¿Qué es la regulación de la IA en Noruega?
Regulación de la IA: países y regiones
La regulación de la IA en Noruega combina la legislación noruega y del EEE ya vigente con la prevista incorporación del EU AI Act a través del Acuerdo EEE y una nueva KI-lov. Como Noruega no es miembro de la UE, el AI Act no se aplica de forma automática. Hasta que se complete la incorporación, las organizaciones se apoyan principalmente en el GDPR, las normas sectoriales, las obligaciones de derecho administrativo, la contratación pública, el derecho laboral y la legislación de seguridad, mientras se preparan para el régimen basado en riesgos del AI Act, su estructura de supervisión y las obligaciones de gobernanza del sector público.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Noruega, "regulación de la IA" hace referencia al marco jurídico vinculante para desarrollar, adquirir, comercializar y utilizar sistemas de IA. Eso es más acotado que "gobernanza de la IA", que también abarca los controles internos, las normas de contratación, la documentación, la formación del personal y la responsabilidad a nivel directivo.
Noruega avanza hacia el modelo del EU AI Act, pero a través del EEE y no como Estado miembro de la UE. Esto importa porque las normas de la UE no surten efecto en Noruega de forma automática. Primero deben integrarse en el marco del EEE y luego aplicarse mediante la legislación noruega y los mecanismos de supervisión noruegos.
Eso también significa que Noruega no parte de cero. Incluso antes de que el AI Act esté plenamente en vigor en Noruega, el uso de la IA ya está condicionado por la legislación de protección de datos, la normativa sectorial, las normas de derecho administrativo, el derecho laboral, las reglas de contratación pública y las obligaciones generales en materia de seguridad, documentación y responsabilidad.
Por qué importa
Si se desarrolla, adquiere o despliega IA en Noruega, la pregunta práctica ya no es solo "¿puede funcionar técnicamente este sistema?". También es: "¿qué papel jurídico desempeñamos, qué evidencias debemos conservar, qué derechos tienen las personas afectadas y qué autoridad puede exigirnos que demostremos que el sistema se utiliza correctamente?". Esas preguntas afectan al diseño del producto, la selección de proveedores, los contratos, los controles internos, los informes al consejo de administración y el acceso al mercado en el conjunto del EEE.
Las implicaciones son aún mayores en el sector público. Los organismos y municipios noruegos no pueden tratar la IA como una herramienta administrativa ordinaria cuando afecta a derechos, obligaciones, contratación, acceso a servicios u otras decisiones importantes. Deben seguir siendo capaces de explicar qué está ocurriendo, justificar las decisiones relevantes, mantener el riesgo para la privacidad bajo control y demostrar que la supervisión humana es real. En otras palabras, la carga jurídica no recae solo sobre el desarrollador, sino también sobre el comprador y el usuario.
Cómo funciona
Noruega sigue el AI Act a través del EEE
Noruega forma parte del EEE, no de la UE. Eso significa que el EU AI Act es relevante para Noruega, pero no se aplica allí por el mero hecho de aplicarse en los Estados miembros de la UE. El acto debe incorporarse primero al Acuerdo EEE, y Noruega debe darle efecto a través de la legislación noruega. A 6 de junio de 2026, los materiales oficiales del EEE seguían mostrando el AI Act en proceso de examen para su incorporación al EEE, con la decisión del Comité Mixto aún pendiente.
Las autoridades noruegas ya han dejado claro que la vía principal será una ley noruega de IA, habitualmente denominada KI-loven, que en gran medida remite al EU AI Act y lo complementa. El papel de Noruega no es, por tanto, reescribir todo el régimen, sino conectar el marco normativo de la UE con las autoridades, sanciones y opciones procedimentales noruegas.
La vía del EEE también genera ciertos matices jurídicos. Las autoridades noruegas han señalado expresamente que la Carta de los Derechos Fundamentales de la UE no forma parte en sí misma del Acuerdo EEE, aunque se solapa en gran medida con el Convenio Europeo de Derechos Humanos en muchos ámbitos relevantes. También han indicado que algunas disposiciones del AI Act vinculadas a la justicia y la aplicación de la ley se sitúan en parte fuera del cauce ordinario del EEE y pueden requerir un tratamiento nacional separado.
