KI-forordningen for klinikere: hva gjelder i Norge, og når?

KI-forordningen, forordning (EU) 2024/1689, gjelder i EU, men ikke i Norge ennå. Regjeringen vil sende en ny norsk KI-lov på høring høsten 2026 og har som mål å legge den fram for Stortinget våren 2027. For en kliniker som bruker et KI-verktøy til journalnotater, er det i dag Helsedirektoratets råd, helsepersonelloven, GDPR og regelverket for medisinsk utstyr som gjelder.

Her er status per 18. oktober 2026: hva som er avklart, og hva som fortsatt er usikkert. Artikkelen forklarer regelverket og er ikke juridisk rådgivning.

Kort oppsummert

• KI-forordningen trådte i kraft i EU 1. august 2024 og gjelder i hovedsak fra 2. august 2026.
• EU har utsatt kravene til høyrisikosystemer med forordning (EU) 2026/1744: til 2. desember 2027 for bruksområdene i vedlegg III og til 2. august 2028 for produkter som medisinsk utstyr.
• Om et KI-verktøy i helse er høyrisiko, avhenger av formål og produktklasse, ikke av at det behandler helseopplysninger.
• Et verktøy som er medisinsk utstyr i klasse I uten meldt organ, er normalt ikke høyrisiko.
• I Norge er forordningen ikke tatt inn i EØS-avtalen, og den norske loven er ikke vedtatt.

Hva er KI-forordningen?

Forordningen regulerer KI-systemer etter risiko. Noen bruksområder er forbudt, høyrisikosystemer får strenge krav, og enkelte systemer får krav om åpenhet. I tillegg er det egne regler for generelle KI-modeller.

Forordningen skiller mellom roller. Den som utvikler og markedsfører systemet, er tilbyder (provider). Den som bruker et KI-system i sin virksomhet, er idriftsetter (deployer). Stortingets EU/EØS-nytt kaller det også bruker. Et legekontor som bruker et KI-verktøy til journalnotater, er idriftsetter. De fleste kravene, særlig til høyrisikosystemer, ligger hos tilbyderen.

Tidslinjen i EU

Før endringen skulle høyrisikokravene gjelde fra 2. august 2026 for vedlegg III og fra 2. august 2027 for vedlegg I. Utsettelsen er begrunnet med at standarder, veiledning og nasjonale myndigheter ikke var på plass (EUR-Lex 2026/1744).

Når er et KI-verktøy i helse høyrisiko?

Det er en vanlig misforståelse at all KI som behandler helseopplysninger, er høyrisiko. Forordningen har to veier inn (EUR-Lex 2024/1689):

1. Produkter (artikkel 6 nr. 1). Et KI-system er høyrisiko når det selv er et produkt, eller en sikkerhetskomponent i et produkt, som omfattes av EU-regelverket i vedlegg I, og produktet samtidig må gjennom samsvarsvurdering hos en tredjepart. For medisinsk utstyr betyr det et meldt organ.
2. Bruksområder (artikkel 6 nr. 2 og vedlegg III). På helseområdet gjelder det blant annet systemer som offentlige myndigheter bruker til å vurdere rett til helsetjenester, og systemer som vurderer og prioriterer nødanrop, inkludert akuttmedisinsk triage.

EUs koordineringsgruppe for medisinsk utstyr (MDCG) og KI-styret har laget en felles veileder, MDCG 2025-6, som viser hvordan dette slår ut:

Veilederen understreker at KI-forordningen ikke endrer klassifiseringen etter MDR. Det er MDR-klassen som avgjør om KI-systemet blir høyrisiko. Forbudene i artikkel 5 og åpenhetskravene i artikkel 50 gjelder uavhengig av klasse.

For et KI-verktøy til journalføring betyr det:

• Er verktøyet CE-merket som medisinsk utstyr i klasse I uten meldt organ, er det normalt ikke høyrisiko.
• Gjør verktøyet noe som krever klasse IIa eller høyere, blir det høyrisiko. Ifølge NRKs omtale av DMPs tilsyn i 2026 gjelder det verktøy som foreslår diagnoser eller behandling (NRK).
• Klassen står i leverandørens samsvarserklæring og bruksanvisning. Se CE-merket klasse I eller IIa.

Hvilke plikter har du som bruker?

KI-kompetanse (artikkel 4). Etter endringen i 2026 skal tilbydere og idriftsettere sette i verk tiltak som støtter utviklingen av KI-kompetanse hos de ansatte, tilpasset kunnskap, erfaring og hvordan systemet brukes. Plikten krever ikke at den enkelte har et bestemt kompetansenivå. Helsedirektoratets faktaark om tale-til-utkast sier uansett at trygg bruk forutsetter kompetanse, og at nyansatte skal få opplæring.

