EUs krav til AI-merking gjelder nå – men ikke alt skal merkes

EUs krav til AI-merking gjelder fra 2. august 2026, men det betyr ikke at alt som er laget med AI skal få et synlig stempel. Chatboter skal fortelle at de er AI, deepfakes skal merkes, og leverandører må bygge inn maskinlesbare spor i syntetisk innhold. Samtidig finnes det unntak som gjør reglene langt mindre enkle enn overskriften antyder.

For vanlige brukere er målet lett å forstå: Du skal vite når du snakker med en maskin, og når et realistisk bilde, lydklipp eller video er kunstig laget eller manipulert. For bedrifter er spørsmålet vanskeligere. Det avgjørende er både hvem som leverer AI-systemet, hvem som bruker det profesjonelt, hva slags innhold som publiseres og om et menneske faktisk har redaktøransvaret.

Det er også her den obligatoriske etiketten begynner å få den velkjente smaken av EU-regelverk. De største plattformene kan fordele jobben på jurister, utviklere og egne compliance-team. En liten aktør må først finne ut hvilken rolle den har i lovteksten, og deretter dokumentere at den har tolket alt riktig. Mer åpenhet kan være nyttig. Byråkrati blir ikke automatisk nyttig bare fordi skjemaet heter «transparens».

Hva krever EU AI Act av AI-merking?

Artikkel 50 i EUs AI Act begynte å gjelde 2. august 2026. Den pålegger leverandører å varsle ved direkte kontakt med AI og å merke syntetisk innhold maskinlesbart. Profesjonelle brukere av systemene må blant annet opplyse om deepfakes, følelsesgjenkjenning og enkelte AI-genererte tekster om saker av offentlig interesse.

Selve forordningen deler ansvaret mellom «providers» og «deployers». En provider er grovt sagt aktøren som utvikler et system eller får det utviklet og tilbyr det under eget navn. En deployer er en virksomhet eller annen profesjonell aktør som bruker systemet under egen kontroll. Et stort teknologiselskap kan være begge deler, mens en nettbutikk med en ekstern kundeservicebot typisk bare bruker en annens system.

Reglene er heller ikke begrenset til generative bilder. De omfatter direkte interaktive AI-systemer, syntetisk tekst, lyd, bilder og video, samt systemer for følelsesgjenkjenning og biometrisk kategorisering. EU-kommisjonens retningslinjer fra juli 2026 skal forklare hva som faller innenfor, hvilke unntak som gjelder og hvordan virksomhetene kan vise at de følger reglene.

Hva må AI-leverandørene gjøre?

Leverandører av systemer som kommuniserer direkte med mennesker må sørge for at brukeren får vite at det er AI på den andre siden. Varslet kan utelates når dette allerede er åpenbart for en rimelig oppmerksom og informert person. En tjeneste som heter «AI-assistent» trenger altså ikke nødvendigvis avbryte hver samtale med enda en melding om det samme.

Den formuleringen høres fornuftig ut, men «åpenbart» er et bevegelig mål. En tekstboks med robotikon er én ting. En stemmeagent som ringer på vegne av en bedrift og svarer naturlig på oppfølgingsspørsmål, er noe annet. Der bør opplysningen komme senest ved den første kontakten, på en tydelig og tilgjengelig måte.

Leverandører av systemer som lager syntetisk tekst, lyd, bilder eller video må i tillegg gjøre innholdet maskinlesbart og mulig å oppdage som AI-generert eller manipulert. Loven krever løsninger som er effektive, kompatible, robuste og pålitelige så langt det er teknisk mulig. Den tar samtidig hensyn til kostnader, tekniske begrensninger og hva som regnes som etablert teknologi.

Det siste er viktig. En maskinlesbar markør er ikke det samme som en synlig etikett under hvert bilde. Den kan ligge i metadata eller i en annen teknisk mekanisme som plattformer og kontrollverktøy kan lese. Vanlig redigering og hjelp som ikke endrer innholdet eller meningen vesentlig, er dessuten unntatt fra dette kravet.

Når må AI-innhold merkes synlig?

