Compliance og regulering

Hvordan BlixAI forholder seg til GDPR, EU AI Act, digitalsikkerhetsloven (NIS), DORA og sikkerhetsloven — med nedlasting av våre standardavtaler.

Standardavtaler

Våre standardavtaler ligger klare for gjennomgang og signering:

Ønsker du tilpasninger eller signert versjon? Kontakt oss.

GDPR

• Dataopphold: all behandling skjer i Norge — ingen tredjelandsoverføring (kap. V kommer ikke til anvendelse).
• Zero Data Retention: innhold sendt til API-et lagres ikke etter levering og brukes ikke til trening. Se sikkerhet og personvern.
• Databehandleravtale: standard-DPA (lenket over) inngås med alle kunder som behandler personopplysninger via tjenesten.
• Rettigheter: se våre personvernregler.

EU AI Act

BlixAI tilbyr inferens av generelle AI-modeller (Qwen, DeepSeek, GLM) og er å anse som utplasseringsleverandør (deployer) av disse. BlixAI er ikke utvikler av modellene.

• Transparens (art. 13): denne dokumentasjonen — inkludert modellkort, egenskaper og begrensninger — utgjør bruksanvisningen for tjenesten.
• Modellinformasjon: se modellkatalogen med kontekstlengder, resonneringsatferd og veiledning.
• Deres plikter som kunde: hvis dere bygger chatboter eller andre interaktive systemer på BlixAI, plikter dere (art. 50) å informere sluttbrukere om at de interagerer med AI.
• Forbudte anvendelser: tjenesten må ikke brukes til sosial scoring, biometrisk kategorisering eller andre forbudte formål etter art. 5.
• Merk: kunder som bestiller egne finjusterte modeller (Enterprise) bør vurdere sin egen rolle som tilbyder av AI-system.

Digitalsikkerhetsloven (NIS)

I Norge er det digitalsikkerhetsloven — som gjennomfører NIS-direktivet — som er gjeldende lov (trådte i kraft 1. januar 2026, og avløste den tidligere cybersikkerhetsloven). NIS2 er vedtatt i EU, men er ennå ikke lovfestet i Norge; en egen norsk lov er på vei, og vi følger lovarbeidet.

• BlixAI er en del av Blix-konsernet, som forvalter sikkerheten etter konsernets ISO 27001-sertifisering. Datasentrene er i Norge.
• Sårbarhetshåndtering: sikkerhetsrapporter mottas via security@blixai.com (se security.txt).
• Hendelsesvarsling: personopplysningsbrudd varsles berørte kunder uten ugrunnlig opphold, og til Datatilsynet innen 72 timer.
• NIS2-beredskap: vi bygger allerede mot kommende NIS2-krav (MFA på administrative flater, leverandørkjedesikkerhet, hendelsesprosesser), slik at vi er klare når den norske loven treder i kraft.
• Kunder med krav til leverandørbevis kan be om vår sikkerhetsdokumentasjon.

DORA (finans)

DORA gjelder finansforetak — ikke BlixAI direkte. Men som leverandør til finanssektoren tilbyr vi:

• MSA/DPA med støtte for DORA art. 30-kontraktskrav (varsling, revisjonsrett, exit).
• Norsk dataopphold og dokumentert leverandørkjede (konsern-eide datasentre).
• Avtalefestede varslingstider for ICT-hendelser.

Sikkerhetsloven

• BlixAI er bygget for leveranser til aktører med sikkerhetskritiske samfunnsfunksjoner: norsk dataopphold, konsern-eid infrastruktur, ISO 27001-sertifiserte datasentre.
• Klassifisert informasjon (SBU) krever egne avtaleverk og soner — tas i dialog med kunden.
• Vi følger NSMs grunnprinsipper for IKT-sikkerhet.

Bærekraft og CSRD

CSRD (direktivet om bærekraftsrapportering) er gjennomført i norsk lov gjennom regnskapsloven §§ 1-2a og 2-3, med trinnvis innføring fra og med regnskapsåret 2024. Rapporteringspliktige foretak skal rapportere etter de europeiske ESRS-standardene, som er forskriftsfestet i Norge.

