordning 2026/1744): hva som ble utsatt — og hva utsettelsen ikke betyr

Digital Omnibus om AI — formelt forordning (EU) 2026/1744 av 8. juli 2026, som endrer forordningene (EU) 2024/1689, (EU) 2018/1139 og (EU) 2023/1230, publisert i EUs offisielle tidende 24. juli 2026 og i kraft fra 27. juli 2026 — gjorde to hovedting. Den flyttet høyrisikodatoene: vedlegg III-systemer (artikkel 6(2)-listen — tenk rekrutteringsscreening, kredittscoring, grunnleggende tjenester) til 2. desember 2027, og vedlegg I-systemer (artikkel 6(1), AI innebygd i regulerte produkter) til 2. august 2028. Og den la til to nye forbud i artikkel 5(1): å generere eller manipulere realistiske intime bilder av en identifiserbar person uten vedkommendes «frivillig avgitte, spesifikke, informerte, utvetydige og uttrykkelige samtykke» (bokstav ba), og materiale som viser seksuelle overgrep mot barn som definert i direktiv 2011/93/EU (bokstav bb) — begge med overgangsperiode til 2. desember 2026.

Hva utsettelsen ikke betyr: det er ingen reversering. Forbudene gjelder. AI-kompetansen gjelder. Transparens etter artikkel 50 gjelder. Fra 2. august 2026 har AI Office og medlemsstatenes myndigheter fulle tilsyns- og håndhevingsfullmakter — AI Office kan be om teknisk dokumentasjon, evaluere modeller, kreve korrigerende tiltak og ilegge bøter. Utsettelsen kjøper tid bare for høyrisikokapitlene, og den fornuftige måten å bruke tiden på er å vite, innen slutten av 2027, om noe dere kjører faller under vedlegg III. Gjør det det, sier artikkel 26 allerede hva som kommer: kompetent menneskelig tilsyn, bruk etter leverandørens instruksjoner, relevante inndata, hendelsesovervåking og -rapportering, lagring av logger i minst seks måneder og informasjon til berørte arbeidstakere.

Om bøter — én rolig faktanotis. Artikkel 99 setter maksimumene: inntil €35 millioner eller 7 % av global omsetning for forbudte praksiser, inntil €15 millioner eller 3 % for de fleste andre forpliktelser inkludert artikkel 50, inntil €7,5 millioner eller 1 % for å gi uriktig informasjon — og sanksjonskapitlet har gjeldt siden 2. august 2025. Detaljen småbedrifter sjelden hører: artikkel 99(6) begrenser bøter for SMB-er og oppstartsselskaper til det laveste av de to beløpene. Poenget med etterlevelse her er ikke frykt; det er at transparenspliktene er billige å oppfylle og dyre å ignorere.

Hva av dette som IKKE handler om dere: et ærlig filter

En så stor forordning inviterer til overetterlevelse, og overetterlevelse er bortkastede penger. Så, ærlig talt:

• Høyrisikokapitlene (kapittel III avsnitt 1–3, artikkel 26-pliktene) gjelder ingen ennå — vedlegg III fra 2. desember 2027, vedlegg I fra 2. august 2028. Hvis en konsulent selger dere hastende høyrisikoarbeid i 2026, be dem sitere datoene etter Omnibus.
• GPAI-leverandørforpliktelsene (artikkel 53) tilhører selskapene som bygger grunnmodeller — ikke dere for bare å bruke verktøyene deres.
• Maskinlesbar merking av syntetisk innhold etter artikkel 50(2) er en leverandørforpliktelse. Deres jobb som deployer er opplysning om deepfakes og AI-tekst i publisering av allmenn interesse, etter artikkel 50(3)–(4).
• Bruker dere ingen chatbot, genererer ikke syntetisk innhold og kjører ingen AI i beslutninger om mennesker, reduseres deres nåværende forpliktelser til to: ikke bruk verktøy som faller under artikkel 5-forbudene, og støtt AI-kompetanse hos ansatte som jobber med AI.
• Ingenting i forordningen krever at dere slutter å bruke AI, registrerer ChatGPT-kontoen deres eller ansetter en compliance-ansvarlig. Det finnes ikke noe SMB-unntak fra reglene som gjelder — men det finnes lettelser: bøtetaket i artikkel 99(6) og Kommisjonens forpliktelse til å publisere praktiske eksempler for SMB-er.