La legislación noruega vigente ya cumple una función reguladora real
Un error frecuente es suponer que Noruega carece de regulación significativa sobre IA hasta que el AI Act esté formalmente en vigor allí. En la práctica, ya existen muchos controles importantes.
Cuando se utilizan datos personales, las organizaciones noruegas ya deben operar bajo las normas derivadas del GDPR. Eso significa que la privacidad desde el diseño, la minimización de datos, los controles de seguridad y la evaluación estructurada del tratamiento de alto riesgo son ya requisitos vigentes. Si es probable que un despliegue de IA genere un alto riesgo para los derechos y libertades de las personas, ya se espera una evaluación de impacto sobre la privacidad. Esto es aplicable tanto si la herramienta se desarrolla internamente como si se adquiere a un proveedor o se integra en un servicio más amplio.
Al margen de la legislación sobre privacidad, siguen aplicándose otras capas jurídicas. Los organismos públicos deben cumplir el derecho administrativo. Los empleadores deben respetar las obligaciones laborales y de información. Los sectores regulados, como la sanidad, las finanzas, las telecomunicaciones y el transporte, mantienen sus propios marcos jurídicos. Las normas de contratación pública siguen siendo relevantes cuando las administraciones adquieren herramientas de IA. Así pues, incluso donde el AI Act no ha aterrizado plenamente, el uso de la IA en Noruega ya está condicionado por un conjunto de legislación vigente.
El régimen que se avecina es tanto basado en riesgos como basado en roles
El modelo del AI Act que Noruega se prepara para adoptar no es una norma única para todas las herramientas de IA. Funciona clasificando los sistemas y las prácticas según el riesgo, y asignando obligaciones en función del papel que desempeña una organización en el ciclo de vida.
En el extremo superior se encuentran las prácticas prohibidas. A continuación vienen los sistemas de alto riesgo, donde recaen las obligaciones más exigentes. Otras normas se centran en la transparencia, por ejemplo cuando los usuarios necesitan saber que un contenido ha sido generado o manipulado por IA. El marco también cuenta con una capa separada para los modelos de IA de uso general.
El modelo también está basado en roles. Una organización puede ser proveedor, importador, distribuidor o responsable del despliegue. Esas etiquetas importan porque las obligaciones difieren. Una empresa que se considera "simplemente cliente" puede seguir teniendo una responsabilidad seria si despliega un sistema de alto riesgo en sus propias operaciones. Una administración pública no queda exenta por el mero hecho de haber adquirido la herramienta a un proveedor. En algunas situaciones, un responsable del despliegue puede incluso heredar una responsabilidad similar a la del proveedor si modifica el uso del sistema o lo sitúa en un contexto de riesgo diferente.
La supervisión se distribuye entre varios organismos
Noruega no está creando un único superregulador de IA. La estructura que se está preparando es distribuida.
Nkom está llamado a ser la autoridad coordinadora de vigilancia del mercado y punto de contacto nacional para el AI Act en Noruega. Eso le otorga un papel central de coordinación. Sin embargo, se espera que gran parte de la supervisión efectiva siga el principio sectorial que Noruega ya aplica en otros regímenes de seguridad de productos y vigilancia del mercado. Es decir, distintas autoridades sectoriales podrán supervisar diferentes usos de la IA o productos habilitados por IA dentro de sus propios ámbitos.
Esto es operativamente importante porque el AI Act está concebido más como un marco transversal de mercado y productos que como una ley tecnológica pura. Antes de que un sistema de IA relevante se comercialice o entre en servicio, el énfasis recae en cumplir los requisitos, documentar la conformidad y completar los pasos de evaluación de la conformidad exigidos. Tras la comercialización o el despliegue, las autoridades de vigilancia pueden investigar, solicitar información, exigir correcciones e imponer sanciones.
