Hvordan har EUs digitale omnibus om AI endret AI-loven?

By Christie Rae • 22. september 2026 • 8 minutters lesetid

Europakommisjonen publiserte den digitale omnibuspakken sent i 2025, med forslag som var utformet for å forenkle og harmonisere deler av EUs digitale lovgivningsrammeverk, og foreslått endringer i GDPR , NIS 2 og mer.

Mens den bredere digitale omnibusen fortsatt er under forhandling, ble den separate digitale omnibusen om AI (AI Omnibus) fremskyndet fordi den foreslo endrede frister for forpliktelser knyttet til høyrisiko-AI-systemer i henhold til EUs AI-lov. Disse foreslåtte endringene måtte tre i kraft før de første høyrisiko-AI-forpliktelsene i henhold til EUs AI-lov skulle gjelde 2. august 2026.

7. mai 2026 inngikk forhandlerne i Europaparlamentet og Rådet en foreløpig avtale om AI-omnibusen, som utsatte samsvarsfristene for høyrisiko-AI-systemer til 2027 og 2028. Den endelige forordningen trådte i kraft 27. juli 2026.

Så, hva har endret seg? I denne bloggen skal vi utforske noen av de viktigste endringene AI Omnibus gjør i EUs AI-lov, og hva de betyr for organisasjoner.

Reviderte samsvarsfrister for høyrisiko-KI-systemer

Under AI Omnibus har leverandører og distributører av høyrisiko-AI-systemer en utvidet tidsfrist for å sikre samsvar.

Fra 2. desember 2027 må KI-systemer klassifisert som høyrisiko i henhold til artikkel 6(2) og vedlegg III , i den grad bruken av dem er tillatt i henhold til relevant EU-lov eller nasjonal lovgivning, kunne vise samsvar.

Dette dekker AI-systemer som brukes innen områder som:

Biometri

Kritisk infrastruktur

Utdanning og yrkesopplæring

Sysselsetting, arbeidstakeradministrasjon og tilgang til selvstendig næringsvirksomhet

Tilgang til og bruk av viktige private tjenester og viktige offentlige tjenester og ytelser

Rettshåndhevelse

Migrasjons-, asyl- og grensekontrollhåndtering

Rettsadministrasjon og demokratiske prosesser.

Det at et system er oppført i vedlegg III betyr ikke automatisk at alle KI-systemer som brukes i et av disse områdene vil kvalifisere som høyrisiko. Klassifiseringsreglene og unntakene i artikkel 6 må også vurderes.

Og fra 2. august 2028 vil høyrisikoforpliktelser gjelde for AI-systemer i henhold til artikkel 6(1) og vedlegg I. Dette inkluderer høyrisiko-AI-systemer som brukes som sikkerhetskomponenter i visse regulerte produkter, eller som i seg selv er slike produkter, der det aktuelle produktet er underlagt et krav om samsvarsvurdering fra en tredjepart. Dette inkluderer:

Leker

Heiser

Medisinsk utstyr

Kjøretøy.

AI Omnibus snevrer også inn definisjonen av hva som kvalifiserer som sikkerhetskomponenter. Produkter med AI-funksjoner som bare hjelper brukere eller optimaliserer ytelse, vil ikke automatisk være underlagt høyrisikoforpliktelser. Fokuset er i stedet på om feil eller funksjonsfeil skaper sikkerhets- eller helserisikoer.

Et utvidet rettslig grunnlag for behandling av spesielle kategorier av personopplysninger

AI Omnibus utvider det juridiske grunnlaget for behandling av sensitive data med deteksjon og begrensning av skjevheter til å omfatte distributører av høyrisiko-AI-systemer og leverandører og distributører av andre AI-systemer og -modeller. Tidligere gjaldt dette juridiske grunnlaget bare leverandører av høyrisiko-AI.

Dette er ikke en generell tillatelse til å behandle sensitiv informasjon. Behandlingen må oppfylle vilkårene i KI-loven og, avhengig av omstendighetene, være nødvendig. Organisasjoner må også implementere sikkerhetstiltak, inkludert tilgangskontroller, sikkerhets- og personverntiltak og restriksjoner på gjenbruk og passende sletting av data.

Begrenset nådeperiode for merking av AI-generert innhold

AI Omnibus har generelt ikke utsatt AI-lovens krav til åpenhet om AI-generert innhold.

Gjennomsiktighetsforpliktelsene i artikkel 50 gjelder generelt fra 2. august 2026. Dette inkluderer kravet om at leverandører av visse AI-systemer som genererer syntetisk lyd-, bilde-, video- eller tekstinnhold, skal sørge for at utdataene er merket i et maskinlesbart format og kan oppdages som kunstig generert eller manipulert.

AI Omnibus innfører imidlertid en begrenset overgangsperiode for systemer som allerede er på markedet. Leverandører av relevante systemer som bringer systemer på markedet før 2. august 2026 har frist til 2. desember 2026 med å overholde forpliktelsene til maskinlesbar merking i artikkel 50(2).

For organisasjoner er den viktige forskjellen at 2. desember 2026 er en begrenset nådeperiode for visse eksisterende systemer, ikke den generelle startdatoen for åpenhetskravene i KI-loven.

FRIA-er kan utnytte DPIA-er

I henhold til AI Omnibus kan konsekvensanalyser av grunnleggende rettigheter (FRIA-er) nå inkludere kryssreferanser til eller relevante deler av en konsekvensanalyse av personvern (DPIA) utført i henhold til personvernforordningen eller rettshåndhevelsesdirektivet.

