OpenAIs godkjenning av mellomledd: hva betyr kravet for kunder av KI-plattformer?

OpenAI kunngjorde 21. oktober 2026 at selskapets bruksregler (Usage Policies) fra 20. november 2026 krever forhåndsgodkjenning av tjenester som gir tredjeparter direkte tilgang til OpenAI-modellene. I kunngjøringen nevnes modellrutere og KI-gatewayer som eksempler. Kravet berører norske virksomheter som kjøper tilgang til språkmodeller gjennom en tredjepartsplattform, og leverandører som selv tilbyr slik tilgang. Artikkelen behandler hvem som omfattes, hvilken hjemmel OpenAI har for å stenge tilgangen, hvordan risikoen fordeles mellom kunde, plattform og modellleverandør, og hva kunden bør kreve av plattformen.

Hva krever OpenAI av mellomledd fra 20. november 2026?

Bruksreglene har fått en ny bestemmelse om tilgang til modellene. Den som driver en formidlingsplattform for modelltilgang eller en annen tjeneste som gir tredjeparter direkte tilgang til OpenAI-modeller, må innhente OpenAIs forhåndsvurdering og godkjenning. I den engelske versjonen lyder kravet slik.

«If you operate a model-access intermediary platform or other service that enables third parties to directly access OpenAI models, you must obtain our prior review and approval.»

Etter kunngjøringen skal partnere som gir tilgang til OpenAI-modeller, opprettholde sikkerhetstiltak på linje med OpenAIs egne, undersøke mulige brudd og samordne håndhevingen med OpenAI. OpenAI har så langt ikke publisert kriterier for godkjenning, søknadsprosess eller saksbehandlingstid, og vi har ikke funnet noen oversikt over godkjente tjenester per 11. november 2026.

Hvilke tjenester omfattes av OpenAIs godkjenning av mellomledd?

Kravet gjelder tjenester som videreformidler selve modelltilgangen. Typiske eksempler er rutere og gatewayer som gir kundene tilgang til modeller fra flere leverandører gjennom ett felles API. Bruksreglene avgrenser uttrykkelig mot vanlige applikasjoner, fordi kravet ikke gjelder bare fordi en applikasjon integrerer OpenAI-modeller for å drive sine funksjoner.

Grensen er likevel ikke skarp. En SaaS-tjeneste som bruker en modell til å oppsummere dokumenter, er en applikasjon. Tilbyr den samme leverandøren også et åpent API eller en utviklerfunksjon der kundene velger modell og sender egne forespørsler, kan den delen av tjenesten være et mellomledd. Etter vår vurdering bør vurderingen knyttes til om kunden i realiteten får tilgang til modellen som sådan, og ikke til hvordan leverandøren markedsfører tjenesten. Hvilken rolle plattformen får etter KI-forordningen når den videreselger tilgang, er behandlet i artikkelen om videresalg av KI og tilbyderrollen.

Hvilken hjemmel har OpenAI til å stenge tilgangen?

Hjemmelen ligger i den avtalen plattformen selv har inngått med OpenAI. Etter punkt 16.1 i OpenAI Services Agreement er bruksreglene innarbeidet i avtalen ved henvisning, og etter punkt 3.3 bokstav a skal kunden verken selv bruke tjenestene i strid med reglene eller tillate at sluttbrukerne gjør det. Avtalen forbyr allerede videresalg og utleie av tilgang til kontoen (punkt 3.1) og kjøp, salg eller overdragelse av API-nøkler (punkt 3.3 bokstav g). Det nye kravet angir hvilken videreformidling OpenAI vil tillate.

Ved brudd kan OpenAI begrense eller suspendere tilgangen etter punkt 8.2. OpenAI skal gjøre rimelige anstrengelser for å varsle først, men kan suspendere uten varsel når det er rimelig nødvendig. Vesentlig mislighold som ikke er rettet innen 30 dager etter skriftlig varsel, gir rett til å si opp avtalen etter punkt 11.2. Brudd på punkt 3.3 er dessuten unntatt fra avtalens begrensning av ansvar for indirekte tap i punkt 14.1, slik at et mellomledd som opererer uten godkjenning, også har en ubegrenset ansvarsrisiko overfor OpenAI. For kunder i EØS er avtalen inngått med OpenAI Ireland Ltd og underlagt irsk rett. Hvordan slike suspensjonsklausuler vurderes mer generelt, er behandlet i artikkelen om stengingsklausuler i skyavtaler.

