En kunde åpner chatten hos en norsk nettbutikk en helt vanlig kveld. «Hvilken sykkel passer til pendling på grusvei?» Svaret kommer etter to sekunder, høflig og velformulert. Kunden aner ikke om det er skrevet av et menneske eller en maskin.

Frem til nå har det vært et uinteressant spørsmål. Fra 2. august 2026 er det et juridisk.

Da trer kravene om åpenhet i EUs AI-lov i kraft. Chatboter skal si fra at de er maskiner. Bilder og videoer laget med AI som ser ekte ut, skal merkes. Og tilsynsmyndighetene i EU får makt til å bøtelegge dem som bryter reglene.

Og her er det få har fått med seg: Loven ble endret i slutten av juli. EU vedtok en stor endringspakke som trådte i kraft 27. juli 2026. Endringene er så omfattende at mye av det som er skrevet om «AI Act 2026» — rådgiverrapporter, LinkedIn-innlegg, frokostseminarer — beskriver regler som ikke lenger finnes.

Dette innlegget beskriver dem som gjelder.

Konklusjonen først

1. Fra 2. august skal kundene vite når de snakker med AI. Det som til nå har vært god skikk, blir lovkrav — med bøter for brudd.
2. AI Act handler ikke mest om OpenAI. Den handler om deg. Loven skiller mellom den som lager AI og den som bruker den. En nettbutikk med AI i kundedialogen har et selvstendig ansvar — som ikke kan skyves over på leverandøren.
3. Det loven krever av deg, er orden — ikke teknologi. Vit hvilke AI-verktøy dere bruker, hvem som har ansvaret, og hvordan feil fanges opp. Ingen av kravene forutsetter at noen i bedriften kan programmere. Alle forutsetter at noen leder.
4. «Dette gjelder ikke i Norge» hjelper deg ikke. Loven er ennå ikke norsk rett. Men selger du til kunder i Sverige eller Danmark, treffer den deg fra 2. august likevel — og en norsk AI-lov er på vei.

Resten av innlegget forklarer de fire punktene, ett for ett.

Du kjøpte et verktøy. Loven mener du tok en beslutning.

Den vanligste innvendingen først: «Vi bruker jo bare ChatGPT.»

Tanken er forståelig. OpenAI har laget modellen, chatbot-leverandøren har laget løsningen. Nettbutikken har bare tatt den i bruk. Da må vel ansvaret ligge hos dem som har laget teknologien?

AI-loven svarer nei. Den skiller mellom to roller: den som lager AI, og den som tar den i bruk. Begge har plikter. Leverandøren har ansvar for at verktøyet er laget riktig. Du har ansvar for hvordan det brukes hos deg.

Og du tar AI i bruk oftere enn du tror. Lar du en chatbot svare kundene, bruker du AI mot kunder. Lar du maskinlæring styre produktanbefalingene, gjør du det igjen. Skriver markedsavdelingen kampanjetekster med Copilot, en tredje gang.

Du kjøpte et verktøy. Loven mener du tok en beslutning. Og beslutninger har eiere.

Det er ikke så urimelig som det kan høres ut. OpenAI kan ikke vite at chatboten din gir sykkelråd til tenåringer, eller at kundeservicen limer AI-svar rett inn i klagesaker. Bruken er din. Derfor er ansvaret for bruken også ditt.

Hva som faktisk skjer 2. august — og hva som er utsatt

Her oppsto forvirringen i juli, så ta det i riktig rekkefølge.

Planen var at 2. august skulle bli den store dagen, da også de tyngste kravene i loven trådte i kraft — de som gjelder AI med høy risiko, som rekrutteringsverktøy og kredittvurdering. Det er disse kravene som har fylt rådgiverrapportene.

Det skjer ikke. EU innså at verken standardene eller tilsynene var klare, og utsatte de tunge kravene til desember 2027 og august 2028.

To ting skjer likevel 2. august — og de treffer langt flere enn de tunge kravene ville gjort:

Kundene skal vite når de møter AI. Chatboter, taleassistenter og AI-agenter skal fortelle at de er maskiner. Unntaket for tilfeller der det er «åpenbart» er smalt: En kundeservicebot som skriver som et menneske, slipper ikke unna med at «alle skjønner jo at det er en robot». Plikten til å bygge inn varselet ligger hos leverandøren — men du må sørge for at det faktisk er slått på i din løsning.

Tilsynene får makt. Reglene har eksistert en stund. Fra 2. august kan myndighetene i EU granske og bøtelegge. Loven får tenner.

Én endring til er verdt å kjenne til. Kravet om AI-kompetanse hos ansatte ble myknet i juli-endringen — EU erkjente at det var for tungt for små bedrifter. Det sier noe nyttig om lovgiveren: EU justerer faktisk kursen når noe ikke virker.

