KI-leverandørvilkår ved høyrisikobruk: hva krever Anthropic, OpenAI, Google og Microsoft?

Anthropic publiserte 8. oktober 2026 en oppdatert versjon av sine bruksregler (Usage Policy), som gjelder fra 12. november 2026. Reglene krever at en kvalifisert person gjennomgår anbefalinger som modellen gir om enkeltpersoner på områder som ansettelse, kreditt, forsikring, bolig og helse, og at den berørte får vite at KI er brukt. Kravene ligner pliktene for idriftsettere av høyrisikosystemer i KI-forordningen og reglene om automatiserte avgjørelser i personvernforordningen. KI-forordningen er imidlertid ikke tatt inn i EØS-avtalen, og høyrisikopliktene gjelder heller ikke i EU før 2. desember 2027. For norske virksomheter som bruker KI-tjenester i HR, kredittvurdering eller kundebehandling, er leverandørvilkårene dermed den første bindende kilden til slike krav. Artikkelen behandler hva vilkårene krever, hvordan de forholder seg til lovgivningen, og hvilke kontraktsrettslige følger brudd og ensidige endringer kan få.

Hva endres i Anthropics bruksregler fra 12. november 2026?

Den viktigste endringen for næringslivet er at høyrisikokravene nå knyttes til hva KI-anbefalingen brukes til, og ikke til om tjenesten retter seg mot forbrukere. Den tidligere versjonen, som gjaldt fra 15. september 2025, beskrev kravene som tiltak for forbrukerrettede bruksområder med forhøyet risiko. Den nye Usage Policy gjelder for enhver som bruker tjenestene til å gi en høyrisikoanbefaling, uansett om mottakeren er forbruker, arbeidstaker eller næringsdrivende. Anthropic opplyser selv at kravene ikke er endret i substans, og at seksjonen er skrevet om for å angi tydeligere hvilke anbefalinger som omfattes. Etter vår vurdering innebærer den nye ordlyden likevel at interne HR-verktøy og kredittmoduler i B2B-tjenester klarere faller innenfor enn før.

Oppdateringen inneholder også andre endringer. Reglene om falske kontoer og påvirkningsoperasjoner er samlet i en ny del om villedende kampanjer, som gjelder både politisk og kommersiell virksomhet. Sporing av personer uten samtykke er forbudt, både i sanntid og ved analyse av data som allerede er samlet inn. Når modellen styrer utstyr som kan utføre fysiske handlinger, må en kvalifisert operatør kunne observere og stanse utstyret, og utstyret må kunne gå over i en sikker tilstand dersom forbindelsen til modellen brytes. Etter kunngjøringen er bruk forbudt også for selskaper som er stiftet eller har hovedkontor i en region Anthropic ikke støtter, og for selskaper som er majoritetseid eller kontrollert fra slike regioner.

Hvilke krav stiller KI-leverandørvilkår ved høyrisikobruk?

Anthropics bruksregler stiller to kumulative krav når modellen gir en høyrisikoanbefaling. Det første er at en kvalifisert person skal gjennomgå anbefalingen før den gis til den berørte eller brukes til å treffe en avgjørelse om vedkommende. I bruksreglene er kravet formulert slik.

«meaningfully review a High-risk AI Recommendation, with the authority to change or modify it»

En kvalifisert person er etter reglene en person med opplæring eller erfaring som gjør vedkommende i stand til å vurdere resultatet på fagområdet, og med autorisasjon der loven krever det. Personen beholder ansvaret for at det som leveres eller besluttes, er riktig og hensiktsmessig. Det andre kravet er at den som mottar rådet eller er gjenstand for avgjørelsen, tydelig skal få vite at KI er brukt. Det er ikke nødvendig å oppgi leverandøren eller modellen.

Reglene lister opp elleve høyrisikoområder, blant annet juss, medisin, finans, kreditt, forsikring, bolig, ansettelse, utdanning og kompetansebevis, tilgang til helsetjenester og offentlige ytelser. Ansettelsesområdet omfatter blant annet screening og rangering av kandidater, ansettelse og forfremmelse, fastsettelse av arbeidstid og lønn og vurdering av arbeidstakerens prestasjoner eller atferd. Kredittområdet omfatter innvilgelse, avslag og fastsettelse av beløp, rente eller ramme for lån og kreditt, og kredittscore som brukes til slike avgjørelser. Unntatt er blant annet generell informasjon, internt utkast, research, oppsummering og analyse som ikke er den endelige anbefalingen, og gjennomføring av en avgjørelse som allerede er truffet. Der loven tillater det, kreves heller ingen menneskelig gjennomgang før virksomheten handler på en avgjørelse som er helt til gunst for den berørte.

Har OpenAI, Google og Microsoft tilsvarende KI-leverandørvilkår?

De tre andre store leverandørene har alle regler om menneskelig kontroll ved KI-baserte avgjørelser med betydning for enkeltpersoner, men utformingen varierer. Anthropic og Microsoft stiller i tillegg et uttrykkelig krav om å opplyse om bruken av KI. Tabellen bygger bare på leverandørenes egne policydokumenter slik de forelå 16. oktober 2026.

