Merking av KI-innhold: hva krever KI-forordningen artikkel 50?

Markedsavdelingen har laget en kampanje for kunder i Sverige og Tyskland. Hovedbildet viser et hus ved en fjord som ikke finnes, generert i et bildeverktøy. Ved siden av står en tekst om strømprisene neste vinter, skrevet av en språkmodell og sendt ut i nyhetsbrevet. Eksempelet er oppdiktet. Fra 2. august 2026 må den som publiserer slikt innhold i EU, ta stilling til om det skal merkes som KI-generert.

Saken er blitt aktuell. OpenAI kunngjorde 5. oktober 2026 at selskapet legger usynlige vannmerker i tekst fra ChatGPT og Codex for brukere i EU, og at API-kunder kan slå på det samme. Ifølge omtale i BleepingComputer bygger vannmerket på ordvalget og svekkes når teksten redigeres eller oversettes. OpenAIs egen kunngjøring har vi ikke fått kontrollert direkte.

Hva er merking av KI-innhold etter KI-forordningen?

Merking av KI-innhold er reglene i KI-forordningen art. 50 om åpenhet når kunstig intelligens lager eller endrer innhold. KI-forordningen deler pliktene i to. Leverandøren av KI-systemet skal sørge for teknisk, maskinlesbar merking. Virksomheten som bruker systemet, kalt idriftsetter, skal i bestemte tilfeller gi en synlig opplysning til dem som ser innholdet.

Etter art. 50 nr. 5 skal opplysningen være klar og tydelig, gis senest ved første samhandling eller eksponering og oppfylle kravene til universell utforming.

Er virksomheten leverandør eller idriftsetter?

De fleste markeds- og kommunikasjonsavdelinger er idriftsettere. Etter KI-forordningen art. 3 nr. 4 er idriftsetter den som bruker et KI-system under egen myndighet, i yrkessammenheng. Kjøper dere tilgang til ChatGPT, Midjourney eller Copilot, er dere idriftsetter.

Produktteam bør se nøyere etter. Leverandør er etter art. 3 nr. 3 den som utvikler et KI-system, eller får det utviklet, og tar det i bruk under eget navn eller varemerke. En virksomhet som bygger en bildegenerator eller en skriveassistent på en språkmodell fra en annen og tilbyr den til kundene under egen merkevare, kan dermed bli leverandør med plikt til maskinlesbar merking etter nr. 2. Hvor grensen går ved tynne integrasjoner, er ikke avklart i praksis.

Hva må leverandøren av KI-verktøyet gjøre?

Leverandøren skal etter art. 50 nr. 2 sørge for at tekst, bilder, lyd og video fra systemet er merket i maskinlesbart format og kan oppdages som kunstig generert eller manipulert. De tekniske løsningene skal være effektive, interoperable, robuste og pålitelige så langt det er teknisk mulig, sett opp mot innholdstypen, kostnadene og teknologien. Plikten gjelder ikke funksjoner som bare hjelper med vanlig redigering, eller som ikke endrer innholdet vesentlig. Stavekontroll og språkvask faller derfor utenfor.

Systemer som var på markedet før 2. august 2026, har fått frist til 2. desember 2026 med å innføre den maskinlesbare merkingen. Overgangsregelen kom med forordning (EU) 2026/1744, den såkalte digitale omnibusen, og er omtalt av Nkom. Vi har ikke fått kontrollert ordlyden i omnibusen direkte på EUR-Lex.

Etter art. 50 nr. 1 skal leverandøren også utforme chatboter og andre systemer som samhandler med mennesker, slik at brukeren får vite at det er en KI. Har dere en kundeservicebot på nettsiden som dere har bygget selv, er dette deres plikt.

Når må virksomheten selv merke KI-generert innhold?

Virksomheten må merke synlig i to situasjoner etter art. 50 nr. 4. Den første er deepfakes. Etter art. 3 nr. 60 er det bilde, lyd eller video generert eller manipulert av KI som ligner eksisterende personer, gjenstander, steder, enheter eller hendelser, og som feilaktig kan framstå som ekte eller sann. Definisjonen rekker lenger enn manipulerte videoer av politikere. Et fotorealistisk bilde av et produkt, en kjent bygning eller en hendelse som aldri skjedde, kan også være omfattet. Er innholdet tydelig kunstnerisk, satirisk eller fiktivt, holder det å opplyse om KI-bruken på en måte som ikke ødelegger opplevelsen.

Den andre situasjonen er tekst. Genererer eller manipulerer KI en tekst som publiseres for å informere allmennheten om saker av allmenn interesse, skal virksomheten opplyse om det. Plikten faller bort når teksten har vært gjennom menneskelig gjennomgang eller redaksjonell kontroll og noen har redaksjonelt ansvar for publiseringen. For de fleste virksomheter er dette unntaket det viktigste i hele artikkelen. Det forutsetter en reell gjennomgang, ikke et raskt blikk, se kontroll av KI-tekst.

Den usynlige merkingen er leverandørens ansvar. Den synlige merkingen er virksomhetens.