Åpenhet (artikkel 50). Kravene gjelder i EU fra 2. august 2026 og er i hovedsak rettet mot tilbyderne. Systemer som samhandler direkte med mennesker, skal gjøre det klart at man har med KI å gjøre. Systemer som lager syntetisk tekst, lyd eller bilde, skal merke innholdet maskinlesbart, men ikke i den grad systemet utfører en assisterende funksjon for vanlig redigering eller ikke vesentlig endrer det brukeren har gitt inn. Idriftsettere skal blant annet merke såkalte deepfakes og KI-generert tekst som publiseres for å informere allmennheten. Et journalnotat publiseres ikke for allmennheten. Hvordan artikkel 50 skal forstås for tale-til-utkast, er ikke avklart, og Kommisjonens retningslinjer for artikkel 50 var bare et utkast i mai 2026 (Stortingets EU/EØS-nytt).

Ved høyrisiko (artikkel 26). Bruker du et høyrisikosystem, for eksempel KI-basert medisinsk utstyr i klasse IIa, får du som idriftsetter blant annet plikt til å bruke systemet etter bruksanvisningen, la personer med nødvendig kompetanse og myndighet føre menneskelig tilsyn, følge med på driften og melde fra om risiko, og ta vare på logger systemet lager i minst seks måneder når de er under din kontroll, med mindre annet regelverk, særlig personvernreglene, sier noe annet. I EU gjelder dette for medisinsk utstyr fra 2. august 2028.

Status i Norge

• Ikke i EØS ennå. KI-forordningen er merket EØS-relevant, men er ikke tatt inn i EØS-avtalen. Stortingets EU/EØS-nytt skrev i juni 2026 at tidspunktet fortsatt synes uklart, selv om regjeringens opprinnelige ambisjon var samtidig ikrafttredelse med EU.
• Ny høring høsten 2026. Et utkast til norsk KI-lov ble sendt på høring 30. juni 2025 og skulle gjelde fra sensommeren 2026 (Datatilsynet). Etter endringene i EU varslet digitaliseringsminister Karianne Tung 4. august 2026 en ny høring høsten 2026, med mål om å legge fram loven for Stortinget våren 2027 (regjeringen.no). Per 18. oktober 2026 har vi ikke funnet høringsnotatet eller en høringsfrist.
• Tilsyn. Regjeringen har bestemt at Nasjonal kommunikasjonsmyndighet (Nkom) skal være koordinerende markedstilsynsmyndighet og nasjonalt kontaktpunkt. Der KI inngår i et produkt i vedlegg I, er utgangspunktet at myndigheten som allerede fører markedstilsyn med produktet, også får KI-tilsynet (Nkom). For medisinsk utstyr er det i dag DMP.
• Sandkasse. Digitaliseringsdirektoratet, Datatilsynet og Nkom samarbeider i KI Norge, som også har en regulatorisk sandkasse for KI.

Hva er fortsatt usikkert?

• Når forordningen gjelder i Norge. Det avhenger av EØS-prosessen og Stortingets behandling.
• Hva den norske loven blir. Det nye høringsnotatet er ikke publisert.
• Hvor mye av høyrisikokravene som gjelder for medisinsk utstyr. Endringsforordningen gir Kommisjonen myndighet til innen 2. august 2027 å begrense enkelte krav for produkter i vedlegg I, når produktregelverket allerede gir like god eller bedre beskyttelse.
• Om klassifiseringen av programvare endres. EU-kommisjonen foreslo i desember 2025 endringer i MDR som blant annet vil gi lavere risikoklasse for noe programvare (COM(2025) 1023). Forslaget er ikke vedtatt.
• Hvordan artikkel 50 slår ut for journalverktøy. Retningslinjene er ikke endelige.

Hva må fastlegen gjøre nå?

Lite som følger av KI-forordningen selv. Det som gjelder i dag, er:

1. Følg Helsedirektoratets råd om tale-til-utkast: les hele utkastet, slett opptak og råfil, og informer pasientene. Se Er det lov å bruke KI til journalføring?
2. Bruk verktøy som er CE-merket når de er medisinsk utstyr, og bruk dem innenfor det tiltenkte formålet.
3. Ha databehandleravtale, risikovurdering og DPIA i orden, se sjekklisten for databehandleravtale og DPIA.
4. Sørg for opplæring. Helsedirektoratet anbefaler det allerede, og artikkel 4 vil gjelde når forordningen blir norsk rett.
5. Spør leverandøren hvilken MDR-klasse verktøyet har, og hvordan de forbereder seg på KI-forordningen hvis verktøyet er i klasse IIa eller høyere.
6. Følg med på den nye høringen av KI-loven.

Personvernreglene gjelder uansett, se GDPR og KI i helsetjenesten. Det europeiske helsedataområdet er forklart i EHDS for helsepersonell.