EUs AI-merking starter 2. august – dette kan treffe norske bedrifter

EUs nye merkekrav for AI begynner å gjelde 2. august 2026, men det betyr ikke at alle må stemple alt de lager med AI. Reglene skiller mellom selskapet som leverer AI-systemet, virksomheten som bruker det, og innhold som faktisk har vært gjennom en ordentlig menneskelig redaksjon.

Hvis du driver en norsk virksomhet, publiserer innhold eller bruker en chatbot mot kunder, er datoen likevel verdt å merke seg. Systemer som tilbys i EU, tas i bruk der eller produserer resultater som brukes der, kan omfattes selv om leverandøren holder til utenfor EU. Samtidig er det lite som tyder på at reglene får direkte virkning i Norge allerede 2. august.

Den viktigste ryddejobben er derfor å skille mellom tre ting som fort blandes sammen: maskinlesbar merking i selve AI-systemet, synlig informasjon til mennesker og frivillige retningslinjer for å dokumentere etterlevelse. EU har klart å gjøre «fortell folk at dette er laget av AI» til en ganske voksen bunke dokumenter. Overrasket? Neppe.

Hva skjer 2. august 2026?

Fra 2. august begynner åpenhetskravene i artikkel 50 i EUs AI Act å gjelde. De omfatter blant annet chatboter, AI-generert eller manipulert lyd, bilder, video og tekst, deepfakes, følelsesgjenkjenning og biometrisk kategorisering. EU-kommisjonen publiserte de endelige retningslinjene 20. juli 2026, bare 13 dager før startdatoen.

Den korte fristen er ikke den eneste grunnen til at saken har skapt forvirring. Computerworld beskriver hvordan virksomheter må følge innholdet gjennom hele kjeden, fra generering og redigering til publisering. Et merke som forsvinner ved komprimering, beskjæring eller eksport, hjelper tross alt lite i en kontroll.

Men «AI-merking» er en litt for enkel overskrift. Kommisjonens spørsmål og svar om artikkel 50 deler ansvaret mellom tilbydere og profesjonelle brukere av AI-systemer. Hvem du er i kjeden, avgjør hva du faktisk skal gjøre.

Hvem må merke hva?

Tilbydere må bygge generative AI-systemer slik at syntetisk eller manipulert tekst, lyd, bilder og video kan identifiseres i et maskinlesbart format. De må også sørge for at mennesker får vite når de snakker direkte med et AI-system, med mindre det er åpenbart ut fra situasjonen.

Dette er først og fremst et ansvar for dem som utvikler et system, får det utviklet og tilbyr det under eget navn. En leverandør av en bilde-, video- eller tekstmodell skal altså ikke bare be sluttbrukeren skrive «laget med AI» i en bildetekst. Systemet skal så langt det er teknisk mulig legge inn et robust og påviselig signal i resultatet.

Profesjonelle brukere, som EU kaller «deployers», har andre plikter. De må blant annet opplyse når mennesker utsettes for følelsesgjenkjenning eller biometrisk kategorisering. De må også merke deepfakes og visse AI-genererte tekster om saker av offentlig interesse. Reglene er laget for profesjonell bruk under en virksomhets ansvar, ikke for å gi hver privatperson med en meme-generator sin egen compliance-avdeling.

Plikten kan også treffe aktører utenfor EU. Kommisjonen sier at tilbydere utenfor unionen omfattes når resultatet fra AI-systemet brukes i EU. For en norsk bedrift med kunder, publikum eller tjenester i EU er det derfor for lettvint å tenke at EØS-prosessen gir full fribillett.

Må all AI-generert tekst merkes?

Nei. Synlig merking av tekst gjelder når en profesjonell bruker publiserer AI-generert eller AI-manipulert tekst for å informere offentligheten om saker av offentlig interesse. Kravet gjelder ikke dersom teksten har vært gjennom reell menneskelig gjennomgang eller redaksjonell kontroll, og en person eller virksomhet tar redaksjonelt ansvar for publiseringen.

Det unntaket er viktig, men det er ikke en pyntesløyfe du kan knytte rundt en automatisk tekst. Kommisjonens nye retningslinjer forklarer at menneskelig gjennomgang må være en bevisst vurdering av selve innholdet, utført av noen med relevant kunnskap og faglig skjønn. Redaksjonell kontroll betyr reell myndighet til å godkjenne, endre eller avvise teksten.

