← Blogg

EU AI Act for jurister: hva du må vite før 2. august 2026

Publisert 3. mai 2026 · 8 minutters lesetid · Av GD · LexCodex

EU AI Act (forordning (EU) 2024/1689) trådte i kraft 1. august 2024, men anvendes trinnvis. For advokatfirmaer og in-house-team er den største milepælen 2. august 2026, da transparenskrav og høyrisiko-plikter begynner å gjelde.

Norge er ikke EU-medlem, men AI Act gjelder via EØS-avtalen. Norske jurister og klienter forholder seg til samme krav som EU-baserte aktører.

For jurister reiser det to praktiske spørsmål:

1. Er AI-verktøyene jeg selv bruker "AI-systemer" etter forordningen, og har jeg som bruker noen krav å oppfylle?
2. Hvordan klassifiserer jeg klienters AI-systemer når de spør?

Denne teksten svarer på begge.

Tidslinje: hva gjelder når?

For de fleste jurister er det 2. august 2026 som er den relevante milepælen. Da må alle limited-risk-systemer oppfylle Art. 50 transparenskrav.

Risikoklassene i korthet

AI Act deler AI-systemer inn i fire risikoklasser:

1. Forbudt (Art. 5): Subliminal manipulasjon, sosial scoring fra offentlig myndighet, sanntids biometrisk identifikasjon i offentlige rom, emosjonsdeteksjon på arbeidsplasser og i skoler med flere. Sanksjon: opptil 35 MEUR eller 7 prosent av global omsetning.
2. Høyrisiko (Annex III): AI-systemer innen rekruttering, utdanning, kredittvurdering, kritisk infrastruktur, politiarbeid, rettsvesenet (for domstoler) og grensekontroll. Krever omfattende dokumentasjon, risikohåndtering, menneskelig tilsyn og registrering i EU-database. Sanksjon: opptil 15 MEUR eller 3 prosent av omsetning.
3. Begrenset risiko (Art. 50): AI-systemer som samhandler direkte med fysiske personer eller genererer syntetisk innhold. Kravene er å informere brukeren om AI-samhandling og merke AI-generert innhold. Ingen andre obligatoriske krav.
4. Minimal risiko: Alt annet. Ingen AI Act-spesifikke plikter, men personvernforordningen og øvrig lovgivning gjelder fortsatt.

Er AI-verktøyet ditt et AI-system etter forordningen?

Kort svar: ja, men det er leverandøren som bærer hovedansvaret.

Når du som advokat eller in-house-jurist bruker et AI-verktøy er du en "deployer" under forordningen. Leverandøren av verktøyet bærer de tyngre pliktene rundt å tilby systemet.

Som deployer har du:

• For minimal- eller limited-risk-systemer: i prinsippet ingen AI Act-spesifikke plikter. Personvernforordningen, taushetsplikt, advokatetikk og øvrig regulering gjelder uansett.
• For høyrisiko-systemer (hvis du bruker dem): Art. 26 stiller krav til overvåkning, dokumentasjon, menneskelig tilsyn og hendelsesrapportering. De fleste juridiske AI-verktøy er imidlertid ikke høyrisiko.

I praksis: bruker du et juridisk AI-verktøy til å gjennomgå kontrakter, formulere NDA-er eller researche rettspraksis er klassifiseringen trolig limited risk. Da rekker det at leverandørens transparens-informasjon er på plass. Det er leverandørens oppgave, ikke din.

Hvordan klassifiserer du klienters AI-systemer?

Klienter kommer til å spørre om sine egne systemer. En enkel prosess:

1. Er det forbudt etter Art. 5? Hvis ja: stopp systemet.
2. Faller det under Annex III pkt 1–8? Vanlige relevante områder er HR og rekruttering (pkt 4), kredittvurdering (pkt 5) og utdanning (pkt 3).
3. Samhandler det med mennesker eller genererer syntetisk innhold? Da er det limited risk med Art. 50-krav.
4. Ellers er det minimal risiko.

Den vanligste fellen er at klienter klassifiserer systemet sitt som høyrisiko for sikkerhets skyld. Det blir dyrt. Høyrisiko betyr omfattende dokumentasjonskrav, risikostyringssystem, kvalitetsstyring, registrering i EU-database og løpende overvåkning. Klassifiser korrekt, ikke konservativt.

Sjekkliste før 2. august 2026

1. Lag en oversikt over AI-verktøy som brukes i firmaet eller in-house-funksjonen. Hva brukes til hva?
2. Verifiser at leverandørens transparens-informasjon er på plass. Får du og klientene vite at resultatet er AI-generert?
3. Gjennomgå klientavtalene. Trengs klausuler om AI-bruk? Klienter vil begynne å spørre.
4. Bestem rutine for informasjon til klient. Taushetsbelagte dokumenter bør ikke gå gjennom AI uten ZDR og DPA.
5. Bruk et strukturert klassifiseringsverktøy når klienter spør om sine egne systemer. Dokumenter resultatet.
6. Lær opp kolleger. En kort gjennomgang rekker langt for å bygge felles forståelse.
7. Følg med på Kommisjonens delegerte rettsakter. Spesifikke tekniske krav fastsettes der i 2026 og 2027.

Sammendrag

AI Act er ikke slutten på AI i juridisk praksis. Det er et rammeverk for ansvarlig bruk. For de fleste firmaer og in-house-team som bruker etablerte verktøy er bildet håndterbart:

• Verktøyet er trolig limited risk eller minimal risk.
• Leverandøren bærer hovedansvaret for etterlevelse.
• Som deployer har du lettere plikter: informere klienter og dokumentere bruk.
• Når klienter spør om sine egne systemer, bruk en strukturert klassifiseringsmetode i stedet for å gjette.

Vil du teste hvordan klassifiseringen ser ut for et spesifikt system? AI Act-verktøyet tar omtrent 10 minutter å fylle ut. Resultatet er en formell rapport som kan deles med klient eller brukes internt.

Vanlige spørsmål