Konsekvenser for norske virksomheter 

Regjeringen har varslet en ny høring av KI-loven etter endringene i EUs regelverk (Digital Omnibus on AI). Målet er å fremme lovforslag for Stortinget våren 2027. KI-forordningen er foreløpig ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Artikkel 50 gjelder derfor foreløpig ikke generelt i Norge. Norske virksomheter kan likevel bli omfattet av de nye kravene til merking dersom de tilbyr KI-systemer i EU, eller dersom resultatet fra et KI-system brukes i EU. 

Det at KI-forordningens artikkel 50 ennå ikke gjelder i Norge, betyr ikke at KI-generert innhold er uregulert etter norsk rett. Personvernregelverket, straffeloven, markedsføringsloven og annet teknologinøytralt regelverk gjelder også når KI utvikles og brukes. 

Selv om artikkel 50 gjelder fra 2. august 2026 i EU, finnes det en begrenset overgangsperiode for generative KI-systemer som ble brakt i omsetning i EU før denne datoen. Leverandørkravet om maskinlesbar merking og deteksjon (artikkel 50 nr. 2) skal for disse eksisterende KI-systemene være oppfylt fra 2. desember 2026. Deepfakes-innhold som ble generert før 2. august 2026, trenger ikke merkes med tilbakevirkende kraft. 

Ikke generelt merkings-krav for all KI-bruk 

Reglene innebærer ikke at ethvert produkt, dokument eller innlegg som er laget med bistand fra KI, automatisk må merkes. Det avgjørende er hvilken type KI-system det er tale om, hvilken rolle virksomheten har, hva systemet gjør, og hvordan resultatet brukes. Kravene til åpenhet kan også gjelde for KI-systemer som samtidig er klassifisert som høyrisiko, og kommer da i tillegg til de andre kravene i KI-forordningen. 

KI-forordningen skiller særlig mellom leverandøren av systemet og idriftsetteren, det vil si virksomheten som bruker systemet under sin myndighet. 

Les mer om aktørene i KI-forordningen her.

Når mennesker samhandler direkte med KI 

Leverandører av KI-systemer som er utviklet for å samhandle direkte med mennesker, skal sørge for at brukeren blir informert om at vedkommende kommuniserer med et KI-system. Dette gjelder ofte kundeservice-chatboter og KI-agenter som fører en reell, direkte dialog med brukeren. 

Informasjonen skal gis tydelig, og senest ved den første interaksjonen, og må oppfylle visse tilgjengelighetskrav. Særskilt informasjon er ikke nødvendig dersom det er åpenbart for en velinformert og oppmerksom person at vedkommende samhandler med KI. Kommisjonens retningslinjer legger opp til at dette unntaket skal tolkes restriktivt. 

Maskinlesbar merking og deteksjon av KI-generert innhold 

Leverandører av KI-systemer, inkludert KI-systemer for allmenne formål (f.eks. ChatGPT og Claude), som genererer syntetisk tekst, lyd, bilde eller video, skal sørge for at resultatene merkes i et maskinlesbart format og kan oppdages som KI-genererte eller KI-manipulerte. Løsningene skal være effektive, interoperable, robuste og pålitelige. Det skal blant annet tas hensyn til innholdstypen, kostnader, tekniske begrensninger og den teknologiske utviklingen. 

Dette er først og fremst et krav til hvordan KI-systemet utformes og utvikles. Den maskinlesbare merkingen kan bestå av teknisk informasjon som er bygget inn i eller følger innholdet. Merkingen er ikke nødvendigvis synlig for den som møter innholdet. 

Kravet gjelder ikke når KI-systemet bare utfører standard redigering, eller når det ikke i vesentlig grad endrer brukerens inndata eller meningsinnholdet. Ren stavekontroll, enkel språkvask eller teknisk formatering vil normalt stå i en annen stilling enn et KI-system som skaper nytt innhold. Retningslinjene avgrenser også blant annet kildekode og innhold som utelukkende behandles maskin-til-maskin uten menneskelig eksponering. 

Følelsesgjenkjenning og biometrisk kategorisering 

Idriftsettere av systemer for følelsesgjenkjenning eller biometrisk kategorisering skal informere personer som blir utsatt for KI-systemet om at det er i bruk. Plikten gjelder både ved analyse i sanntid og når opptak eller andre data analyseres i etterkant. 

Et eksempel kan være et kamera som forsøker å utlede om personer er glade, frustrerte eller stresset, eller et system som kategoriserer personer på grunnlag av biometriske opplysninger. Bruken må også være forenlig med personvern-regelverket og øvrige relevante regler. 