Vi testet 25 norske nettbutikker

Så hvordan står det egentlig til der ute? Den 31. juli 2026 — rett før ikrafttredelsen — gjorde vi en stikkprøve av chat- og kundeserviceløsningene hos 25 norske nettbutikker, som førstegangsbesøkende, uten å sende personopplysninger.

Elleve av butikkene hadde en AI-basert chat. Og her kommer overraskelsen: Ni av de elleve fortalte brukeren ved åpningen at de snakket med en AI. Plantasjen opplyser at du møter to AI-assistenter — og at de kan ta feil. ARK skriver «Knut gir deg AI-genererte svar» rett over skrivefeltet. Blivakkers Rosie presenterer seg som chatbot med feilforbehold. Elkjøp, Jernia, Kid, Kitch’n, Tilbords og Get Inspired gjør varianter av det samme. Fem butikker hadde menneskebetjent chat, og ni hadde ingen chatbot i det hele tatt.

De to siste er unntakene: Både Holzweiler og Villoid manglet tydelig AI-opplysning da chatten ble åpnet 31. juli. Hos Holzweiler identifiserte assistenten seg som AI først etter direkte spørsmål. Hos Villoid presenterer «Villoid-Vera» seg med eget navn og personlighet — uten å si at hun er en maskin. Det er neppe tilfeldig at det glipper akkurat der: En bot med navn, hilsen og småprat er designet for å føles menneskelig — og da er det både mest fristende å droppe merkingen og mest nødvendig å ha den.

To forbehold: Stikkprøven vurderer det brukeren ser — ikke avtalene, rollefordelingen og rutinene bak. Og chatløsninger endres raskt, så bildet kan se annerledes ut alt neste måned.

Men legg merke til hva funnet egentlig sier: Merkingen — den synlige delen av loven — er allerede stort sett på plass. Den kan leverandøren ordne i en innstilling. Oversikten, ansvaret og rutinene bak kan ingen leverandør ordne for deg. Norske nettbutikker har altså gjort den enkle delen. Resten av dette innlegget handler om den vanskelige.

Myten om produkttekstene

Nå til det mange nettbutikker har grudd seg unødvendig for.

Påstanden går igjen overalt: AI-generert innhold må merkes — altså må produktbeskrivelser skrevet med ChatGPT få en AI-etikett. For en nettbutikk med ti tusen varer høres det ut som et mareritt.

Påstanden er feil. Merkeplikten for AI-skrevet tekst gjelder innhold som publiseres for å informere allmennheten om saker av offentlig interesse — typisk nyheter, politikk, helse og økonomi. Og selv der faller plikten bort når teksten har gjennomgått reell menneskelig kontroll og noen står redaksjonelt ansvarlig for det som publiseres.

En produktbeskrivelse av en terrengsykkel er ingen sak av offentlig interesse. Den skal være sann og ikke villedende — det har markedsføringsloven krevd hele tiden — men den trenger ingen AI-etikett. Skriv gjerne produkttekstene med AI. Les dem før du publiserer. Det burde du gjort uansett.

Legg merke til forskjellen, for den er lovens egentlige logikk: Teksten om sykkelen trenger ingen merking. Chatboten som selger sykkelen, må si at den er en maskin. Innholdet kan være ordrett det samme. Forskjellen er relasjonen — en tekst leser du, en chatbot stoler du på. Loven regulerer tilliten, ikke teksten.

Myten om bøtene

Den andre myten trekker i motsatt retning: skrekk.

Tallene er reelle nok. De største bøterammene i loven er på inntil 35 millioner euro eller 7 prosent av global omsetning. Det er disse tallene som pryder skremselsoverskriftene.

Men loven har en regel de fleste omtalene hopper over: For små og mellomstore bedrifter gjelder det laveste av beløpet og prosentsatsen — ikke det høyeste, slik som for konsernene.

Regn på det. En nettbutikk med 25 millioner kroner i omsetning risikerer på det mest aktuelle bøtenivået maksimalt rundt 750 000 kroner — ikke titalls millioner euro. To forbehold, fordi ærlighet er billigere enn retrett: 750 000 svir for enhver nettbutikk. Og regelen fjerner ikke plikten, bare katastrofescenarioet.

Konklusjonen på begge mytene er den samme: AI Act er verken bagatellen eller monsteret den fremstilles som. Det farligste du kan gjøre, er ikke å bryte den med vilje. Det er å basere deg på andres gjengivelse av hva den krever.

«Dette gjelder ikke i Norge» — sant, og til null hjelp

Så til innvendingen som ligger og venter hos enhver norsk leser: EU-lov, ja vel. Men Norge er ikke med i EU.

Det stemmer. AI Act er ennå ikke en del av norsk lov — EØS-prosessen pågår, en norsk AI-lov har vært på høring, og departementet forbereder nå lovproposisjonen, med mål om ikrafttredelse så raskt som mulig etter at forordningen er tatt inn i EØS-avtalen. Per i dag kan ingen norsk myndighet bøtelegge en norsk nettbutikk for brudd på AI Act.