Noruega también está construyendo un aparato de gobernanza más amplio en torno a esa estructura. Nkom señala que Norsk Akkreditering asumirá el papel de acreditación nacional en el marco del modelo del AI Act, y que KI Norge en Digdir actuará como arena nacional para la IA responsable, con un papel de orientación y desarrollo de capacidades más que como principal órgano de supervisión. Datatilsynet sigue siendo muy relevante porque la legislación sobre privacidad continúa aplicándose junto al AI Act.
El uso en el sector público exige mayor transparencia y verificación de derechos
La gobernanza de la IA en el sector público noruego no se limita al rendimiento técnico. También abarca la transparencia, la justificación y la capacidad de las personas para comprender e impugnar decisiones importantes.
Las orientaciones de Digdir lo dejan claro. Si la IA se utiliza en la administración pública de formas que afectan a una persona o a la sociedad, la autoridad debe ser capaz de explicar qué se ponderó en el proceso de decisión y cómo el razonamiento condujo al resultado. Eso refleja el pensamiento jurídico-público noruego habitual: las personas deben poder aceptar una decisión o impugnarla si no están de acuerdo. En los organismos públicos, la IA debe por tanto adaptarse a las obligaciones de explicación, mantenimiento de registros y responsabilidad, y no al revés.
El AI Act añade otra capa para los organismos públicos y otros actores que prestan servicios públicos. Nkom explica que los organismos públicos que desplieguen sistemas relevantes de alto riesgo tendrán obligaciones adicionales, entre ellas una evaluación de impacto sobre los derechos fundamentales antes del primer uso, mecanismos de supervisión humana, registro de actividades, obligaciones de información hacia las personas afectadas y, en los casos pertinentes, requisitos de registro vinculados a la base de datos de la UE para sistemas de IA de alto riesgo. En los centros de trabajo, el uso de IA de alto riesgo también activa obligaciones de información hacia los trabajadores afectados y sus representantes antes del despliegue.
Por eso la gobernanza de la IA en el sector público noruego va más allá del simple cumplimiento legal. Combina disciplina en la contratación, explicabilidad, protección de derechos, controles organizativos y transparencia visible sobre dónde se utiliza la IA.
La evidencia importa tanto como la clasificación
El enfoque emergente de Noruega es intensivo en documentación por una razón. La pregunta central para reguladores, auditores, equipos de contratación y directivos será con frecuencia: "¿Qué registro tiene de que esto fue evaluado correctamente y se está utilizando dentro de su finalidad prevista?"
Eso significa que la gobernanza en la práctica se basa en evidencias. Las organizaciones necesitan inventarios del uso de IA, clasificación de roles, visibilidad de los flujos de datos, evaluaciones de privacidad, documentación de proveedores, instrucciones para la supervisión humana, normas de registro, gestión de incidentes y una titularidad interna clara. Los organismos públicos también necesitan una justificación sólida de cómo el uso de la IA encaja con la transparencia y la toma de decisiones razonada.
Las orientaciones de Digdir para el sector público reflejan esta mentalidad operativa. Sus recomendaciones sobre el uso de IA y la contratación en el sector público hacen hincapié en herramientas empresariales aprobadas frente a herramientas de consumo, la formación del personal, una implantación gradual, la claridad sobre dónde puede o no utilizarse la IA, y una mayor cautela en torno a la información sensible. El mensaje es claro: la regulación noruega avanza hacia obligaciones más formales específicas para la IA, pero ya se espera ahora una buena documentación y una gobernanza disciplinada.
Ejemplos
Un municipio quiere un asistente de redacción basado en IA generativa para su personal. Según las orientaciones de Digdir, no debería comenzar permitiendo que el personal utilice herramientas de consumo por iniciativa propia. Primero debe realizar comprobaciones jurídicas y de seguridad, dar preferencia a herramientas de nivel empresarial, formar al personal, restringir los prompts sensibles e implantar el sistema de forma gradual en lugar de abrir el acceso de golpe. Si el personal utiliza textos generados por IA de cara al exterior, el municipio también debe reflexionar detenidamente sobre cuándo debe comunicarse el uso de la IA y cómo se documenta la revisión humana.
