Tilbyder eller bruker? Rollene i KI-forordningen
Sist oppdatert: 18. august 2026
KI-forordningen stiller ulike krav avhengig av hvilken rolle du har, ikke bare hvilket KI-system du bruker. De fleste virksomheter er bruker (også kalt idriftsetter, på engelsk "deployer"), ikke tilbyder, og har dermed langt færre plikter enn de som utvikler og selger KI-systemer. Dette gjelder rollefordelingen etter EU-regelverket; hvor mye som er norsk lov akkurat nå, er et eget spørsmål, se Norge-siden.
= den som utvikler eller får utviklet et KI-system og setter det på markedet under eget navn. Bruker (idriftsetter) = den som tar systemet i bruk i egen virksomhet. Kjøper dere et KI-verktøy fra en leverandør og bruker det internt, er dere nesten alltid bruker, ikke tilbyder.
Hva er forskjellen på tilbyder og bruker i KI-forordningen?
| Rolle | Hvem det er | Hovedansvar |
|---|---|---|
| Tilbyder / leverandør | Utvikler KI-systemet eller setter det på markedet i eget navn | Har det overordnede ansvaret for at systemet oppfyller kravene i forordningen, før og etter markedsintroduksjon: dokumentasjon, samsvarsvurdering, risikostyring |
| Bruker / idriftsetter | Tar i bruk et ferdig KI-system i egen virksomhet | Skal gjøre tiltak som støtter KI-kompetansen hos ansatte, og har egne transparensplikter der de er relevante (blant annet deepfakes, følelsesgjenkjenning og biometrisk kategorisering). Bruke systemet i tråd med bruksanvisningen, ha menneskelig tilsyn og følge med på uønskede utfall er i tillegg sentrale plikter der systemet er høyrisiko |
| Distributør | Gjør et KI-system tilgjengelig på markedet uten å være tilbyder | Kontrollere at systemet er korrekt merket og dokumentert før videreformidling |
| Importør | Bringer et KI-system fra utenfor EU/EØS inn på markedet | Kontrollere samsvar før systemet settes på markedet |
| Bemyndiget representant | Representerer en tilbyder utenfor EU/EØS | Ivaretar tilbyders forpliktelser i EU/EØS på vegne av tilbyder |
Offentlige virksomheter som bruker/idriftsetter har noe strengere plikter enn private brukere, blant annet plikt til å registrere bruken i en offentlig EU-database der vilkårene for dette er oppfylt. Se kommune-siden for dette i detalj.
Hva er de praktiske pliktene for en "bruker"?
Pliktene som bruker avhenger sterkt av hvilket risikonivå systemet ligger på. Det er nyttig å skille mellom generelle plikter og tilleggsplikter som først og fremst gjelder ved .
Generelle plikter (gjelder bredere)
- 1: gjøre tiltak som støtter utviklingen av KI-kompetanse hos ansatte og andre som bruker KI-systemene på virksomhetens vegne (artikkel 4), tilpasset deres erfaring, opplæring, brukskontekst og risiko.
- 2Egne der de er relevante (artikkel 50): blant annet ved bruk av deepfakes, følelsesgjenkjenning, biometrisk kategorisering, og enkelte KI-genererte tekster om saker av offentlig interesse. Den generelle plikten til å informere om at man interagerer med et KI-system, for eksempel ved chatbot, ligger derimot primært hos av systemet, som skal utforme det slik at dette fremgår. Tilbyr dere selv et slikt system under eget navn, har dere denne plikten selv.
Tilleggsplikter ved høyrisiko-KI
- 1Bruke systemet slik det er ment å brukes: følg bruksanvisningen fra leverandøren.
- 2Ha et menneske som kan følge med og gripe inn ("menneskelig tilsyn"), i tråd med leverandørens instruksjoner.
- 3Følge med på uønskede utfall og melde fra til /myndighet ved alvorlige hendelser.
- 4Ekstra dokumentasjons- og loggføringsplikter, og eventuelt registrering i offentlig database for offentlige aktører. Se risikoklasser.
Vurdering av personvernkonsekvenser (GDPR) kommer i tillegg til, ikke i stedet for, disse pliktene, uavhengig av risikonivå.
Ofte stilte spørsmål
Er vi tilbyder eller bruker hvis vi kjøper et ferdig KI-verktøy?
I de aller fleste tilfeller er dere bruker (idriftsetter). Dere blir kun tilbyder hvis dere selv utvikler KI-systemet, eller endrer et eksisterende system så mye at det regnes som et nytt system, eller setter eget navn/merke på et system utviklet av andre.
Har brukere færre plikter enn tilbydere?
Ja, betydelig færre, særlig for systemer som ikke er høyrisiko. Pliktene øker jo mer systemet nærmer seg høyrisikokravene.
Hva er en "idriftsetter"?
Det norske/offisielle begrepet for det som på engelsk kalles "deployer": altså den som tar et KI-system i bruk i egen virksomhet, i motsetning til tilbyderen som har utviklet det.
Gjelder strengere krav for offentlige virksomheter?
Ja, for høyrisiko-KI. Offentlige myndigheter som bruker høyrisiko-KI har ekstra plikter, blant annet knyttet til registrering. Se kommune-siden.