Den 29. juni 2026 ble den digitale omnibuspakken godkjent, noe som resulterte i målrettede endringer i EUs KI-lov. Viktigst av alt utsatte omnibusen fristen for samsvar med visse høyrisiko-KI-systemer til desember 2027 (kategorien som er relevant for juridiske, HR- og lignende verktøy), myknet opp forpliktelsen til KI-kompetanse og innførte en nådeperiode frem til desember 2026 for vannmerking av KI-generert innhold. 

Utvidelsen av høyrisiko-KI er, selv om den er velkommen, bare en del av bildet. Flere forpliktelser er allerede aktive, inkludert krav om åpenhet for KI-generert innhold som trådte i kraft i august. Organisasjoner som bruker KI i dag, bør fokusere på å bruke den ekstra tiden til å bygge eller styrke styringsgrunnlaget som KI-loven i full kraft vil kreve.  

Hva som er i kraft og hva som kommer 

AI-loven har blitt rullet ut i faser siden den trådte i kraft 1. august 2024. Tidslinjen etter innføringen av den digitale omnibusen er som følger: 

Veien til desember 2027 

16-måneders forlengelsen av forpliktelser knyttet til høyrisiko-KI er en reell lettelse. De underliggende forpliktelsene har imidlertid ikke endret seg, og tiden brukes best til å bygge styringsgrunnlaget som vil være nødvendig i desember 2027.  

• Lag en inventarliste over alle AI-verktøy som er i bruk. Ikke bare de som IT offisielt har anskaffet, men alle verktøyene som ansatte bruker, inkludert verktøy som er tatt i bruk uformelt utenfor standard anskaffelsesprosess. Forpliktelsene i AI-loven gjelder alle aktivt brukte verktøy, ikke bare godkjente. 
• Klassifiser hvert verktøy i henhold til AI-lovens risikonivåer. For verktøy som berører juridisk tolkning, dokumentanalyse eller noe som påvirker rådgivning til klienter, fortjener klassifiseringsspørsmålet aktiv oppmerksomhet. Vedlegg IIIs kategori «rettspleie» er bredere enn den i utgangspunktet kan virke, og risikonivået et verktøy faller inn under bestemmer hele settet med forpliktelser som vil gjelde innen desember 2027.  
• Bygg infrastruktur for revisjonsspor. AI-loven krever automatisk logging av høyrisikosystembruk: inndata, utdata, brukerhandlinger og tidsstempler, som oppbevares i minst seks måneder. Mange generelle AI-verktøy tilbyr ikke denne typen logg som standard. Bygging av denne infrastrukturen tar tid og bør ikke utsettes til 2027. 

Det finnes også en mindre åpenbar fordel. Revisjonskravene er i praksis en påtvingende mekanisme for den typen synlighet av bruk av AI som de fleste organisasjoner mangler for øyeblikket. Denne infrastrukturen kan hjelpe organisasjoner med å forstå hvordan AI brukes, av hvem og til hvilket formål, på måter som støtter både styring og åpenhet for klienter. 

• Sørg for at menneskelig tilsyn er meningsfullt. Effektivt tilsyn i henhold til KI-loven krever mer enn bare et menneske som gjennomgår KI-resultater. Det krever at kontrollører forstår systemets begrensninger, er i stand til å tolke resultatene, kan overstyre dem uten friksjon, og, viktigst av alt, at arbeidsflytdesign aktivt motvirker automatiseringsskjevhet. I praksis betyr dette at det ikke burde være enklere å akseptere AI-utdata enn å stille spørsmål ved dem. Det er et designkrav, og det er verdt å vurdere om nåværende verktøy støtter det. 
• Utvikle et program for KI-kompetanse. Forpliktelsen til å støtte KI-kompetanse blant de som jobber med KI-verktøy er allerede i kraft. I praksis betyr dette å sørge for at ansatte forstår hva KI-verktøyene de bruker faktisk gjør, hvor resultatene deres kan stoles på og hvor menneskelig vurdering er nødvendig. Et dokumentert program som dekker verktøyene som er i bruk, rollene som er involvert og de spesifikke risikoene i en juridisk kontekst, tilfredsstiller det regulatoriske kravet og danner grunnlaget for en bedriftsomfattende KI-policy. 
• Lag et rammeverk for evaluering av AI-verktøy. Etter hvert som AI-teknologilandskapet vokser, vil organisasjoner møte en jevn strøm av nye verktøy og leverandører. Et detaljert evalueringsrammeverk som dekker klassifisering, datalagring, tilsynsmuligheter og leverandørsamsvar, anvendt på anskaffelsestidspunktet, sikrer at samsvar er innebygd fra starten av. 

For organisasjoner utenfor EU er KI-lovens rekkevidde bredere enn den kanskje ser ut til. Den gjelder overalt hvor et KI-systems resultater brukes innenfor EU. Dette betyr at organisasjoner utenfor EU med EU-klienter eller EU-rettede verktøy kan falle inn under virkeområdet. Organisasjoner i den posisjonen bør søke råd om hvorvidt og hvordan KI-loven gjelder for dem.