AI-forordningens gennemsigtighedsregler er i kraft: hvad der ændrer sig på dit website

Den 2. august 2026 blev gennemsigtighedspligterne i artikel 50 i EU's AI-forordning gældende. Modsat højrisikobestemmelserne, som blev udskudt, kom denne del til tiden.

Den angår langt flere virksomheder, end udtrykket «AI-regulering» antyder. Du behøver ikke bygge modeller. Sætter du en chatbot på supportsiden, genererer produktbeskrivelser med en sprogmodel eller bruger et AI-værktøj til at lave kampagnebilleder, er artikel 50 nu en del af din complianceflade.

Her er, hvad der gælder, hvad der ikke gør, og hvordan det ser ud som arbejde.

Den reviderede tidslinje, fordi den flyttede sig

Gennem 2026 herskede reel forvirring om, hvilke AI-frister der overlevede. Digital Omnibus om AI, foreslået 19. november 2025 og vedtaget i løbet af 2026, udskød dele af regimet. Det nuværende billede:

2. februar 2025: forbud mod uacceptable praksisser, herunder social scoring, subliminal manipulation og visse biometriske identifikationer. Allerede i kraft, uændret.
2. august 2025: pligter for udbydere af AI-modeller til almen brug. I kraft.
2. august 2026: gennemsigtighedspligterne i artikel 50. I kraft nu.
2. december 2026: forbud mod afklædningsapps, plus mærknings- og etiketteringskravene for AI-genereret indhold, med fire måneders overgang for generative systemer, der allerede var på markedet før 2. august 2026.
2. december 2027: overensstemmelsesfrist for fritstående højrisikosystemer i bilag III, udskudt fra 2. august 2026.
2. august 2028: overensstemmelsesfrist for højrisiko-AI indlejret i regulerede produkter.

Udskydelsen gælder højrisikoniveauet. Antog du, at hele forordningen skred, gik du glip af den del, der rammer almindelige produktteams hårdest.

Hvad artikel 50 kræver

Fire pligter, rettet mod forskellige situationer.

1. Fortæl folk, at de taler med en maskine

Er et AI-system beregnet til at interagere direkte med mennesker, skal det udformes, så disse mennesker informeres om, at de interagerer med AI, medmindre det er åbenlyst for en rimeligt oplyst og opmærksom person.

Dette dækker supportchatbots, taleassistenter, AI-drevne telefonsystemer og samtalebaserede salgsagenter. Pligten ligger hos udbyderen ved udformningen, men sætter du en sådan på dit website under eget mærke, er det dine brugere, der skal informeres.

Tærsklen for «åbenlyst» er lavere, end folk antager. En widget kaldet «AI-assistent» med robotikon klarer den formentlig. Et chatvindue der åbner med «Hej, jeg er Anna fra support, hvad kan jeg hjælpe med?» og aldrig siger andet, gør det ikke.

2. Mærk syntetisk indhold maskinlæsbart

Udbydere af AI-systemer, der genererer syntetisk lyd, billede, video eller tekst, skal mærke outputtet i et maskinlæsbart format, så det kan detekteres som kunstigt genereret eller manipuleret. Mærkningen skal være effektiv, interoperabel, robust og pålidelig, så vidt det er teknisk muligt.

I praksis peger dette mod content credentials og oprindelsesmetadata, hvor C2PA er den mest udviklede tilgang, og mod vandmærkning for modeller, der understøtter det. De detaljerede mærkningskrav træder i kraft 2. december 2026.

Bruger du en kommerciel modeludbyder, ligger det meste af denne pligt hos dem. Din eksponering ligger i, hvad din pipeline gør ved outputtet bagefter. At fjerne metadata under billedbehandling, omkode eller køre gennem en CDN-transformation kan slette præcis den mærkning, loven beder dig bevare. Det er en reel risiko i en almindelig assetpipeline og værd at tjekke.

3. Oplys om deepfakes og AI-tekst af offentlig interesse

Idriftsættere af systemer, der genererer eller manipulerer billede-, lyd- eller videoindhold, der udgør en deepfake, skal oplyse, at indholdet er kunstigt genereret eller manipuleret. Der findes en undtagelse for åbenlyst kunstneriske, kreative, satiriske eller fiktive værker, hvor oplysningen kan være lettere og ikke må ødelægge værket.

Særskilt skal idriftsættere, der udgiver AI-genereret eller AI-understøttet tekst om spørgsmål af offentlig interesse, oplyse om det, medmindre indholdet har gennemgået menneskelig gennemgang, og en fysisk person eller organisation har redaktionelt ansvar.

Den anden undtagelse er vigtig for marketingteams. AI-understøttet tekst, som en menneskelig redaktør har gennemgået og godkendt, kræver som regel ikke mærkning. Det, du har brug for, er dokumentation for, at gennemgangen fandt sted. En workflowstatus, en godkendelseslog, en navngiven ejer.

4. Følelsesgenkendelse og biometrisk kategorisering

Idriftsættere af systemer til følelsesgenkendelse eller biometrisk kategorisering skal informere de eksponerede personer og behandle personoplysninger i overensstemmelse med GDPR. Dette er snævrere, men laver dit produkt sentimentanalyse på videoopkald eller udleder egenskaber fra billeder, så se nøje på det.

Hvordan oplysningen skal præsenteres

Artikel 50 siger, at oplysningen skal gives klart og skelneligt senest ved første interaktion eller eksponering og skal opfylde gældende tilgængelighedskrav.

