Digital Omnibus on AI: Hva betyr det for norske bedrifter?

Den 7. mai 2026 kunngjorde Rådet og Europaparlamentet at de har inngått en foreløpig avtale om "Digital Omnibus on AI" — en forenklingspakke som endrer betydelige deler av EU AI Act. Avtalen er ikke formelt vedtatt ennå, men signalet er tydelig: EU justerer kursen for å gi virksomheter mer tid og forutsigbarhet.

For norske SMB endrer dette flere av datoene som mye eksisterende AI Act-innhold opererer med. Her er hva som er på vei — og hva det betyr for deg.

Digital Omnibus er Kommisjonens initiativ for å forenkle og strømlinjeforme EU-regulering. AI-pakken (COM(2025) 836 final) ble lagt frem tidligere i 2026, og målet er å gi bedrifter pusterom, særlig SMB, mens harmoniserte standarder og verktøy ennå utvikles.

Avtalen 7. mai er en foreløpig politisk enighet mellom Rådet, Parlamentet og Kommisjonen i trialogforhandlingen. Endelig tekst og formell vedtakelse er fortsatt utestående.

Den viktigste enkeltendringen gjelder fristen for høyrisiko-AI. Bestemmelsene for frittstående høyrisiko-AI-systemer under Annex III ble opprinnelig satt til 2. august 2026. Den nye foreslåtte fristen er 2. desember 2027 — en utsettelse på over 16 måneder.

For høyrisiko-AI innebygd i produkter regulert under Annex I forskyves fristen fra 2. august 2027 til 2. august 2028.

I tillegg knyttes anvendelse av regelverket sterkere til tidspunktet for når harmoniserte standarder faktisk publiseres. Det betyr at bedrifter ikke lenger skal kunne straffes for å mangle samsvar med standarder som ennå ikke eksisterer — en viktig klargjøring for alle som planlegger samsvarsprosesser.

Fristen for etablering av nasjonale regulatoriske sandkasser forskyves tilsvarende fra 2. august 2026 til 2. august 2027.

Den opprinnelige fristen for å merke AI-generert innhold (artikkel 50) var 2. august 2026 — sammenfallende med hovedanvendelsen av AI Act. Den foreslåtte nye fristen er 2. desember 2026, noe som gir en innkjøringsperiode på fire måneder.

Det er likevel viktig å merke seg at andre transparenskrav under artikkel 50 ikke er berørt av utsettelsen. Krav om chatbot-merking og deepfake-varsling gjelder fortsatt fra 2. august 2026 i henhold til eksisterende tekst.

Norske virksomheter som bruker chatbot-løsninger eller publiserer AI-generert innhold, bør derfor ikke tolke den generelle utsettelsen som et signal om å avvente alt transparensarbeid. Skillet mellom de ulike kravene under artikkel 50 er vesentlig for å unngå etterlevelsesbrudd.

Forslaget vil endre artikkel 4 fra en direkte plikt for tilbydere og brukere til en plikt for Kommisjonen og medlemsstatene om å fremme KI-kompetanse. Hvis denne endringen vedtas, faller den direkte virksomhetsplikten bort.

Per mai 2026 gjelder artikkel 4 imidlertid fortsatt som en plikt for virksomheter. Det betyr at du fremdeles må ha en kompetanseplan på plass — og at det ikke er klokt å avvente dette arbeidet i påvente av endelig vedtak.

En av de mest praktisk betydningsfulle endringene i pakken er utvidelsen av SMB-lettelser til også å gjelde "small mid-caps" (SMC) — selskaper med inntil 750 ansatte. Forordningens lettelser under artiklene 62, 63 og 99(6) vil i så fall gi vesentlig flere norske selskaper tilgang til forenklet teknisk dokumentasjon, prioritert tilgang til regulatoriske sandkasser og en gunstigere bot-cap-beregning. Dette er en konkret og praktisk forbedring for mid-cap-bedrifter som tidligere falt utenfor SMB-kategorien.

Det er like viktig å vite hva Digital Omnibus ikke berører. Forbudene mot uakseptabel AI under artikkel 5 — inkludert sosial poengsetting, følelsesgjenkjenning i arbeidssammenheng og visse former for biometrisk overvåking — gjelder fortsatt fra 2. februar 2025 og er ikke justert.

Sanksjonsregimet under artikkel 99 trer i kraft 2. august 2026 som planlagt. At anvendelsesfristen for høyrisiko-AI utsettes, betyr i praksis at sanksjonene ikke vil bite på høyrisiko-pliktene før de aktuelle pliktene trer i kraft — men selve sanksjonsmaskineriet er aktivt fra august 2026.

Chatbot-merking under artikkel 50 er som nevnt ikke utsatt. GDPR kjører parallelt og uforandret, og AI-leverandøravtaler bør fremdeles gjennomgås med personvernbrilene på.

Norske virksomheter bør ikke tolke de nye fristene som en generell pause i AI-samsvarsarbeidet. Utsettelsene er målrettede og sektorspesifikke — ikke en bred amnesti.

Norge inkorporerer AI Act gjennom EØS-komiteen. Forordningen er ennå ikke inkorporert i norsk rett; norsk KI-lov har vært på høring og forventes vedtatt sensommeren 2026.

Dersom Digital Omnibus vedtas før den norske loven er på plass, vil det sannsynligvis være den justerte versjonen av AI Act Norge inkorporerer — ikke den opprinnelige teksten. Det er én av grunnene til at norsk implementering har trukket ut i tid.

For norske virksomheter innebærer dette en situasjon med juridisk usikkerhet i en overgangsperiode. Den beste tilnærmingen er å følge utviklingen tett, holde samsvarsarbeidet i gang og ikke ta forhastede konklusjoner basert på midlertidige politiske signaler. Nkoms KI-side er en god kilde for løpende oppdateringer om norsk implementering.

Trialog-prosessen krever at Rådet, Parlamentet og Kommisjonen formelt vedtar samme tekst. Etter 7. mai-avtalen gjenstår juridisk-tekstrevisjon av endelig formulering, formell avstemming i begge institusjoner og publisering i Den europeiske unions tidende. Basert på tidligere erfaring forventes endelig vedtak innen sensommeren 2026.