KI-forordningens åpenhetsregler er i kraft: hva som endres på nettstedet ditt

2. august 2026 ble åpenhetspliktene i artikkel 50 i EUs KI-forordning gjeldende. I motsetning til høyrisikobestemmelsene, som ble utsatt, kom denne delen på tid.

Den angår langt flere selskaper enn uttrykket «KI-regulering» antyder. Du trenger ikke bygge modeller. Setter du en chatbot på supportsiden, genererer produktbeskrivelser med en språkmodell eller bruker et KI-verktøy til å lage kampanjebilder, er artikkel 50 nå del av etterlevelsesflaten din.

Her er hva som gjelder, hva som ikke gjør det, og hvordan det ser ut som arbeid.

Den reviderte tidslinjen, fordi den flyttet seg

Gjennom 2026 hersket reell forvirring om hvilke KI-frister som overlevde. Digital Omnibus om KI, foreslått 19. november 2025 og vedtatt i løpet av 2026, utsatte deler av regimet. Dagens bilde:

• 2. februar 2025: forbud mot uakseptable praksiser, inkludert sosial poengsetting, subliminal manipulasjon og visse biometriske identifiseringer. Allerede i kraft, uendret.
• 2. august 2025: plikter for leverandører av KI-modeller for generelle formål. I kraft.
• 2. august 2026: åpenhetspliktene i artikkel 50. I kraft nå.
• 2. desember 2026: forbud mot avkledningsapper, pluss merke- og etikettkravene for KI-generert innhold, med fire måneders overgang for generative systemer som allerede var på markedet før 2. august 2026.
• 2. desember 2027: samsvarsfrist for frittstående høyrisikosystemer i vedlegg III, utsatt fra 2. august 2026.
• 2. august 2028: samsvarsfrist for høyrisiko-KI innebygd i regulerte produkter.

Utsettelsen gjelder høyrisikonivået. Antok du at hele forordningen gled, gikk du glipp av den delen som treffer vanlige produktteam hardest.

Hva artikkel 50 krever

Fire plikter, rettet mot ulike situasjoner.

1. Fortell folk at de snakker med en maskin

Er et KI-system ment å samhandle direkte med mennesker, må det utformes slik at de menneskene informeres om at de samhandler med KI, med mindre det er åpenbart for en rimelig informert og oppmerksom person.

Dette dekker supportchatboter, taleassistenter, KI-drevne telefonsystemer og samtalebaserte salgsagenter. Plikten ligger hos leverandøren ved utformingen, men setter du en slik på nettstedet ditt under eget merke, er det dine brukere som må informeres.

Terskelen for «åpenbart» er lavere enn folk antar. En widget kalt «KI-assistent» med robotikon klarer den trolig. Et chatvindu som åpner med «Hei, jeg er Anna fra support, hva kan jeg hjelpe med?» og aldri sier noe annet, gjør det ikke.

2. Merk syntetisk innhold maskinlesbart

Leverandører av KI-systemer som genererer syntetisk lyd, bilde, video eller tekst må merke resultatene i et maskinlesbart format slik at de kan oppdages som kunstig generert eller manipulert. Merkingen må være effektiv, interoperabel, robust og pålitelig så langt det er teknisk mulig.

I praksis peker dette mot content credentials og opprinnelsesmetadata, der C2PA er den mest utviklede tilnærmingen, og mot vannmerking for modeller som støtter det. De detaljerte merkekravene trer i kraft 2. desember 2026.

Bruker du en kommersiell modellleverandør, ligger det meste av denne plikten hos dem. Din eksponering ligger i hva løypa di gjør med resultatet etterpå. Å fjerne metadata under bildebehandling, omkode eller kjøre gjennom en CDN-transformasjon kan slette nøyaktig den merkingen loven ber deg bevare. Det er en reell risiko i en vanlig ressursløype og verdt å sjekke.

3. Opplys om deepfakes og KI-tekst av offentlig interesse

Ibruktakere av systemer som genererer eller manipulerer bilde-, lyd- eller videoinnhold som utgjør en deepfake, må opplyse om at innholdet er kunstig generert eller manipulert. Det finnes et unntak for åpenbart kunstneriske, kreative, satiriske eller fiktive verk, der opplysningen kan være lettere og ikke skal ødelegge verket.