Den sidste bestemmelse hænger direkte sammen med det europæiske tilgængelighedsdirektiv. En oplysning, der kun dukker op som værktøjstip ved musemarkør, eller som grå tekst med lav kontrast, eller som et billede uden alternativ tekst, fejler dobbelt.

Praktiske følger:

Oplysningen vises før eller ved første interaktion, ikke i vilkårene.
Det er læsbar tekst i det tilgængelige DOM, ikke brændt ind i et billede.
Den overlever tastaturnavigation og skærmlæseradgang.
Den er oversat. På et flersproget website er en AI-oplysning kun på engelsk ikke klar for en polsk bruger.

Hvordan dette ser ud som opgaver

For de fleste teams er det faktiske arbejde lille, hvilket er en god grund til ikke at udskyde det.

Chat og samtalegrænseflader. Tilføj en permanent, synlig oplysning i widgettens header og i åbningsbeskeden. Sørg for, at den findes på hvert sprog, du betjener. Overdrager du til et menneske, sig det ved overdragelsen, for det er præcis der, brugerens antagelse ændrer sig.

Indholdspipelines. Gennemgå, hvor AI-genererede assets kommer ind i systemet, og hvad der sker med deres metadata. Fjerner billedbehandlingen oprindelsesdata, bevar dem eller påfør dem igen. Hav et oprindelsesfelt på assetposten.

Redaktionelt workflow. Udgiver du AI-understøttet indhold om emner, der ligner offentlig interesse, tilføj et gennemgangstrin med en navngiven godkender og gem godkendelsen. Det er din undtagelse, og en undtagelse, du ikke kan dokumentere, er ikke en undtagelse.

Komponentarbejde. Byg en lille oplysningskomponent og brug den konsekvent i stedet for at skrive mærkningen ad hoc fem steder. Det betyder også ét sted at ændre, når vejledningen udvikler sig.

Oversigt. Hav en liste over hvert AI-system i produktet: hvad det er, hvem der leverer det, hvad det genererer, hvem der er udbyder og hvem der er idriftsætter, og hvilke pligter i artikel 50 der følger. Når en tilsynsmyndighed eller kunde spørger, er det svaret.

Hvem er udbyder og hvem er idriftsætter

Forordningen deler pligterne mellem udbydere, der udvikler og bringer et system på markedet, og idriftsættere, der bruger det under egen myndighed.

De fleste virksomheder er idriftsættere. Det er den lettere rolle, men der er en fælde: ændrer du et system væsentligt, sætter dit eget navn eller varemærke på det, eller ændrer dets tilsigtede formål, kan du blive udbyder og arve de tungere pligter.

At pakke en kommerciel model ind i dit eget produkt, give den en persona og levere den under dit mærke er et forhold, jeres jurister bør se på, for svaret afhænger af detaljer, kun dit team kender.

Hvad der ikke er omfattet

Dette er værd at sige tydeligt, for interne complianceprojekter, der vokser, koster reel tid.

Artikel 50 kræver ikke, at du mærker enhver brug af maskinlæring. En anbefalingsmotor, der rangerer produkter, genererer ikke syntetisk indhold og optræder ikke som samtaleagent. Spamfiltrering, svindelscoring, søgerangering og efterspørgselsprognoser falder uden for disse konkrete gennemsigtighedsregler, selvom de kan rejse GDPR-spørgsmål om automatiserede afgørelser.

Du bliver heller ikke et højrisikosystem, bare fordi du bruger AI. Højrisikoklassificering følger af bilag I og III, knyttet til bestemte anvendelser som beskæftigelse, kredit, uddannelse, væsentlige tjenester og sikkerhedskomponenter. Er du i en af dem, er fristen 2. december 2027 eller 2. august 2028, og det er et langt større program.

Håndhævelsens virkelighed

Sanktionerne i AI-forordningen er betydelige, op til 15 millioner euro eller 3 procent af den globale årsomsætning for mange overtrædelser. Nationale markedsovervågningsmyndigheder opbygger stadig kapacitet, og det første håndhævelsesår bliver næppe aggressivt over for små idriftsættere i god tro.

Når det er sagt, er gennemsigtighedspligterne det nemmeste i hele forordningen at kontrollere udefra. En tilsynsmyndighed, en journalist eller en konkurrent kan åbne dit website og se, om chatbotten oplyser om det. Ingen proces kræves.

Billigt at overholde, trivielt synligt når du ikke har gjort det. Det er den forkerte kombination at spille på.

Hvor dette passer ind

AI-forordningen er én tråd i en langt bredere opbygning af EU's digitale regler. Kortlægger du hele fladen, dækker vores guide til EU digital compliance 2026, hvad der gælder hvornår, og den ingeniørrettede GDPR-guide dækker det databeskyttelseslag, AI-systemer hviler på.

Vi bygger AI-funktionalitet ind i produkter for virksomheder, der opererer i Europa, hvilket betyder, at vi håndterer spørgsmål om oplysning, oprindelse og revisionsspor som del af normal levering i stedet for som en separat complianceøvelse. Vil du have en gennemgang af, hvor AI dukker op i dit produkt, og hvad artikel 50 kræver af det, så skriv til office@c9group.dev.

Vi er ingeniører, ikke jurister. Klassificeringsspørgsmål, særligt grænsen mellem udbyder og idriftsætter, hører til jeres jurister. Vi sørger for, at systemet passer til svaret.