Googles policy gjelder for Gemini API gjennom tilleggsvilkårene for Gemini API, som pålegger kunden å følge den. Microsofts regelsett gjelder ved siden av produktvilkårene og opplyser selv at det er utformet for å samsvare bedre med kommende KI-regulering, med KI-forordningen som eksempel. OpenAIs regler forbyr dessuten skreddersydd rådgivning som krever autorisasjon, for eksempel juridisk eller medisinsk rådgivning, uten tilstrekkelig medvirkning fra en autorisert fagperson. Ingen av leverandørene definerer nærmere hva som er tilstrekkelig menneskelig kontroll, utover Anthropics krav om reell gjennomgang og endringsmyndighet.

Hvordan forholder vilkårene seg til KI-forordningen art. 14 og 26?

Leverandørvilkårene gjenspeiler i stor grad pliktene for idriftsettere av høyrisikosystemer i KI-forordningen. Etter KI-forordningen art. 26 nr. 2 skal idriftsetteren overlate det menneskelige tilsynet til fysiske personer med nødvendig kompetanse, opplæring og myndighet. Etter KI-forordningen art. 14 nr. 4 bokstav d skal systemet gjøre det mulig for den som fører tilsyn, å se bort fra, overstyre eller reversere resultatet. Etter KI-forordningen art. 26 nr. 11 skal idriftsettere av høyrisikosystemer i vedlegg III som treffer eller bidrar til avgjørelser om fysiske personer, informere disse om at systemet brukes. Vedlegg III punkt 4 omfatter systemer for rekruttering, utvelgelse og avgjørelser i arbeidsforhold, og punkt 5 bokstav b og c omfatter kredittvurdering og risikovurdering og prising i livs- og helseforsikring.

Forskjellen ligger i virkeområde og ikrafttredelse. KI-forordningens plikter gjelder bare systemer som er klassifisert som høyrisiko, mens Anthropics områdeliste er videre og også omfatter for eksempel bolig og juridisk rådgivning. Etter endringen av KI-forordningen art. 113 ved forordning (EU) 2026/1744 gjelder pliktene for høyrisikosystemer i vedlegg III i EU fra 2. desember 2027, og for systemer under vedlegg I fra 2. august 2028. Omnibusen endret ikke artikkel 14 eller 26. I Norge gjelder forordningen ennå ikke. Regjeringen opplyste 4. august 2026 at forslaget til KI-lov sendes på ny høring høsten 2026, med sikte på proposisjon våren 2027, og at forhandlingene om EØS-tilpasninger pågår. Leverandørvilkårene innfører dermed lignende plikter i kontrakts form flere år før de kan håndheves av norske myndigheter.

Hvordan forholder vilkårene seg til GDPR art. 22?

Personvernforordningen gjelder allerede fullt ut og stiller i dag krav som overlapper med leverandørvilkårene. Etter GDPR art. 22 nr. 1 har den registrerte rett til ikke å være gjenstand for en avgjørelse som utelukkende bygger på automatisert behandling, når avgjørelsen har rettsvirkning eller på lignende måte i betydelig grad påvirker vedkommende. Der et unntak gjelder, krever GDPR art. 22 nr. 3 blant annet rett til menneskelig inngripen og rett til å bestride avgjørelsen. EU-domstolen la i C-634/21 SCHUFA til grunn at en kredittscore kan være en automatisert avgjørelse når långiveren i avgjørende grad bygger på den. Dommen er nærmere omtalt i artikkelen om automatiserte avgjørelser og Uber-gebyret.

Leverandørvilkårene går på to punkter lenger enn artikkel 22. Kravet om menneskelig gjennomgang i Anthropics regler gjelder også når et menneske formelt treffer avgjørelsen, så lenge KI-anbefalingen ligger til grunn, og det er ikke begrenset til avgjørelser med rettsvirkning eller tilsvarende betydelig virkning. Opplysningsplikten etter GDPR art. 13 nr. 2 bokstav f og GDPR art. 14 nr. 2 bokstav g gjelder bare automatiserte avgjørelser som omfattes av artikkel 22, mens Anthropics krav gjelder enhver høyrisikoanbefaling. Den virksomheten som oppfyller leverandørvilkårene, vil likevel ofte ha lagt et godt grunnlag for å etterleve artikkel 22, fordi en reell menneskelig vurdering normalt fører avgjørelsen ut av forbudet.

Hva skjer ved brudd på KI-leverandørens bruksregler?