Synlig merking av dypforfalskninger og visse tekster 

Idriftsettere som genererer eller manipulerer bilde-, lyd- eller videoinnhold som utgjør en dypforfalskning («deepfakes»), skal opplyse om at innholdet er kunstig generert eller manipulert. En dypforfalskning er innhold som ligner personer, objekter, steder, enheter eller hendelser som eksisterer eller plausibelt kan eksistere, og som feilaktig kan fremstå som autentisk eller ekte. 

Opplysningen skal være forståelig og merkbar for publikum, for eksempel gjennom synlig eller hørbar merking. Selv om leverandøren av KI-systemet har lagt inn maskinlesbar informasjon i filen, har idriftsetteren en egen forpliktelse om synlig merking av dypforfalskninger som kommer i tillegg. 

Kunstneriske, kreative, satiriske, fiktive eller tilsvarende verk må kun ha en egnet opplysning som ikke unødig hindrer opplevelsen av kunsten eller verket. 

Idriftsettere skal også opplyse når KI-generert eller KI-manipulert tekst publiseres med formål om å informere allmennheten om saker av allmenn interesse. Dette kan blant annet omfatte politikk, offentlig forvaltning, rettspleie, grunnleggende rettigheter, sikkerhet, helse, miljø og økonomiske, vitenskapelige eller kulturelle spørsmål som er gjenstand for offentlig debatt. 

Merkekravet gjelder ikke dersom teksten har vært gjenstand for reell menneskelig gjennomgang eller redaksjonell kontroll, der en fysisk eller juridisk person har det redaksjonelle ansvaret for publiseringen. En overfladisk gjennomgang av det dypforfalskede innholdet, som for eksempel kontroll av rettskriving eller grammatikk, er ikke tilstrekkelig. Gjennomgangen må omfatte innholdets substans og utføres av noen med relevant kunnskap og faglig skjønn. 

Felles for informasjonspliktene er at opplysningene skal gis klart og atskilt, senest ved den første interaksjonen eller eksponeringen, og i samsvar med relevante tilgjengelighetskrav. Artikkel 50 inneholder også avgrensede unntak for enkelte KI-systemer som brukes av myndighetene til kriminalitetsbekjempelse. 

Retningslinjer (guidelines) og regler for god praksis (code of practice) 

Europakommisjonen utarbeider retningslinjer (guidelines) for å gi virksomheter og myndigheter praktisk veiledning om hvordan EUs regelverk bør tolkes og etterleves. Retningslinjene forklarer hvordan artikkel 50 skal forstås og anvendes. De klargjør blant annet hvilke KI-systemer og hva slags innhold som omfattes, hvordan unntakene skal forstås, og når og på hvilken måte informasjon skal gis. 

Les mer om retningslinjene her (ekstern lenke). 

Regler for god praksis (code of practice) er et frivillig veiledningsdokument som beskriver anbefalte tiltak for hvordan virksomheter kan etterleve et regelverk. For artikkel 50 gjelder det i hovedsak kravene til maskinlesbar merking og deteksjon etter artikkel 50 nr. 2, synlig merking etter nr. 4 og de felles kravene til tydelighet, tidspunkt og tilgjengelighet i nr. 5. Reglene for god praksis omfatter ikke plikten til å opplyse om direkte samhandling med KI etter nr. 1 eller bruken av følelsesgjenkjenning og biometrisk kategorisering etter nr. 3. 

Dokumentet har én del for leverandører og én for idriftsettere, og beskriver praktiske tiltak for teknisk merking og deteksjon, samt utforming og plassering av etiketter, forbehold og symboler. EU har også utviklet ikoner for merking av KI-generert innhold. Dokumentet erstatter ikke KI-forordningen eller Kommisjonens retningslinjer, og innfører ikke nye rettslige plikter. 

Les mer om Code of Practice her (ekstern lenke).

Det er frivillig for aktører og virksomheter å slutte seg til reglene for god praksis, men kravene i artikkel 50 er uansett bindende for alle virksomheter. En virksomhet som følger veiledningen i code of practice kan støtte seg på denne når etterlevelsen skal dokumenteres. Signeringen er likevel ikke et endelig bevis, det er den faktiske gjennomføringen som er avgjørende. 

Flere fremtredende KI-selskaper har forpliktet seg til å følge praksisreglene: Aleph Alpha, Anthropic, Black Forest Labs, Cohere, Google, Meta, Microsoft, Mistral og OpenAI. 

Les mer om det her (ekstern lenke) 

Mer info på EU-kommisjonens nettsider 

På EU-Kommisjonens nettsider er det blant annet publisert en kortfattet faktaside om åpenhetsforpliktelsene i artikkel 50: Quick Facts: Transparency rules for AI systems | Shaping Europe’s digital future