Tidspunktet for når kravet binder den enkelte plattform, er ikke helt avklart. Etter definisjonen av «OpenAI Policies» gjelder den versjonen som var i kraft på den siste av datoene for avtalens ikrafttredelse, siste ordreskjema eller fornyelse. Etter vår vurdering kan en plattform med et eldre ordreskjema derfor ha argumenter for at de nye bruksreglene først gjelder fra neste fornyelse. Argumentet gir begrenset trygghet, fordi bruksreglene samtidig forbeholder OpenAI retten til å nekte tilgang der det med rimelighet anses nødvendig for å beskytte tjenesten eller andre.

Hvordan fordeles risikoen i kontraktskjeden?

Kunden av en ruter eller gateway har normalt ingen avtale med OpenAI. Alle krav ved bortfall av modelltilgang må derfor rettes mot plattformleverandøren og avgjøres etter avtalen med den. Plattformvilkår fraskriver ofte ansvar for tilgjengeligheten til tredjepartsmodeller, men etter vår vurdering kan en slik fraskrivelse vanskelig dekke en stenging som skyldes at plattformen selv har unnlatt å søke godkjenning, fordi forholdet ligger innenfor plattformens egen kontroll og derfor heller ikke er en force majeure-situasjon.

Kjøp gjennom en autorisert forhandler skiller seg fra kjøp gjennom et mellomledd. Services Agreement forutsetter at kunden kan kjøpe gjennom en forhandler og likevel være avtalepart med OpenAI, og i så fall gjelder avtalens regler om varsel før suspensjon direkte i kundeforholdet. Kunden bør derfor få klarhet i hvilken av de to modellene som faktisk gjelder.

Hva betyr godkjenningskravet for databehandlerkjeden?

Når plattformen ruter personopplysninger til OpenAI på vegne av kunden, er plattformen normalt databehandler og OpenAI underdatabehandler. Etter GDPR art. 28 nr. 2 kan databehandleren bare bruke en annen databehandler med den behandlingsansvarliges forhåndsgodkjenning, og ved generell godkjenning skal kunden varsles om planlagte endringer og kunne protestere. Etter GDPR art. 28 nr. 4 skal de samme personvernforpliktelsene pålegges underdatabehandleren, og plattformen er fullt ansvarlig overfor kunden for underdatabehandlerens oppfyllelse.

Godkjenningskravet får betydning for databehandlerkjeden på to måter. Mister plattformen tilgangen og ruter trafikken til en annen modellleverandør, er det et bytte av underdatabehandler som krever varsel og gir kunden rett til å protestere. Forsøker plattformen å videreføre tilgangen gjennom en annen kanal, for eksempel en skyleverandør som drifter OpenAI-modellene, må også den kanalen stå på listen over godkjente underdatabehandlere. Den generelle framstillingen av kravene til avtalen står i artikkelen om databehandleravtale ved kjøp av SaaS.

Hva bør kunden kreve av plattformleverandøren?

Kunder som bruker OpenAI-modeller gjennom en ruter, gateway eller annen tredjepartsplattform, bør gå gjennom avtalen før 20. november 2026. Leverandører som selv er et mellomledd, må regne med de samme kravene fra sine kunder. Flere artikler om leverandøravtaler finnes på pilarsiden om kontrakter.

1. Krev skriftlig bekreftelse på at plattformen har søkt om eller fått OpenAIs godkjenning, og på hvilke vilkår godkjenningen er gitt.
2. Avtal at plattformen straks skal varsle kunden ved avslag, tilbakekall, begrensning eller varsel om suspensjon fra OpenAI.
3. Krev at plattformen tilbyr en navngitt alternativ modell, og at bytte skjer etter reglene om underdatabehandlere i databehandleravtalen.
4. Avtal at pris og ytelsesnivå ikke kan endres ensidig ved modellbytte, og se artikkelen om prisøkning fra SaaS-leverandøren for vilkår om prisregulering.
5. Forhandle inn rett til å si opp uten gebyr dersom tilgangen til den avtalte modellen faller bort eller endres vesentlig, med bistand ved exit fra skytjenesten.
6. Avtal at plattformen bærer ansvaret for driftsavbrudd som skyldes manglende godkjenning, og at slike tap ikke omfattes av den alminnelige ansvarsbegrensningen eller av force majeure-klausulen.

Spørsmål og svar

Neste faglige kontroll: 27. november 2026