Deepfakes i bilde, lyd og video skal opplyses som kunstig generert eller manipulert når de er laget for å ligne ekte personer, gjenstander, steder eller hendelser. Det er aktøren som publiserer eller bruker materialet profesjonelt som har denne opplysningsplikten, ikke bare selskapet som leverte modellen.

Kunst, satire, fiksjon og andre tydelig kreative arbeider får et mildere krav. Opplysningen skal fortsatt finnes, men den kan gis på en måte som ikke ødelegger opplevelsen av verket. Det betyr for eksempel at en film ikke trenger et blinkende AI-merke over skuespillerens ansikt i hver scene. Informasjonen kan plasseres mer naturlig.

For tekst er grensen smalere enn mange vil tro. AI-generert eller AI-manipulert tekst må merkes når den publiseres for å informere offentligheten om saker av offentlig interesse. Men plikten faller bort når teksten har vært gjennom menneskelig gjennomgang eller redaksjonell kontroll, og en person eller virksomhet står ansvarlig for publiseringen.

Det er en ganske vesentlig nyanse. AI Act krever ikke en synlig «skrevet av AI»-etikett på enhver produktbeskrivelse, e-post eller bearbeidet artikkel. Regelen retter seg mot bestemte typer offentlig informasjon uten reelt menneskelig ansvar. Spørsmålet blir naturligvis hvor grundig en gjennomgang må være før den faktisk er redaksjonell kontroll, og ikke bare et menneske som trykker «publiser» etter tre sekunder.

Vil du se samme AI-merke overalt?

Nei. EU har laget egne ikoner som kan brukes på blant annet AI-generert lyd, bilder, video og tekst, men ikonene er frivillige. The Verge viser de nye merkene og sammenligner dem med løsningene hos TikTok, Instagram og Facebook. Plattformene kan fortsatt bruke egne uttrykk så lenge den lovpålagte informasjonen er tydelig.

EU har også publisert en frivillig praksiskode for maskinlesbar merking og synlige etiketter. Å følge den kan gjøre det enklere å dokumentere etterlevelse på tvers av medlemslandene. De som velger en annen løsning, må kunne vise at den er like god. Frivillig betyr dermed først og fremst at virksomheten kan velge oppskrift. Kravet om et spisbart resultat er fortsatt obligatorisk.

En felles etikett kan gjøre det enklere for brukere å forstå hva de ser. Men selve merkingen kan også forsvinne når noen tar et skjermbilde, beskjærer en video eller laster opp innholdet på nytt. Maskinlesbare spor må derfor overleve en del normal behandling dersom de skal være nyttige, og artikkel 50 innrømmer indirekte problemet ved å begrense kravet til det som er teknisk mulig.

Gjelder reglene også eldre AI-systemer?

Hovedregelen gjelder fra 2. august 2026, men eldre systemer har et avgrenset unntak. Systemer som var på markedet før denne datoen, får fram til 2. desember 2026 på å oppfylle kravet om maskinlesbar merking og gjenkjenning av syntetisk innhold etter artikkel 50(2).

Dette er ikke en generell fire måneders pause for alle transparenskrav. Plikten til å opplyse om direkte kontakt med AI, bruk av følelsesgjenkjenning, deepfakes og bestemte AI-tekster gjelder fra august. Innhold som allerede var laget og offentliggjort før 2. august, trenger derimot ikke merkes i ettertid.

Forskjellen er lett å rote bort, og den har praktisk betydning. En leverandør av en eldre bildemodell kan ha noen ekstra måneder til å bygge maskinlesbare spor inn i systemet. Det gir ikke en profesjonell aktør frikort til å publisere en ny deepfake uten opplysning i november.

Hvor store kan bøtene bli?

Brudd på transparenspliktene i artikkel 50 kan gi administrative bøter på opptil 15 millioner euro eller 3 prosent av selskapets globale årsomsetning, avhengig av hvilket beløp som er høyest. Med Norges Banks eurokurs 3. august 2026 tilsvarer 15 millioner euro omtrent 165 millioner kroner.