Hvis det føltes som en lettelse, les videre.

For det første: Loven treffer AI-bruk der resultatet brukes i EU. Chatboten som betjener kunder i Sverige og Danmark, er innenfor lovens rekkevidde fra 2. august — uansett hvor serveren står og hvor selskapet er registrert. Retter du salget mot EU-land, er «loven gjelder ikke i Norge» en teknisk presisjon uten praktisk verdi.

For det andre: Leverandørene dine følger loven allerede. OpenAI, Microsoft, Google og chatbot-plattformene bygger for EU-markedet, og kravene siver nedover — inn i avtalevilkår, innstillinger og dokumentasjon som også du må forholde deg til. Du møter AI Act i leverandøravtalene dine lenge før du møter den i norsk lov.

For det tredje: Den norske loven kommer. Og den som venter på ikrafttredelsen før den skaffer seg oversikt, starter kartleggingen akkurat når den skulle vært ferdig med den.

EØS-etterslepet er ikke et fritak. Det er en frist. Og fristen er en gave til de som bruker den.

Et styringsregelverk med teknologivedlegg

Her er innleggets egentlige poeng, og det handler ikke om paragrafer.

AI Act omtales som teknologiregulering. Men se på hva etterlevelse i praksis handler om for en vanlig bedrift: Vit hvilke AI-systemer dere bruker. Sørg for at kundene vet når de møter dem. Støtt de ansattes AI-kompetanse. Ha kontroll når noe går galt.

Ikke noe av dette handler om teknologi. Alt handler om orden.

AI Act er ikke et teknologiregelverk med styringsvedlegg. Det er et styringsregelverk med teknologivedlegg.

Norske bedrifter har gjort denne øvelsen før — med HMS på nittitallet, med personvern da GDPR kom. AI står for tur, og mønsteret er det samme: Først eksperimenterer alle, så krever noen oversikt, og til slutt er oversikten en selvfølge.

Testen på om nettbutikken din er klar, er derfor ikke teknisk. Den består av spørsmål enhver leder kan stille i morgen tidlig: Hvilke AI-verktøy bruker vi — også de ansatte har tatt i bruk på egen hånd? Hvem har godkjent dem? Behandler de personopplysninger? Møter kundene våre AI uten å vite det? Hvem har ansvaret når det blir feil?

Klarer ledergruppen å svare, er de nye lovkravene en formalitet. Klarer den det ikke, er problemet eldre enn AI Act — loven gjorde det bare synlig.

Oversikten er heller ikke noe du skaffer deg for tilsynets skyld. Den er forutsetningen for å bruke AI mer, ikke mindre. Den som vet hva som er i drift, kan si ja til neste verktøy raskt og trygt. Den som ikke vet, må si nei eller gamble.

Begynn før du må

En siste observasjon, siden regelverk alltid fremstilles som kostnad.

Nettbutikker konkurrerer på tillit. Pris og utvalg kan kopieres; tilliten til at butikken behandler deg ordentlig, kan ikke. En chatbot som åpner med å si at den er en AI-assistent — og tilbyr et menneske når saken krever det — bygger mer tillit enn en som later som den heter Kari. Fra 2. august er det første et lovkrav i EU. Det har vært god forretning hele tiden.

Om noen år kommer ingen til å spørre om nettbutikken din bruker AI. Alle gjør det. Spørsmålet blir om du kan vise at du bruker den på en måte kundene kan stole på.

Det begynner med en liste over hvilke AI-verktøy bedriften din bruker.

Skriv den denne uken.

Kilder

• Forordning (EU) 2026/1744 — «Digital Omnibus on AI» (EUR-Lex). Endringsforordningen vedtatt 8. juli 2026, i kraft 27. juli 2026. Primærkilden for utsettelsene og de nye fristene.
• KI-forordningen — forordning (EU) 2024/1689 (EUR-Lex). Selve AI Act, med rollefordelingen, åpenhetskravene i artikkel 50 og bøterammene i artikkel 99.
• EU-kommisjonens retningslinjer for åpenhetskravene i artikkel 50 (endelig versjon, 20. juli 2026). Hvordan chatbot-varselet og merkekravene skal praktiseres.
• Akin Gump: «EU AI Act Amendments Defer and Clarify Obligations» (juli 2026). Juridisk analyse skrevet etter at endringene ble publisert i Official Journal.
• NicFab: «Digital Omnibus on AI: Regulation (EU) 2026/1744 Is Published in the Official Journal» (juli 2026). Detaljert gjennomgang av hva som ble utsatt — og hva som står urørt.
• Regjeringen: Høring — utkast til ny lov om kunstig intelligens (KI-loven). Forslaget som gjennomfører KI-forordningen i norsk rett, med EØS-status og tidsplan.