En praktisk sjekkliste: hva en liten bedrift kan gjøre på én uke

• Dag 1–2. AI-inventar. List opp hvert AI-verktøy i bruk — chatboter, innholdsgeneratorer, CRM-scoring, transkripsjon, automatiseringer — og noter hvilken forretningsprosess hvert av dem berører. Dette er fundamentet for alt annet.
• Dag 2–3. Tildel roller. Marker for hvert verktøy om dere er deployer (bruker noen andres system) eller muligens leverandør (tilbyr det under eget merkenavn). Flagg grensetilfeller for en advokat.
• Dag 3. Screen mot artikkel 5. Sjekk inventaret mot listen over forbudte praksiser — følelsesgjenkjenning på ansatte, sosial scoring, biometrisk kategorisering. Alt som matcher, slås av — ikke dokumenteres.
• Dag 3–4. Fiks chatbot-opplysningen. Sørg for at hver chatbot på nettstedet forteller brukerne at den er en AI ved første interaksjon, og merk publisert deepfake-lignende AI-innhold. Dette er artikkel 50-plikten som gjelder akkurat nå.
• Dag 4–5. Spør leverandørene deres. Send AI-verktøyleverandørene artikkel 53-spørsmålene: nedstrømsdokumentasjon, sammendrag av treningsdata, opphavsrettspolicy, maskinlesbar merking av utdata — og noter svarene.
• Dag 5. Kontraktsjekk. Noter hvilke leverandørkontrakter som ikke sier noe om AI-forpliktelser, og sett AI-klausuler på fornyelsesagendaen — med advokaten deres, ikke fra en bloggmal.
• Dag 5–7. AI-kompetanseøkt. Hold en kort intern briefing: hvilke verktøy dere bruker, hva de kan og ikke kan brukes til, hvordan artikkel 50-opplysningen ser ut i kanalene deres. Dokumenter at den fant sted.
• Løpende. Legg to datoer i kalenderen: 2. desember 2026 (merkeovergangen slutter; nye forbud gjelder) og 2. desember 2027 (vedlegg III-høyrisikoforpliktelsene begynner) — og gå gjennom inventaret før hver av dem.

Hva dette betyr for chatboten og automatiseringene deres

Bygger dere en ny chatbot nå, bygg inn opplysningen fra dag én — en identifisering i første melding, en synlig AI-etikett og en logg over hva boten sier — i stedet for å ettermontere den senere. Berører AI-prosessene deres sensitive data, er dette også et fornuftig tidspunkt å vurdere en on-premise LLM, der modellen kjører på deres infrastruktur og spørsmålene om datakontroll blir enklere. Og siden reglene fortsatt beveger seg — Omnibus beviste det — bør noen eie jobben med å holde oppsettet deres oppdatert.

Dette er den typen arbeid vi gjør hos Norvalda: en automatiseringsrevisjon til €1 490 dekker AI-inventaret og rollekartleggingen på fem dager; en nettstedschatbot bygget med opplysningsmønsteret fra start koster €2 000–5 000 over 14–21 dager; bredere AI-automatiseringsprosjekter €3 000–8 000; lokale AI-oppsett fra en revisjon til €1 200 til implementering for €3 900 med drift for €390/måned; og en AI-ops-avtale på €1 290/måned holder de bevegelige delene vedlikeholdt når regler og modeller endrer seg. Vi er implementører, ikke advokater: der AI Act krever juridisk tolkning for deres konkrete tilfelle, sier vi det og peker dere mot juridisk rådgivning.

FAQ: AI Act-kravene til småbedrifter, kort fortalt

Gjelder EUs AI Act for småbedrifter?