For små og mellomstore bedrifter skal taket i stedet være det laveste av prosentgrensen og beløpsgrensen. Myndighetene skal også vurdere blant annet hvor alvorlig og langvarig bruddet var, hvor mange som ble rammet, selskapets størrelse, om bruddet var forsettlig og hvor godt virksomheten samarbeidet om å rette det.

Nasjonale markedstilsyn får hovedansvaret for håndhevingen, mens EUs AI Office har ansvar i enkelte saker knyttet til systemer bygget på generelle AI-modeller og svært store plattformer eller søkemotorer. For en norsk virksomhet er det viktig å skille mellom at EU-regelen har EØS-relevans og at man faktisk tilbyr et system eller en tjeneste i EU-markedet. Bedrifter som retter seg mot EU-kunder bør ikke vente på at ordet «norsk» dukker opp i en pressemelding før de kartlegger rollen sin.

Hva bør en liten bedrift gjøre nå?

Start med en enkel oversikt over hvor kunder eller ansatte møter AI. Det kan være en chatbot på nettsiden, en stemmeagent, automatisk genererte videoer, ansiktsbytte i markedsføring eller et system som analyserer ansiktsuttrykk. Noter hvem som leverer teknologien, hvem som bestemmer hvordan den brukes, og hvem som godkjenner innhold før publisering.

Deretter bør du kontrollere om brukeren får tydelig beskjed ved første kontakt, om leverandøren bygger inn maskinlesbar merking, og om eventuelle deepfakes får en synlig opplysning. For offentlig informasjon laget med AI bør det også være et reelt menneske som gjennomgår innholdet og tar ansvar for det. Det er uansett en bedre rutine enn å overlate fakta og omdømme til en modell.

Varslet løser likevel ikke alt. En liten «AI»-etikett hindrer ikke at en bruker knytter seg følelsesmessig til en chatbot eller stoler på et overbevisende svar. Det ser vi også i rettssakene om AI-chatboter og alvorlig skade. Å vite at noe er AI er nyttig informasjon, men det erstatter ikke godt produktdesign, ansvarlige grenser og sunn skepsis.

Merking er ikke det samme som sannhet

Det mest sympatiske ved disse reglene er også det enkleste: Ingen bør lure på om kundebehandleren er et menneske, og en realistisk deepfake bør ikke presenteres som dokumentasjon på at noe faktisk skjedde. Det krever ikke særlig mye politisk fantasi å se verdien av tydelig informasjon.

Problemet kommer når et fornuftig prinsipp blir til et komplekst system som de største selskapene kan navigere bedre enn konkurrentene. Meta, Google og Microsoft har allerede teknologien, juristene og kontakten med myndighetene. En liten europeisk AI-leverandør må bruke tid og penger på å bevise at metadataene er robuste, kompatible og juridisk tilstrekkelige. De store går gjennom porten med et compliance-team. De små står utenfor og leser retningslinjene en gang til.

Merking kan dessuten fort bli en falsk trygghet. Ekte opptak kan klippes misvisende, og AI-generert innhold kan være korrekt. Et merke sier noe om produksjonsmåten, ikke om påstanden er sann. Hvis brukerne etter hvert lærer at «uten merke» betyr «ekte», har systemet skapt en ny snarvei som svindlere selvfølgelig vil forsøke å utnytte.

EUs nye regler gjør derfor én konkret ting: De fordeler ansvar for å opplyse når mennesker møter bestemte AI-systemer og syntetisk innhold. De løser ikke deepfakes, feilinformasjon eller grenseløse chatboter. Og de gjør definitivt ikke EU til det enkleste stedet å starte et lite AI-selskap.

For brukeren er den beste vanen fortsatt den samme: Se etter merket, men vurder innholdet. For virksomheten er beskjeden mindre elegant: Finn ut om du er leverandør, profesjonell bruker eller begge deler, dokumenter valgene dine, og ikke anta at modellen eller plattformen tar hele ansvaret. Det er omtrent så enkelt som EU klarte å gjøre det.

Ofte stilte spørsmål