EU AI Act artikkel 4: hva kravet om KI-kompetanse betyr for norske virksomheter

Kort svar: bruker virksomheten deres kunstig intelligens — inkludert ChatGPT, Copilot eller KI-funksjonene som allerede ligger i Microsoft 365 — plikter dere å sørge for at de ansatte som bruker verktøyene har tilstrekkelig kompetanse til å bruke dem forsvarlig. Kravet følger av artikkel 4 i EU AI Act (KI-forordningen), det gjelder uansett bransje og virksomhetsstørrelse, og fra 2. august 2026 har tilsynsmyndighetene formell myndighet til å håndheve det.

Det som skjer 2. august 2026

Artikkel 4 er ikke ny. Bestemmelsen har vært gjeldende i EU siden 2. februar 2025, sammen med forordningens innledende kapitler. Det som endrer seg 2. august 2026 er at nasjonale tilsynsmyndigheter får formelle håndhevingsfullmakter.

Forskjellen er praktisk betydelig. Fram til nå har kravet eksistert uten et apparat som kunne følge det opp. Fra august finnes apparatet.

Hva artikkel 4 krever

Bestemmelsen pålegger både leverandører og virksomheter som tar i bruk KI-systemer å sikre et tilstrekkelig nivå av KI-kompetanse hos ansatte og andre som håndterer systemene på deres vegne.

Den er kort, men vid. Den skiller ikke på risikonivå, ikke på sektor og ikke på virksomhetsstørrelse. Der resten av forordningen retter seg mot dem som utvikler eller bruker høyrisikosystemer, treffer artikkel 4 i praksis alle som bruker KI i arbeidet — også den lille kommunen med tolv ansatte.

Hvem det gjelder

Bruker noen i virksomheten et KI-verktøy i jobbsammenheng, er dere omfattet. Det inkluderer mye som ikke oppleves som «KI-systemer»:

• Ansatte som bruker ChatGPT, Claude, Copilot eller Gemini til tekst, oppsummering eller research
• KI-funksjoner innebygd i verktøy dere allerede betaler for — Microsoft 365, Google Workspace, Teams-referater, CRM-systemer
• Automatisert sortering, prioritering eller anbefaling i saksbehandling
• KI-baserte rekrutterings- eller screeningverktøy

Det siste punktet fortjener en egen advarsel: KI i rekruttering er klassifisert som høyrisiko under forordningen, og utløser vesentlig strengere krav enn kompetanse alene. Bruker dere slike verktøy, er artikkel 4 den minste av bekymringene deres.

Status i Norge

KI-forordningen er EØS-relevant, men foreløpig ikke formelt innlemmet i EØS-avtalen. Gjennomføring i norsk rett har vært ventet i løpet av 2026.

To forhold gjør at det å vente er en dårlig strategi. Norske virksomheter med aktivitet i EU er allerede direkte omfattet, uavhengig av norsk gjennomføring. Og Datatilsynet har anbefalt norske virksomheter å forberede seg nå framfor å vente på formell innlemmelse.

Kompetanse er ikke noe man skaffer seg på en ettermiddag når tilsynet ringer. Det er dokumentasjon som må bygges over tid.

Hva «tilstrekkelig kompetanse» betyr i praksis

Forordningen fastsetter ikke et bestemt nivå eller timetall, og det er tilsiktet. Kravet er kontekstuelt: kompetansen skal stå i forhold til hvilke systemer dere bruker, hvem som bruker dem, og hva konsekvensene av feilbruk kan bli.

I praksis bør de ansatte forstå fire ting:

• Hva verktøyet faktisk gjør. At en språkmodell genererer sannsynlige tekstmønstre — ikke verifiserte fakta.
• Hvor grensene går. Hva som aldri skal limes inn i et KI-verktøy: personopplysninger, taushetsbelagt informasjon, sensitive saksdetaljer.
• Hvordan feil oppstår. Hallusinasjoner, skjevheter i treningsdata, og hvorfor et svar kan være selvsikkert formulert og likevel galt.
• Når et menneske må inn. Hvilke vurderinger som aldri skal tas av KI alene.

En saksbehandler i en kommune som håndterer opplysninger om enkeltpersoner trenger et annet nivå enn en kommunikasjonsrådgiver som bruker KI til å skrive utkast. Det er nettopp derfor kravet er formulert kontekstuelt og ikke som et pensum.

Hva det koster å ikke gjøre noe

Artikkel 4 ligger på et mellomnivå i forordningens sanksjonsregime — ikke i toppsjiktet som er forbeholdt forbudte former for KI-bruk.

Men bøtenivået er sannsynligvis ikke den mest relevante risikoen for en norsk kommune eller mellomstor virksomhet. To andre forhold betyr mer i praksis:

1. Manglende kompetanse virker skjerpende. Dersom et KI-system forårsaker skade og det viser seg at de ansatte aldri fikk opplæring, vurderes hovedbruddet strengere.
2. Anskaffelser stiller krav. Offentlige oppdragsgivere har begynt å be om dokumentasjon på KI-kompetanse og interne retningslinjer i konkurransegrunnlag. Manglende dokumentasjon blir et forretningsproblem før det blir et tilsynsproblem.

Slik dokumenterer dere etterlevelse

Kravet handler om å faktisk sørge for kompetanse — ikke bare å ha tilbudt et kurs en gang. Fire ting bør kunne framvises:

1. Oversikt over KI-systemer i bruk. De fleste virksomheter undervurderer dette kraftig. Start med en kartlegging, og regn med å finne verktøy ingen har meldt inn.
2. En intern retningslinje for KI-bruk. Hva er tillatt, hva er ikke, hvem godkjenner nye verktøy.
3. Deltakerlogg fra gjennomført opplæring. Dato, innhold, hvem som deltok.
4. Rutine for nyansatte. Kravet gjelder fortløpende, ikke bare for dem som var til stede da kurset ble holdt.

Tre grep dere kan ta denne måneden

Har dere ikke begynt, gir denne rekkefølgen mest effekt raskest:

1. Kartlegg. Spør avdelingene hvilke KI-verktøy som faktisk er i bruk. Dette tar en uke og gir grunnlaget for alt annet.
2. Skriv en foreløpig kjøreregel. Én side. Den kan forbedres senere — poenget er at den finnes og er kommunisert.
3. Gi felles grunnopplæring. En halv dag som gir alle samme forståelse av hva verktøyene er og hvor grensene går.

Dette er ikke et compliance-prosjekt som må ta et halvt år. Det er et fundament som må på plass, og som deretter vedlikeholdes.

Ofte stilte spørsmål

En siste ting

Kompetansekravet leses ofte som en byrde. Vår erfaring er den motsatte: virksomheter som faktisk gjennomfører opplæringen får mer ut av verktøyene sine, ikke mindre. Folk som forstår hva en språkmodell er, bruker den både bedre og tryggere enn folk som gjetter.

Regelverket krever et minimum. Ingenting hindrer dere i å bruke anledningen til noe mer nyttig enn som så.