Bruker virksomheten følelsesgjenkjenning eller biometrisk kategorisering, for eksempel i en kampanje som analyserer ansiktsuttrykk, skal de berørte informeres etter art. 50 nr. 3. Personvernreglene gjelder i tillegg.

Hva sier Kommisjonens kodeks og retningslinjer?

Kommisjonen publiserte 10. juni 2026 en frivillig kodeks for åpenhet om KI-generert innhold. Den har én del for leverandørenes merking og oppdagelse og én del for idriftsetternes synlige merking av deepfakes og tekst. Kommisjonen og KI-styret har vurdert kodeksen som et egnet verktøy for å vise etterlevelse, og rundt 190 organisasjoner hadde signert ved utgangen av juli. Kommisjonen har også laget egne EU-ikoner for synlig merking.

Den 20. juli 2026 kom Kommisjonens retningslinjer om pliktene i artikkel 50. De er ikke bindende, men tilsynsmyndighetene vil bruke dem. Den som følger kodeksen og retningslinjene, står sterkt.

Gjelder kravene til merking for norske virksomheter?

Ikke som norsk rett ennå. KI-forordningen er ikke tatt inn i EØS-avtalen. Regjeringen varslet 4. august 2026 at forslaget til norsk KI-lov sendes på ny høring i høst, med sikte på å fremme loven for Stortinget våren 2027. Da vi kontrollerte 8. oktober, var den nye høringen ikke sendt ut.

Norske virksomheter med kunder i EU kan likevel være omfattet nå. Etter KI-forordningen art. 2 nr. 1 bokstav c gjelder forordningen for leverandører og idriftsettere i tredjeland når resultatet fra KI-systemet brukes i EU. En kampanje med en deepfake rettet mot svenske forbrukere er et slikt resultat. Brudd på artikkel 50 kan etter art. 99 nr. 4 gi bøter på opptil 15 millioner euro eller 3 prosent av global årsomsetning. Hvordan tilsynsmyndighetene i EU vil håndheve dette mot virksomheter uten etablering der, er ikke prøvd.

I Norge gjelder dessuten markedsføringsloven allerede. Etter markedsføringsloven § 2 tredje ledd skal reklame der en kropps fasong, størrelse eller hud er endret ved retusjering eller annen manipulering, merkes. Det omfatter etter ordlyden også KI-manipulerte bilder av mennesker. Et KI-bilde som gir forbrukerne et galt inntrykk av produktet, kan i tillegg være villedende etter markedsføringsloven § 7.

Hva bør stå i avtalen med KI-leverandøren?

Avtalen bør gjøre leverandørens plikt etter art. 50 til en kontraktsforpliktelse overfor dere, med opplysninger dere kan bruke. Standardvilkårene til de store leverandørene sier lite om dette. Ved forhandling eller innkjøp bør dere be om følgende.

1. Ta inn en garanti for at tjenesten oppfyller art. 50 nr. 1 og 2, også etter overgangsfristen 2. desember 2026.
2. Krev en beskrivelse av merkemetoden (vannmerke, metadata eller begge), hvilke innholdstyper den dekker, og om eksport eller redigering i verktøyet fjerner merkingen.
3. Avtal tilgang til et verktøy for å oppdage merkingen, eller til leverandørens bekreftelse i en konkret sak. OpenAI gjør etter det som er opplyst, detektoren tilgjengelig bare for godkjente forskere og fagorganisasjoner.
4. Krev varsel i rimelig tid før endringer i merkingen, for eksempel når vannmerking slås på for nye kontotyper eller land. Endringen kan påvirke arbeidsflyter og avtaler med kunder.
5. Avtal at leverandøren holder dere skadesløse for bøter og krav som skyldes brudd på leverandørens egne plikter, og at dette holdes utenfor ansvarstaket. Mer om det står i artikkelen om ansvarsbegrensning i SaaS-avtaler.
6. Be om logger eller annen sporbarhet som viser hvilket innhold som ble generert, når og med hvilken modell.

Er dere selv leverandør av et KI-produkt til kunder, gjelder det samme motsatt vei. Kundene vil stille disse kravene til dere. Se også pilarsiden om kontrakter.

Hva bør markeds- og kommunikasjonsavdelingen gjøre nå?

Begynn med en oversikt over hvor KI lager bilder, video, lyd og tekst som publiseres utad, og hvilke markeder innholdet når. Skill mellom innhold som er realistisk nok til å være en deepfake, og innhold som åpenbart er illustrasjon. Bestem hvem som har redaksjonelt ansvar for tekster om saker av allmenn interesse, og dokumenter at gjennomgangen faktisk skjer. Ansatte som lager innholdet, trenger opplæring i reglene, noe som også følger av kravet til KI-kompetanse. Flere artikler om regelverket finnes på pilarsiden om kunstig intelligens.

Legg til slutt inn en egen kolonne for KI-merking i publiseringsplanen, med tre valg. Ingen merking, synlig merking med EU-ikon, eller unntak fordi teksten er redigert av en navngitt person.

Spørsmål og svar

Neste faglige kontroll: 1. november 2026