Ja. Det finnes ikke noe SMB-unntak fra forbudene (artikkel 5), AI-kompetansen (artikkel 4) eller transparensen (artikkel 50). Det finnes lettelser: artikkel 99(6) begrenser SMB-bøter til det laveste av de to mulige beløpene, og den endrede artikkel 4 forplikter Kommisjonen og medlemsstatene til å støtte SMB-etterlevelse, inkludert å publisere praktiske eksempler.

Hva gjelder fra 2. august 2026?

Den generelle anvendelsesdatoen kom: transparenspliktene i artikkel 50 (chatbot-opplysning, merking og opplysning av AI-generert innhold) samt fulle tilsyns- og håndhevingsfullmakter for AI Office og nasjonale myndigheter. Høyrisikoforpliktelsene startet ikke denne datoen — de ble utsatt.

Hva nøyaktig ble utsatt til desember 2027?

Forpliktelser for høyrisiko-AI-systemer etter artikkel 6(2) og vedlegg III — kategorier som rekruttering og kredittbeslutninger — gjelder nå fra 2. desember 2027. Høyrisikosystemer etter artikkel 6(1) og vedlegg I følger 2. august 2028. Begge datoene er fastsatt i forordning (EU) 2026/1744, uten vilkår.

Må en nettstedschatbot si at den er en AI?

Ja, siden 2. august 2026. Artikkel 50(1) krever at folk vet at de samhandler med et AI-system, senest ved første interaksjon — med mindre det er åpenbart for en rimelig velinformert person. I praksis: en tydelig opplysning i starten av samtalen.

Må AI-generert innhold merkes, og fra når?

Tilbydere av generative systemer må merke utdata i maskinlesbart format fra 2. august 2026; systemer som allerede var på markedet før den datoen, har en overgangsperiode til 2. desember 2026 etter Omnibus. Deployere må opplyse om deepfakes; AI-skrevet tekst om saker av allmenn interesse er unntatt når et menneske bærer det redaksjonelle ansvaret.

Hva er en deployer, og hvordan skiller den seg fra en leverandør?

En leverandør utvikler et AI-system eller en modell og bringer det på markedet under eget navn (artikkel 3(3)). En deployer bruker et AI-system under sin myndighet i en profesjonell sammenheng (artikkel 3(4)). De fleste småbedrifter er deployere, med vesentlig lettere plikter. Grensetilfeller — som white-labeling av noen andres system — er verdt en advokats vurdering.

Den ærlige oppsummeringen: for de fleste små selskaper er AI Act høsten 2026 en ukes opprydding — et inventar, en chatbot-opplysning, et leverandørskjema, en ansattbriefing — pluss to kalenderoppføringer for 2027. Vil dere ha et ekstra par øyne på inventaret, er det det vi er her for. Gjør uansett oppryddingsuken: det er den billigste etterlevelsen dere noen gang kjøper.

Kilder

• Forordning (EU) 2026/1744 (Digital Omnibus om AI), EUR-Lex: eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
• AI Act, artikkel 113 — anvendelsens start: artificialintelligenceact.eu/article/113/
• AI Act, artikkel 50 — transparensplikter: artificialintelligenceact.eu/article/50/
• AI Act, artikkel 5 — forbudte praksiser: artificialintelligenceact.eu/article/5/
• AI Act, artikkel 4 — AI-kompetanse: artificialintelligenceact.eu/article/4/
• AI Act, artikkel 3 — definisjoner (leverandør, deployer): artificialintelligenceact.eu/article/3/
• AI Act, artikkel 53 — GPAI-leverandørers forpliktelser: artificialintelligenceact.eu/article/53/
• AI Act, artikkel 26 — deployeres forpliktelser for høyrisikosystemer: artificialintelligenceact.eu/article/26/
• AI Act, artikkel 99 — sanksjoner: artificialintelligenceact.eu/article/99/
• Europakommisjonen — regelverket for AI: digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• Gibson Dunn — analyse av Omnibus-enigheten: gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/