En stavekontroll, grammatikkrunde eller et raskt blikk på formatet er ikke nok. Det betyr at en virksomhet som automatisk massepubliserer AI-tekster om samfunnsspørsmål, ikke kan kalle en siste korrektur for redaksjonell kontroll og gå videre som før. Noen må faktisk kontrollere påstander, kilder og substans – og stå ansvarlig for resultatet.

For vanlige bedriftsartikler, produkttekster og intern kommunikasjon blir vurderingen mer konkret. Reglene retter seg ikke mot enhver setning som har fått hjelp av et AI-verktøy. Formål, publikum, tema og graden av menneskelig kontroll betyr noe. Det er nettopp derfor virksomheter bør dokumentere arbeidsflyten i stedet for å stole på en generell merkelapp nederst på nettsiden.

Hva gjelder for bilder, video og deepfakes?

Tilbydere av generative AI-systemer skal sørge for maskinlesbar merking av generert eller manipulert lyd, bilder, video og tekst. Når en virksomhet bruker et system til å lage eller endre en deepfake, kommer i tillegg plikten til å opplyse tydelig om at innholdet er kunstig generert eller manipulert.

EU bruker «deepfake» om AI-generert eller manipulert bilde-, lyd- eller videoinnhold som ligner virkelige personer, gjenstander, steder eller hendelser og feilaktig kan framstå som ekte. Det er altså ikke bare falske videoer av politikere. En realistisk stemmekopi, et konstruert hendelsesforløp eller et manipulert bilde kan falle inn under samme regel.

Kunstneriske, kreative, satiriske og fiktive verk har en tilpasning. Opplysningen skal gis på en måte som ikke ødelegger visningen eller opplevelsen av verket. Det er en mer fornuftig nyanse enn et digert advarselsskilt over hver filmsekvens, men virksomheten må fortsatt kunne forklare hvordan den har oppfylt plikten.

Problemet ligger i gjennomføringen. Metadata kan fjernes. Video blir klippet om, bilder blir komprimert, og innhold flyttes mellom plattformer som behandler filer forskjellig. Derfor handler etterlevelse om mer enn å aktivere én eksportinnstilling. Virksomheten må teste om signalet overlever den faktiske publiseringskjeden.

EU-kommisjonen omtaler også en foreslått, begrenset overgangsfrist til 2. desember 2026 for generative AI-systemer som allerede var på markedet før 2. august. Per 23. juli er dette en del av AI Omnibus-forslaget, ikke en generell utsettelse av artikkel 50. Hvis ordningen blir vedtatt, gjelder den bare leverandørens plikt til maskinlesbar merking og påvisning. Innhold som allerede var generert og publisert før 2. august, trenger heller ikke merkes med tilbakevirkende kraft.

Er EUs Code of Practice obligatorisk?

Nei. EUs Code of Practice for merking av AI-generert innhold er frivillig. Den gir tilbydere og profesjonelle brukere en felles oppskrift for å dokumentere at de følger kravene i artikkel 50, men det er loven – ikke signaturen på kodeksen – som skaper pliktene.

Kommisjonen og AI Board vurderte kodeksen som egnet 8. og 9. juli 2026. Kommisjonen understreker samtidig at en signatur ikke er et endelig bevis på etterlevelse. Den gjør veien mer forutsigbar, men fritar ingen fra å gjennomføre det som står der.

Virksomheter som ikke signerer, kan velge andre metoder. Da må de selv vise at løsningene er like gode, og de kan måtte svare på flere spørsmål fra tilsynsmyndighetene. Det frivillige alternativet får dermed den velkjente byråkratiske formen: Du står fritt til å velge, men den andre døren kommer med mer papirarbeid.

Det er også verdt å merke seg tempoet. Den endelige kodeksen kom 10. juni, vurderingen av den kom i juli, og de endelige retningslinjene kom 20. juli. Store selskaper har jurister, standardiseringsfolk og egne team for dette. En liten europeisk aktør får de samme 24 timene i døgnet, bare uten etasjen full av rådgivere. Hvem som tåler slike løp best, er ikke akkurat et mysterium.

Gjelder merkekravene i Norge fra 2. august?

