Norske KI-feil som ville brutt KI-forordningen fra august 2026

KI-forordningen er ikke abstrakt regulering — norske virksomheter gjør allerede feil som blir lovbrudd fra 2. august 2026. Her er fire norske saker fra 2024–2026 og hva de betyr juridisk.

Sak 1: Politihøgskolen og Copilot-hallusinasjoner (februar 2026)

Hva skjedde?

Politihøgskolen brukte Microsoft Copilot til å utarbeide et administrativt notat om undervisningsnormer. Copilot hallusinerte tall — den produserte tallverdier som ikke fantes i kildematerialet. Notatet ble sendt videre uten at noen kontrollerte tallene mot primærkilder. Da feilen ble oppdaget, la rektor seg flat. Det kom frem at Politihøgskolen ikke hadde KI-retningslinjer.

Kilde: Khrono, 27.02.2026.

Hva sier KI-forordningen?

Artikkel 13 — Transparens: Leverandøren plikter å dokumentere systemets begrensninger — inkludert risiko for hallusinering. Idriftsetter (Politihøgskolen) plikter å forstå disse begrensningene og bruke systemet i tråd med brukerveiledningen.

Artikkel 14 — Menneskelig tilsyn: Høyrisiko KI-systemer skal ha meningsfylt menneskelig overprøving. En kvalifisert person skal kunne vurdere og korrigere systemets output før det brukes i beslutninger. Her ble tallene tatt for gitt.

Hva burde Politihøgskolen gjort?

1. Etablert KI-retningslinjer med krav til menneskelig kvalitetskontroll av all KI-generert output
2. Sjekket tallene mot primærkilder før notatet ble sendt videre
3. Sørget for at ansatte som bruker Copilot har opplæring i verktøyets kjente svakheter — spesielt hallusinering av tall

Sak 2: Tromsø kommune og feil KI-bruk

Hva skjedde?

Tromsø kommune brukte KI til å formidle forskningsresultater — men KI-systemet produserte feilaktige resultater. Kommunen måtte i etterkant kontakte forskerne for å rydde opp. Feilen illustrerer hva som skjer når KI brukes til å formidle fakta uten tilstrekkelig kvalitetssikring av inndata.

Hva sier KI-forordningen?

Kommunale systemer som brukes til å ta beslutninger om eller formidle informasjon til innbyggere kan falle inn under høyrisiko-kategoriene i vedlegg III — avhengig av bruksområdet.

Artikkel 26 — Idriftsetteres plikter: Kommunen som idriftsetter plikter å sikre at inndata er relevante og tilstrekkelig representative for formålet. Systemet skal brukes i henhold til brukerveiledningen, og kommunen skal overvåke driften.

Hva burde kommunen gjort?

1. Kvalitetssikret inndataene til KI-systemet — verifisert at forskningsresultatene som ble matet inn var korrekte og fullstendige
2. Etablert en rutine der fagpersoner kontrollerer KI-generert output før publisering
3. Dokumentert bruksformålet og begrensningene i et internt register over KI-systemer

Sak 3: 145 KI-fuskesaker ved norske universiteter (2024)

Hva skjedde?

I 2024 ble 145 fuskesaker knyttet til bruk av KI behandlet ved norske universiteter og høyskoler. De fleste studentene ble felt. Sakene reiste spørsmål om KI-deteksjonsverktøyene som ble brukt — verktøy som Turnitin AI Detection — og om disse hadde tilstrekkelig juridisk grunnlag og dokumentert treffsikkerhet.

Hva sier KI-forordningen?

KI-systemer som brukes til å avdekke fusk i utdanning er klassifisert som høyrisiko etter vedlegg III nr. 3 (utdanning og yrkesfaglig opplæring). Det betyr at de er underlagt de strengeste kravene i forordningen:

• FRIA-vurdering må gjennomføres før systemet tas i bruk
• Menneskelig tilsyn — en kvalifisert person skal kunne overprøve resultatet
• Dokumentasjon — systemets treffsikkerhet, feilrater og begrensninger skal være kjent og dokumentert
• Registrering i EUs KI-database

Hva burde universitetene gjort?

1. Gjennomført en konsekvensutredning (FRIA) for KI-deteksjonsverktøyet — inkludert vurdering av risiko for falske positiver og diskriminering
2. Sikret at ingen student ble felt utelukkende basert på KI-verktøyets output, uten reell menneskelig overprøving
3. Dokumentert verktøyets kjente feilrater og informert studentene om at KI-deteksjon brukes

Sak 4: Riksrevisjonen — Staten mangler rammeverk (2024)

Hva skjedde?

Riksrevisjonens undersøkelse i 2024 avdekket at over halvparten av statlige virksomheter ikke har noe rammeverk for ansvarlig bruk av KI. De mangler prinsipper for åpenhet, forklarbarhet og likebehandling. Mange virksomheter bruker KI-systemer uten å ha kartlagt dem.

Hva sier KI-forordningen?

Flere sentrale artikler er relevante:

• Artikkel 4 — KI-kompetanse: Alle som bruker KI-systemer skal ha tilstrekkelig kompetanse til å forstå systemets muligheter og begrensninger
• Artikkel 9 — Risikostyring: Leverandører og idriftsettere av høyrisikosystemer skal ha et løpende risikostyringssystem
• Artikkel 17 — Kvalitetsstyringssystem: Leverandører av høyrisikosystemer skal ha et dokumentert kvalitetsstyringssystem

Virksomheter uten rammeverk oppfyller ingen av disse kravene.

Tidsfristen

2. august 2026. Det er 157 dager. Virksomheter som ikke har startet kartleggingen, har ikke tid til å vente.

Hva er mønsteret?

Alle fire sakene har samme kjerne: KI brukt uten retningslinjer, uten menneskelig overprøving, uten dokumentasjon. Det er ikke uflaks — det er systemiske mangler.

KI-forordningen er designet for å forhindre nettopp dette. Fra 2. august 2026 vil manglende rutiner kunne medføre bøter på opptil 15 millioner euro og tilsyn fra Nkom.

Virksomheter som starter kartleggingen nå — og dokumenterer sine KI-systemer og rutiner — vil stå i en fundamentalt annen posisjon enn de som ikke har gjort noe.

Kilde: KI-forordningen (EU) 2024/1689; Khrono 27.02.2026; Riksrevisjonen; HK-dir Rapport nr. 04/2026.