KI-kontoret og nasjonale myndigheter håndhever nå forordningen, i den versjonen som ble forenklet av omnibusen som trådte i kraft i slutten av juli. For europeiske programvarehus er temaet ikke lenger samsvar med teksten, men samspillet mellom fire regelverk.
Siden 2. august 2026 er ikke lenger AI Act en fremtidsutsikt: Det europeiske KI-kontoret og de kompetente nasjonale myndighetene har begynt å håndheve forordningen, med forpliktelsene som hviler på høyrisikosystemer i siktet. Teksten som håndheves, er likevel ikke helt den som ble vedtatt i 2024: «KI-omnibus»-forordningen, foreslått i november 2025 som del av pakken for digital forenkling, ble vedtatt i juni 2026 og trådte i kraft 27. juli — fem dager før fristen. Presiseringer av virkeområdet, lettelser i dokumentasjonen, tilpassede frister for enkelte kategorier: Kommisjonen har vist en vilje til en lesbar gjennomføring som fremmer innovasjon, ledsaget av en rekke retningslinjer.
Konkret struktureres perioden av tre blokker med forpliktelser. Først de forbudte praksisene, som har vært gjeldende lenge. Deretter forpliktelsene for leverandører av modeller til generell bruk: teknisk dokumentasjon, retningslinjer for opphavsrett, sammendrag av treningsdataene — med et skjerpet regime for modeller som utgjør en systemrisiko. Og til slutt høyrisikosystemene, hvis fullstendige regime (risikostyring, datastyring, menneskelig tilsyn, robusthet, registrering) går inn i sin fase av faktisk håndhevelse. For et B2B-programvarehus er det praktiske spørsmålet nesten alltid det samme: gjør KI-komponenten min produktet mitt «høyrisiko» i henhold til vedlegg III — og hvis ikke, hvilke åpenhetsforpliktelser gjenstår for meg?
Sett hver for seg er hvert regelverk håndterbart. Problemet for europeiske programvarehus er lagdelingen. Ett og samme programvareprodukt kan omfattes av NIS2 (fordi kunden er en vesentlig enhet), av Cyber Resilience Act (fordi det er et produkt med digitale elementer, med krav til innebygd sikkerhet og sårbarhetshåndtering), av GDPR (fordi det behandler personopplysninger) og av AI Act (fordi det inneholder en læringskomponent). Fire dokumentasjonslogikker, tre regimer for hendelsesvarsling, forskjellige myndigheter. Den eneste holdbare strategien er den samlede samsvarsfabrikken: ett felles fundament for risikostyring, SBOM, logging og sårbarhetshåndtering, som deretter tilpasses hvert enkelt regelverk — heller enn fire parallelle prosjekter som ville utmatte et hvilket som helst team.
Det finnes likevel en offensiv lesning. Kundene — regulerte operatører, offentlig sektor, industriaktører — vil velte sine egne forpliktelser over på leverandørene sine, gjennom kontrakt. Programvarehuset som er i stand til å levere AI Act-dokumentasjonen, SBOM-en som CRA krever, GDPR-garantiene og NIS2-forpliktelsene i anbudsdokumentet, vil gjøre en regulatorisk kostnad om til et konkurransefortrinn overfor de ikke-europeiske aktørene som oppdager disse kravene i spørsmålene fra innkjøperne. Europeisk samsvar, dersom det industrialiseres tidlig, er en inngangsbarriere som beskytter dem som har passert den.
AI Act går inn i rettspraksisens tid: de kommende månedene vil vise om håndhevelsen er så pragmatisk som lovet. Men å vente med å komme i gang ville være en misforståelse — fordelen vil tilfalle dem som har gjort det regulatoriske lagverket om til prosess, mens konkurrentene deres opplever det som et snøskred.
Sky & samsvar · 6 min
Østerriksk avgjørelse om Microsoft 365, Polytechnique-saken, forlenget rammeavtale: sky-doktrinen beveger seg i sikksakk. IT-direktørene, derimot, tar valgene nå.
Europeisk politikk · 6 min
Halvledere, sky, KI, åpen kildekode: Brussel flytter tyngdepunktet fra regulering til kapasiteter. Gjenstår å se hvem som kjøper.
Strategi · 6 min
Ingen europeisk aktør forlater AWS, Azure eller Google Cloud på kort sikt. Fem grep for å gjøre en påtvunget avhengighet om til en styrt avhengighet.
Book et møte: vi gjør gjerne en artikkel om til et svar på akkurat ditt case, med dine krav til hosting og samsvar.