Un organismo público quiere utilizar IA para apoyar decisiones sobre personas, por ejemplo en el acceso a un servicio, la contratación, la priorización de expedientes u otra función importante. En ese flujo de trabajo, el organismo no puede limitarse a las afirmaciones del proveedor. Debe preguntarse si el uso entra en una categoría de alto riesgo, si las personas afectadas necesitan información sobre el sistema, cómo funciona realmente la supervisión humana, si pueden seguir cumpliéndose las obligaciones de razonamiento del derecho público y si se necesita una evaluación de impacto sobre la privacidad. Si el sistema queda dentro del ámbito de aplicación como de alto riesgo una vez que el AI Act sea aplicable en Noruega, también pueden surgir obligaciones adicionales para los organismos públicos, como una evaluación de derechos fundamentales y comprobaciones de registro, antes del primer uso.
Una empresa noruega de software quiere comercializar un producto habilitado por IA en el mercado más amplio del EEE. No debería pensar únicamente como un equipo de desarrollo de software. El modelo del AI Act trata muchos sistemas relevantes más como productos regulados, con documentación previa a la comercialización, finalidad prevista declarada, evidencias relacionadas con la conformidad, seguimiento posterior a la comercialización y obligaciones de cooperación con las autoridades. La misma empresa también puede enfrentarse a obligaciones de privacidad noruegas separadas si el producto trata datos personales, incluso antes de que el régimen completo del AI Act esté en vigor en Noruega.
Malentendidos frecuentes
"Noruega está fuera de la UE, así que el EU AI Act no le afecta." Eso es incorrecto. Le afecta en gran medida, pero llega a Noruega a través de la vía del EEE y no por efecto automático de la pertenencia a la UE.
"El AI Act sustituirá al GDPR en materia de IA." No lo hará. La legislación sobre privacidad sigue aplicándose allí donde se utilizan datos personales y, en muchos casos, operará junto a las obligaciones del AI Act.
"Solo está regulada la empresa que desarrolló el modelo." No. Proveedores, importadores, distribuidores y responsables del despliegue pueden tener todos obligaciones, y las administraciones públicas no están excluidas.
"Si un sistema no es de alto riesgo, no hay normas reales." Eso es demasiado simplista. Pueden seguir aplicándose obligaciones de transparencia, y la legislación vigente sobre privacidad, empleo, contratación, protección de los consumidores, seguridad y derecho administrativo sigue siendo relevante.
"Las orientaciones de Digdir o un entorno de pruebas significan que el regulador ha aprobado la herramienta." No necesariamente. Las orientaciones ayudan a las organizaciones a interpretar y operacionalizar las normas, pero no equivalen a una autorización jurídica vinculante.
Riesgos y límites
El límite más importante es el de la situación jurídica. A 6 de junio de 2026, los materiales oficiales del EEE seguían mostrando el AI Act en proceso de examen para su incorporación al EEE. Noruega había sometido a consulta un borrador de KI-lov y había planificado públicamente su entrada en vigor para finales del verano de 2026, pero el camino definitivo de entrada en vigor seguía dependiendo de la incorporación al EEE y de los pasos jurídicos noruegos. La arquitectura es, por tanto, clara, pero las fechas de inicio definitivas en Noruega no estaban aún plenamente establecidas.
Un segundo límite es el del ámbito de aplicación. El AI Act es principalmente un marco de mercado interior y de productos. Algunas disposiciones vinculadas a la justicia y la aplicación de la ley no encajan fácilmente en la incorporación ordinaria al EEE y pueden requerir medidas noruegas separadas. Las autoridades noruegas lo han señalado abiertamente en los materiales del proyecto de ley. Por tanto, no debe asumirse que todos los artículos del EU AI Act se trasladarán a Noruega exactamente de la misma manera y al mismo tiempo.
Un tercer límite es la adecuación práctica. No todas las herramientas de IA pueden satisfacer las expectativas del derecho público en materia de explicación, mantenimiento de registros y derechos de impugnación en entornos sensibles. Si una administración pública no puede explicar de forma significativa los factores que subyacen a una decisión importante, eso puede constituir un problema de gobernanza incluso antes de que se inicie un procedimiento sancionador.