Brudd på bruksreglene er kontraktsbrudd. Etter punkt D.2 i Anthropics Commercial Terms of Service er Usage Policy innarbeidet i avtalen ved henvisning, og kunden og brukerne kan bare bruke tjenestene i samsvar med den. Etter punkt I.3 kan Anthropic suspendere hele eller deler av tjenesten dersom leverandøren med rimelighet mener at bruken er i strid med reglene, og leverandøren har da ikke ansvar for skade som suspensjonen fører til. Ved vesentlig mislighold kan avtalen sies opp med 30 dagers skriftlig varsel dersom forholdet ikke rettes innen fristen, jf. punkt I.2.b. Kunden skal etter punkt K.2 dessuten holde Anthropic skadesløs for krav fra tredjepersoner som skyldes bruk i strid med Usage Policy.

Den praktiske risikoen er driftsavbrudd. En virksomhet som har bygget saksbehandling, kundeservice eller rekruttering på én modell, kan miste tilgangen uten varsel og uten krav på erstatning fra leverandøren. Avtalen er for kunder i EØS inngått med Anthropic Ireland Limited, og den er underlagt irsk rett med irske domstoler som verneting, jf. punkt M.7. Norske bakgrunnsregler om mislighold vil derfor ikke uten videre gjelde i forholdet til leverandøren. Ansvaret overfor de ansatte, kundene og søkerne følger derimot av norsk rett og personvernforordningen, og det kan virksomheten ikke avtale bort med leverandøren. Hvordan ansvaret fordeles når en KI-agent gjør skade, er behandlet i artikkelen om ansvar for KI-agenter.

Kan KI-leverandøren endre vilkårene ensidig?

Leverandøren kan endre vilkårene ensidig innenfor de rammene avtalen setter. Etter punkt M.3 i Anthropics kommersielle vilkår kan leverandøren endre vilkårene når som helst, med virkning 30 dager etter at endringen er publisert eller varslet. Endringer som følger av ny lov eller forskrift, får virkning straks, og endringene har ikke tilbakevirkende kraft. Usage Policy er innarbeidet ved henvisning, og oppdateringen fra 8. oktober med virkning fra 12. november ligger innenfor denne fristen. Microsoft forbeholder seg uttrykkelig retten til å oppdatere sitt regelsett fra tid til annen og legger ansvaret for å følge den gjeldende versjonen på kunden, og OpenAI opplyser at reglene oppdateres fortløpende.

Ensidige endringer av bruksregler reiser de samme spørsmålene som ensidige prisøkninger. Rekkevidden av endringsretten avhenger av avtalens ordlyd, og kundens viktigste vern er en reell oppsigelsesrett og tid til å tilpasse seg. Dette er nærmere drøftet i artikkelen om prisøkning fra SaaS-leverandøren. Virksomheter som har forhandlet egne rammeavtaler med en KI-leverandør, bør kontrollere om avtalen gir leverandøren rett til å endre bruksreglene uten samtykke, og om det er avtalt varsel og oppsigelsesrett ved endringer som krever omlegging av prosesser.

Hva bør virksomheten gjøre før 12. november 2026?

Tiltakene nedenfor gjelder virksomheter som bruker KI-modeller direkte eller gjennom systemleverandører i HR, kredittvurdering, forsikring eller kundebehandling. De er også relevante for bruk av OpenAI, Google og Microsoft, fordi disse leverandørene allerede har tilsvarende krav i gjeldende vilkår.

1. Kartlegg hvilke prosesser der en KI-modell gir anbefalinger om enkeltpersoner, og hvilken leverandør og hvilke bruksregler som gjelder for hver av dem.
2. Vurder for hver prosess om den faller innenfor et høyrisikoområde i leverandørens regler, og om den samtidig er en automatisert avgjørelse etter GDPR art. 22.
3. Utpek hvem som skal gjennomgå anbefalingene, og sørg for at vedkommende har faglige forutsetninger, tid og formell myndighet til å endre eller forkaste resultatet.
4. Dokumenter gjennomgangen, slik at virksomheten kan vise leverandøren og Datatilsynet at kontrollen er reell og ikke en formalitet.
5. Innarbeid opplysning om bruk av KI i avslagsbrev, svar til søkere og kundekommunikasjon, og samordne teksten med personvernerklæringen.
6. Oppdater de interne KI-retningslinjene for ansatte, slik at de som bruker verktøyene, kjenner kravene til gjennomgang og opplysning.
7. Be systemleverandører som bygger på en underliggende modell, bekrefte hvilke bruksregler som er videreført i avtalen, og hvordan virksomheten varsles om endringer.
8. Gå gjennom avtalene med KI-leverandørene og vurder om det bør forhandles inn varsel før suspensjon, rett til retting og oppsigelsesrett ved endrede bruksregler.

Arbeidet bør legges opp slik at det senere kan gjenbrukes når KI-forordningens plikter for idriftsettere blir gjeldende i Norge. Mer om regelverket finnes på pilarsiden om kunstig intelligens. Virksomheter som ikke har innført menneskelig gjennomgang og opplysning om KI innen 12. november 2026, risikerer at Anthropic begrenser eller suspenderer tilgangen etter punkt I.3 i de kommersielle vilkårene.

Spørsmål og svar

Neste faglige kontroll: 12. november 2026