De to vurderingene forblir separate, men organisasjoner som allerede gjennomfører DPIA-er, kan kanskje gjenbruke relevant analyse i stedet for å unødvendig duplisere den.

Forbud mot skadelige AI-systemer

Omnibus-forbudet innfører et forbud mot AI-systemer som genererer intimt materiale eller materiale med seksuelle overgrep mot barn uten samtykke fra 2. desember 2026.

Forbudet gjelder å bringe AI-systemer på markedet i EU med det formål å lage eller manipulere dette materialet. Det kan også gjelde der dette er et rimelig forutsigbart og reproduserbart resultat av systemet, og systemet ikke har rimelige og tilstrekkelige tekniske sikkerhetstiltak for å forhindre slik bruk.

For distributører gjelder forbudet der de bruker et AI-system med det formål å generere eller manipulere det forbudte materialet.

SMB-fleksibilitet utvidet til små mellomstore selskaper

AI Omnibus introduserer en ny kategori av små mellomstore bedrifter (SMC-er) og utvider flere regulatoriske fleksibiliteter som tidligere var tilgjengelige for SMB-er til disse virksomhetene.

Disse inkluderer:

Muligheten til å bruke forenklet teknisk dokumentasjon for AI-systemer med høy risiko

Proporsjonal implementering av visse krav til kvalitetsstyringssystemer

Redusert maksimalt bøtenivå, med relevante bøter for SMC-er begrenset til det laveste av gjeldende prosentsats eller fast pengebeløp

Disse endringene betyr ikke at alle SMB-unntak automatisk gjelder for SMC-er. Snarere utvider AI Omnibus spesifikke forenklings- og proporsjonalitetstiltak til denne nye virksomhetskategorien.

andre hensyn

Endringer for regulatorer: AI Omnibus utvider og tydeliggjør EUs AI-kontors eksklusive tilsyns- og håndhevingsrolle. Den har eksklusiv kompetanse for visse AI-systemer som er bygget på generelle AI-modeller der modellen og systemet er utviklet av samme leverandør eller innenfor samme foretak, med forbehold om spesifiserte unntak.

Den eksklusive kompetansen dekker også KI-systemer som utgjør eller er integrert i svært store nettplattformer eller søkemotorer som er regulert under Digital Services Act (DSA). Dette er snevrere enn å gjelde for KI-systemer som faller inn under DSA-ens virkeområde.

KI-kompetanse: AI Omnibus reviderer også kravet til KI-kompetanse i KI-loven. Leverandører og distributører må iverksette tiltak for å støtte utviklingen av KI-kompetanse blant ansatte og andre som driver eller bruker KI-systemer på deres vegne. Den reviderte bestemmelsen gjør det klart at organisasjoner ikke trenger å garantere et bestemt nivå av KI-kompetanse for hver enkelt person.

Utvidet frist for regulatoriske sandkasser: Fristen for medlemslandene til å sikre at deres kompetente myndigheter har minst én nasjonal regulatorisk sandkasse for AI i drift, forlenges fra 2. august 2026 til 2. august 2027. KI-kontoret kan også opprette en regulatorisk sandkasse på EU-nivå for AI-systemer som ikke oppfyller kravene sine.

Hva dette betyr for organisasjoner

Endringene i EUs KI-lov i AI Omnibus effektiviserer eller tydeliggjør i stor grad eksisterende krav. Det er viktig at de ikke utsetter KI-loven som helhet.

Som et første steg foreslår vi at du gjennomgår ditt nåværende AI-styringsprogram, kartlegger det med endringene i AI Omnibus og identifiserer eventuelle områder som må revideres. Sørg for at du har oversikt over hvilke AI-systemer bedriften din bruker og hvor de brukes.

Åpenhetsmerking er et område som krever spesiell oppmerksomhet nå. Krav om åpenhet i henhold til artikkel 50 har generelt vært gjeldende siden 2. august 2026. Hvis organisasjonen din tilbyr eller distribuerer systemer for å generere innhold som dekkes av opplysningskravene, må du identifisere hvilke leverandør- eller distributørforpliktelser som gjelder. Leverandører av relevante systemer som allerede er på markedet før 2. august 2026, bør også avgjøre om de faller innenfor den begrensede overgangsperioden som slutter 2. desember 2026.

Organisasjoner som bruker KI bør også gjennomgå sin tilnærming til KI-kompetanse etter den endrede artikkel 4 og sørge for at det er iverksatt passende tiltak for å støtte ansatte som driver eller bruker KI-systemer.

For organisasjoner som er ansvarlige for høyrisikosystemer i henhold til vedlegg III, gir de reviderte fristene ekstra implementeringstid, men de fjerner ikke de underliggende kravene. Organisasjoner kan allerede ha jobbet med å overholde den opprinnelige fristen 2. august 2026, mens organisasjoner som er ansvarlige for vedlegg I-systemer jobbet mot AI-lovens senere produktrelaterte tidsplan.

Det viktigste er at de reviderte fristene ikke representerer en utsettelse fra samsvarskravene, og den ekstra tiden bør brukes til å styrke samsvarsprogrammer, bekrefte klassifiseringer av AI-systemer, etablere styrings- og dokumentasjonsprosesser, teste kontroller og håndtere mangler i god tid før de nye fristene 2. desember 2027 og 2. august 2028.