Ikke direkte, slik status er 23. juli 2026. AI Act er vurdert som EØS-relevant, men tidspunktet for innlemmelse i EØS-avtalen og norsk rett er fortsatt uklart. Stortingets EU/EØS-informasjon vurderte i juni at det var lite sannsynlig at merkekravene skulle få direkte betydning i Norge fra EUs startdato.

Stortingets gjennomgang av den norske EØS-statusen er en viktig korreksjon til overskrifter som får det til å høres ut som om alle norske skapere får et nytt direkte lovkrav samme søndag. Norge har varslet at forordningen skal innføres, men den er ikke automatisk norsk lov bare fordi kalenderen viser 2. august i EU.

Det betyr likevel ikke at norske virksomheter kan ignorere saken. En norsk leverandør som tilbyr et AI-system i EU, setter det i drift der eller leverer resultater som brukes der, kan møte EU-kravene gjennom den aktiviteten. Bedrifter med europeiske kunder bør derfor avklare både rollen sin og hvor systemet faktisk brukes.

Dette er et godt eksempel på hvorfor et rent nasjonalt ja-eller-nei blir for grovt. En lokal virksomhet som bare opererer i Norge står annerledes enn en norsk programvareleverandør med kunder i Tyskland og Frankrike. Geografi, kontrakter, distribusjon og hvem som setter navnet sitt på systemet kan være viktigere enn organisasjonsnummeret.

Hva bør en liten virksomhet gjøre nå?

Start med en enkel oversikt over AI-systemene som møter mennesker eller lager innhold. Noter hvem som leverer systemet, om virksomheten selv opptrer som tilbyder eller profesjonell bruker, hvor resultatene publiseres, og om noen faktisk har ansvar for å kontrollere dem.

Deretter bør du teste arbeidsflyten, ikke bare verktøyet. Finn ut om en chatbot opplyser om at den er AI ved første kontakt. Kontroller om maskinlesbare signaler følger med etter eksport, komprimering og publisering. For tekst om samfunnsspørsmål bør det være tydelig hvem som kan stoppe publisering, hvilke kilder som kontrolleres og hvem som tar redaksjonelt ansvar.

Dokumentasjon trenger ikke begynne som et monsterprosjekt. En systemliste, en navngitt ansvarlig, lagrede testresultater og en kort beskrivelse av publiseringskjeden er bedre enn en policy ingen bruker. Hvis virksomheten retter seg mot EU og er usikker på rollen sin, bør den få en konkret juridisk vurdering av akkurat den tjenesten. Denne artikkelen er en forklaring av reglene, ikke juridisk rådgivning.

Kommisjonen opplyser at bøtene kan nå 15 millioner euro, rundt 166 millioner kroner med eurokursen i juli 2026, eller 3 prosent av foregående års globale omsetning. Det gjør saken alvorlig. Samtidig er den beste responsen ikke å merke absolutt alt og håpe på det beste. Poenget er å vite hvor innholdet kommer fra, hvem som har kontrollert det, og hvem som har ansvaret når det publiseres.

Merkekrav løser ikke tillit alene

Det er lett å forstå ønsket om å gjøre manipulasjon og automatiserte samtaler synlige. Men en etikett gjør ikke innhold sant, og fravær av etikett gjør ikke menneskeskapt innhold troverdig. Et maskinlesbart signal kan dessuten forsvinne, mens en aktør som ønsker å lure folk neppe blir moralsk oppgradert av enda et skjema.

Jeg har tidligere skrevet om hvordan Indonesia gikk fra Grok-forbud til en betinget gjenåpning. Det er en annen sak, men lærdommen ligner: Et statlig grep ser enkelt ut i overskriften og blir langt mer rotete når teknologien, plattformene og landegrensene møter virkeligheten.

For virksomheter er den nyttige delen av EUs krav derfor ikke selve ikonet. Den nyttige delen er presset til å vite hvilke systemer som brukes, hvor innholdet går, og hvem som faktisk tar ansvar. Resten kan fort ende som en ny byråkratisk rad i en database ingen leser.

2. august er altså en reell frist i EU, men ikke en universell merkedag for alt AI-innhold i Norge. Tilbydere må bygge inn informasjon og maskinlesbare signaler. Profesjonelle brukere må merke bestemte typer bruk og innhold. Tekst med ordentlig menneskelig gjennomgang og redaksjonelt ansvar står i en annen stilling. Det er den forskjellen som betyr noe når overskriftene har lagt seg.

Ofte stilte spørsmål