Por último, este tema no se limita a la legislación específica sobre IA. El error sería clasificar un sistema como "no de alto riesgo" y dejar de hacer preguntas. La protección de datos, las normas sectoriales, la contratación pública, el derecho laboral, la seguridad de la información y el derecho administrativo siguen siendo relevantes. Este artículo es una visión general del marco, no asesoramiento jurídico sobre un despliegue concreto.
Qué hacer a continuación
Comience con un inventario de todos los sistemas de IA que desarrolla, adquiere, integra o permite utilizar al personal. A continuación, asigne roles, no solo nombres de herramientas: proveedor, responsable del despliegue, importador, distribuidor, administración pública, proveedor de servicios. Identifique desde el principio los usos en empleo, servicios públicos, educación, sanidad, crédito, seguros, biometría y otros ámbitos sensibles.
A continuación, elabore un paquete de evaluación práctico que combine la revisión de contratación, la revisión de privacidad, la revisión de seguridad, la explicabilidad, la supervisión humana, el registro de actividades y la gestión de incidentes. Solicite ahora a los proveedores la finalidad prevista, los límites de despliegue, la documentación, las condiciones de uso de datos y las evidencias de cómo está previsto que funcione la supervisión. Si pertenece al sector público, compruebe si podría explicar una decisión impugnada a una persona afectada antes de que el sistema entre en funcionamiento. Y no espere al último paso formal de entrada en vigor en Noruega para reforzar la gobernanza. La mayor parte del trabajo de preparación ya es útil bajo la legislación aplicable hoy.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Se aplica ya directamente el EU AI Act en Noruega?
No. Noruega debe incorporarlo primero al Acuerdo EEE y luego hacerlo entrar en vigor mediante la legislación noruega y los mecanismos de supervisión noruegos.
¿Está creando Noruega un régimen de IA completamente diferente al de la UE?
No. El enfoque declarado de Noruega es construir en torno al EU AI Act, principalmente a través de una KI-lov noruega que complementa el texto de la UE con las normas de autoridad, ejecución y procedimiento noruegas.
¿Qué legislación se aplica hoy si el AI Act no está plenamente en vigor en Noruega?
La legislación vigente sigue aplicándose ahora, en especial la legislación de privacidad basada en el GDPR, la regulación sectorial, las normas de contratación pública, el derecho laboral, las obligaciones de seguridad de la información y, para los organismos públicos, el derecho administrativo.
¿Quién está previsto que haga cumplir las normas sobre IA en Noruega?
Nkom está llamado a ser la autoridad coordinadora de vigilancia del mercado y punto de contacto nacional. Se espera que las autoridades sectoriales mantengan importantes funciones de supervisión en sus propios ámbitos, mientras que Datatilsynet sigue siendo central en todos los casos en que se traten datos personales.
¿Están los organismos públicos sujetos a expectativas más estrictas que las empresas privadas?
En muchos casos importantes, sí. Los organismos públicos deben seguir cumpliendo las obligaciones de transparencia y razonamiento, y bajo el modelo del AI Act también pueden enfrentarse a obligaciones adicionales como la evaluación de derechos fundamentales y las comprobaciones de registro para despliegues relevantes de alto riesgo.
¿Se convierten todas las herramientas de IA en de alto riesgo?
No. El régimen está basado en riesgos. Algunas prácticas están prohibidas, algunos sistemas son de alto riesgo, otros tienen obligaciones de transparencia, y muchas herramientas ordinarias caen en categorías más ligeras. Pero un riesgo bajo según el AI Act no elimina otras obligaciones jurídicas.
Si solo estamos adquiriendo una herramienta de IA a un proveedor, ¿podemos dejar el cumplimiento en manos del proveedor?
No. Los compradores y responsables del despliegue siguen teniendo sus propias obligaciones. En entornos sensibles, la organización usuaria debe demostrar que existen una supervisión humana real, un uso lícito de los datos, límites claros de finalidad y una gobernanza justificable.