Norske KI-saker vurdert mot KI-forordningen

KI-forordningen er ikke abstrakt regulering — norske virksomheter gjør allerede feil som vil være lovbrudd når KI-loven trer i kraft (høyrisikokravene er foreslått utsatt til desember 2027). Her er fire norske saker fra 2024–2026 og hva de betyr juridisk.

Sak 1: Politihøgskolen og Copilot-hallusinasjoner (februar 2026)

Hva skjedde?

Politihøgskolen brukte Microsoft Copilot til å utarbeide et administrativt notat om undervisningsnormer. Copilot hallusinerte tall — den produserte tallverdier som ikke fantes i kildematerialet. Notatet ble sendt videre uten at noen kontrollerte tallene mot primærkilder. Da feilen ble oppdaget, la rektor seg flat. Det kom frem at Politihøgskolen ikke hadde KI-retningslinjer.

Kilde: Khrono, 27.02.2026.

Hva sier KI-forordningen?

Artikkel 13 — Transparens: Leverandøren plikter å dokumentere systemets begrensninger — inkludert risiko for hallusinering. Idriftsetter (Politihøgskolen) plikter å forstå disse begrensningene og bruke systemet i tråd med brukerveiledningen.

Artikkel 14 — Menneskelig tilsyn: Høyrisiko KI-systemer skal ha meningsfylt menneskelig overprøving. En kvalifisert person skal kunne vurdere og korrigere systemets output før det brukes i beslutninger. Her ble tallene tatt for gitt.

Hva burde Politihøgskolen gjort?

1. Etablert KI-retningslinjer med krav til menneskelig kvalitetskontroll av all KI-generert output
2. Sjekket tallene mot primærkilder før notatet ble sendt videre
3. Sørget for at ansatte som bruker Copilot har opplæring i verktøyets kjente svakheter — spesielt hallusinering av tall

Sak 2: Tromsø kommune og feil KI-bruk

Hva skjedde?

Tromsø kommune brukte KI til å formidle forskningsresultater — men KI-systemet produserte feilaktige resultater. Kommunen måtte i etterkant kontakte forskerne for å rydde opp. Feilen illustrerer hva som skjer når KI brukes til å formidle fakta uten tilstrekkelig kvalitetssikring av inndata.

Hva sier KI-forordningen?

Kommunale systemer som brukes til å ta beslutninger om eller formidle informasjon til innbyggere kan falle inn under høyrisiko-kategoriene i vedlegg III — avhengig av bruksområdet.

Artikkel 26 — Idriftsetteres plikter: Kommunen som idriftsetter plikter å sikre at inndata er relevante og tilstrekkelig representative for formålet. Systemet skal brukes i henhold til brukerveiledningen, og kommunen skal overvåke driften.

Hva burde kommunen gjort?

1. Kvalitetssikret inndataene til KI-systemet — verifisert at forskningsresultatene som ble matet inn var korrekte og fullstendige
2. Etablert en rutine der fagpersoner kontrollerer KI-generert output før publisering
3. Dokumentert bruksformålet og begrensningene i et internt register over KI-systemer

Sak 3: 145 KI-fuskesaker ved norske universiteter (2024)

Hva skjedde?

I 2024 ble 145 fuskesaker knyttet til bruk av KI behandlet ved norske universiteter og høyskoler. De fleste studentene ble felt. Sakene reiste spørsmål om KI-deteksjonsverktøyene som ble brukt — verktøy som Turnitin AI Detection — og om disse hadde tilstrekkelig juridisk grunnlag og dokumentert treffsikkerhet.

Hva sier KI-forordningen?

KI-systemer som brukes til å avdekke fusk i utdanning er klassifisert som høyrisiko etter vedlegg III nr. 3 (utdanning og yrkesfaglig opplæring). Det betyr at de er underlagt de strengeste kravene i forordningen:

• FRIA-vurdering må gjennomføres før systemet tas i bruk
• Menneskelig tilsyn — en kvalifisert person skal kunne overprøve resultatet
• Dokumentasjon — systemets treffsikkerhet, feilrater og begrensninger skal være kjent og dokumentert
• Registrering i EUs KI-database

Hva burde universitetene gjort?

1. Gjennomført en konsekvensutredning (FRIA) for KI-deteksjonsverktøyet — inkludert vurdering av risiko for falske positiver og diskriminering
2. Sikret at ingen student ble felt utelukkende basert på KI-verktøyets output, uten reell menneskelig overprøving
3. Dokumentert verktøyets kjente feilrater og informert studentene om at KI-deteksjon brukes

Sak 4: Riksrevisjonen — Staten mangler rammeverk (2024)

Hva skjedde?

Riksrevisjonens undersøkelse i 2024 avdekket at over halvparten av statlige virksomheter ikke har noe rammeverk for ansvarlig bruk av KI. De mangler prinsipper for åpenhet, forklarbarhet og likebehandling. Mange virksomheter bruker KI-systemer uten å ha kartlagt dem.

Hva sier KI-forordningen?

Flere sentrale artikler er relevante:

• Artikkel 4 — KI-kompetanse: Alle som bruker KI-systemer skal ha tilstrekkelig kompetanse til å forstå systemets muligheter og begrensninger
• Artikkel 9 — Risikostyring: Leverandører og idriftsettere av høyrisikosystemer skal ha et løpende risikostyringssystem
• Artikkel 17 — Kvalitetsstyringssystem: Leverandører av høyrisikosystemer skal ha et dokumentert kvalitetsstyringssystem

Virksomheter uten rammeverk oppfyller ingen av disse kravene.

Hva er mønsteret?

Alle fire sakene har samme kjerne: KI brukt uten retningslinjer, uten menneskelig overprøving, uten dokumentasjon. Det er ikke uflaks — det er systemiske mangler.

KI-forordningen er designet for å forhindre nettopp dette.

Virksomheter som starter kartleggingen nå — og dokumenterer sine KI-systemer og rutiner — vil stå i en fundamentalt annen posisjon enn de som ikke har gjort noe.

Les mer om hva KI-forordningen er og hva den krever, hvilken rolle din virksomhet har og se tidslinjen med alle frister.

Kilde: KI-forordningen (EU) 2024/1689; Khrono 27.02.2026; Riksrevisjonen; HK-dir Rapport nr. 04/2026.