• Gjeldende virkeområde: store foretak etter regnskapsloven § 1-5, og små/mellomstore foretak med verdipapirer notert på regulert marked i EØS (i Norge: Oslo Børs og Euronext Expand). Foretak av allmenn interesse med over 500 årsverk rapporterer allerede fra regnskapsåret 2024; andre store foretak fra regnskapsåret 2027 og noterte SMB fra regnskapsåret 2028 (etter «stopp-klokken»-utsettelsen).
• Reglene er under endring — ikke avklart for 2027+: EUs Omnibus I-direktiv ((EU) 2026/470) trådte i kraft 18. mars 2026. Finansdepartementet har fremmet Prop. 106 L (2025–2026), som foreslår at kravene fra regnskapsåret 2027 kun skal gjelde foretak med både salgsinntekter over 5 mrd. kroner og over 1 000 årsverk, og at noterte SMB-er ikke får rapporteringsplikt. Forslaget er ikke vedtatt av Stortinget ennå — virkeområdet fra 2027 er dermed ikke endelig avklart.
• BlixAI: vi er unotert og omfattes ikke selv av rapporteringsplikten. Kunder med bærekraftsrapporteringsplikt (CSRD/ESRS) kan hente leverandørdata fra vår bærekraftsprofil: norsk vannkraft, kjølig norsk klima, eksisterende fasiliteter, kvantiserte modeller og sirkulær maskinvare — forankret i Blix-konsernets ESG-policy.
• Verdikjede og frivillig rapportering: etterspørsel fra rapporteringspliktige kunder besvares gjerne etter EFRAGs VSME-standard for unoterte SMB-er (finnes i norsk oversettelse fra Finansdepartementet).

Kilde: Finansdepartementets temaside om bærekraftsrapportering (regjeringen.no, sist oppdatert 31. august 2026).

EU Data Act

Data Act (i kraft september 2025) gjelder direkte for BlixAI som databehandlingstjeneste:

• Byttbarhet og exit: kunder har rett til uttrekk av sine data og assistanse ved leverandørbytte, uten vesentlig ekstra kostnad.
• Kontraktsvilkår: våre MSA-vilkår skal ikke hindre byttbarhet — ta kontakt ved behov for Data Act-tilpasset tillegg.
• Uttrekk: API-et er standardbasert (OpenAI-kompatibelt), som i seg selv senker byttekostnad — se migreringsveiledningen.

Universell utforming (UU)

Offentlige kunder må stille krav til universell utforming etter WCAG 2.1 AA — også mot leverandørgrensesnitt. BlixAIs nettsted og dokumentasjon er bygget for WCAG 2.1 AA:

• Kontrast 4.5:1/7:1, tastaturnavigering, ARIA-merking, semantiske headinger og landmarks.
• UU-erklæring kan utarbeides på forespørsel til offentlige anskaffelser.

ISO og SOC 2

• ISO 27001: datasentrene og driften forvaltes innenfor Blix-konsernets ISO 27001-sertifisering (Nemko-attestert).
• ISO/IEC 42001 (AI-ledelsessystem) og SOC 2-rapportering: på veikartet som svar på kundeforespørsler i anskaffelser — ta kontakt for status og plan.

Medlemskap og samarbeid

BlixAI er en tjeneste fra Blix AI AS, og en del av Blix-konsernet. Blix Solutions AS, som eier Blix AI AS, er medlem av:

Tilsyn og regulering

I tillegg til medlemskapene ovenfor er Blix Solutions AS regulert under ekomloven mv., med Nasjonal Kommunikasjonsmyndighet (NKOM) som tilsynsmyndighet for datasenternæringen. NKOM fører tilsyn med sikkerhet og beredskap i datasentre etter ekomloven og forskrift om datasenter.

Forskning og utvikling (FoU)

Blix Solutions AS, som eier Blix AI AS, har gjennom SkatteFUNN-ordningen fått godkjent et FoU-prosjekt av Norges forskningsråd: «Adaptiv produksjonsprosess for flerbruker AI-inferens på heterogen GPU-infrastruktur».

SkatteFUNN er en rettighetsbasert skattefradragsordning der Norges forskningsråd godkjenner at et prosjekt kvalifiserer som forskning og utvikling (skatteloven § 16-40). Godkjenningen er en uavhengig bekreftelse på at arbeidet innebærer ny kunnskap og nye produksjonsprosesser — ikke rutinemessig produktutvikling.

Andre rammeverk

• Bokføringsloven: EHF-fakturering med lovpliktig regnskapsarkivering internt.
• Opphavsrett (DSM art. 4): BlixAI trener ikke på kundedata. Kunder som selv trener eller finjusterer, er ansvarlige for å respektere tekst- og datamining-unntakene og opphavsrett.
• Cyber Resilience Act: retter seg mot produkter med digitale elementer; en ren API-tjeneste ventes utenfor — vi følger utviklingen.