Separat må ibruktakere som publiserer KI-generert eller KI-støttet tekst om saker av offentlig interesse, opplyse om det, med mindre innholdet har gjennomgått menneskelig gjennomgang og en fysisk person eller organisasjon har redaktøransvar.

Det andre unntaket er viktig for markedsteam. KI-støttet tekst som en menneskelig redaktør har gjennomgått og godkjent, trenger som regel ikke merking. Det du trenger er en logg på at gjennomgangen skjedde. En arbeidsflytstatus, en godkjenningslogg, en navngitt eier.

4. Følelsesgjenkjenning og biometrisk kategorisering

Ibruktakere av systemer for følelsesgjenkjenning eller biometrisk kategorisering må informere de eksponerte personene og behandle personopplysninger i tråd med GDPR. Dette er smalere, men gjør produktet ditt sentimentanalyse på videosamtaler eller utleder egenskaper fra bilder, se nøye på det.

Hvordan informasjonen må presenteres

Artikkel 50 sier at informasjonen må gis på en klar og skillbar måte senest ved første samhandling eller eksponering, og må være i samsvar med gjeldende tilgjengelighetskrav.

Den siste bestemmelsen kobler direkte til det europeiske tilgjengelighetsdirektivet. En opplysning som bare dukker opp som verktøytips ved musepeker, eller som grå tekst med lav kontrast, eller som et bilde uten alternativ tekst, feiler dobbelt.

Praktiske følger:

• Opplysningen vises før eller ved første samhandling, ikke i vilkårene.
• Det er lesbar tekst i det tilgjengelige DOM-et, ikke brent inn i et bilde.
• Den overlever tastaturnavigasjon og skjermlesertilgang.
• Den er oversatt. På et flerspråklig nettsted er en KI-opplysning bare på engelsk ikke klar for en polsk bruker.

Hvordan dette ser ut som oppgaver

For de fleste team er det faktiske arbeidet lite, som er en god grunn til ikke å utsette det.

Chat og samtalegrensesnitt. Legg til en permanent, synlig opplysning i widgetens topptekst og i åpningsmeldingen. Sørg for at den finnes på hvert språk du betjener. Overfører du til et menneske, si det ved overføringen, for det er akkurat da brukerens antakelse endres.

Innholdsløyper. Gjennomgå hvor KI-genererte ressurser kommer inn i systemet og hva som skjer med metadataene deres. Fjerner bildebehandlingen opprinnelsesdata, bevar dem eller påfør dem på nytt. Ha et opprinnelsesfelt på ressursposten.

Redaksjonell arbeidsflyt. Publiserer du KI-støttet innhold om temaer som ligner offentlig interesse, legg til et gjennomgangssteg med navngitt godkjenner og lagre godkjenningen. Det er unntaket ditt, og et unntak du ikke kan dokumentere er ikke et unntak.

Komponentarbeid. Bygg en liten opplysningskomponent og bruk den konsekvent i stedet for å skrive merkingen ad hoc fem steder. Det betyr også ett sted å endre når veiledningen utvikler seg.

Oversikt. Ha en liste over hvert KI-system i produktet: hva det er, hvem som leverer det, hva det genererer, hvem som er leverandør og hvem som er ibruktaker, og hvilke plikter i artikkel 50 som følger. Når en tilsynsmyndighet eller kunde spør, er det svaret.

Hvem er leverandør og hvem er ibruktaker

Forordningen deler pliktene mellom leverandører, som utvikler og bringer et system på markedet, og ibruktakere, som bruker det under egen myndighet.

De fleste selskaper er ibruktakere. Det er den lettere rollen, men det er en felle: endrer du et system vesentlig, setter ditt eget navn eller varemerke på det, eller endrer dets tiltenkte formål, kan du bli leverandør og arve de tyngre pliktene.

Å pakke en kommersiell modell inn i ditt eget produkt, gi den en persona og levere den under ditt merke er et faktum juristene deres bør se på, for svaret avhenger av detaljer bare teamet ditt kjenner.

Hva som ikke er omfattet

Dette er verdt å si tydelig, for at interne etterlevelsesprosjekter vokser koster reell tid.

Artikkel 50 krever ikke at du merker enhver bruk av maskinlæring. En anbefalingsmotor som rangerer produkter genererer ikke syntetisk innhold og opptrer ikke som samtaleagent. Spamfiltrering, svindelscoring, søkerangering og etterspørselsprognoser faller utenfor disse konkrete åpenhetsreglene, selv om de kan reise GDPR-spørsmål om automatiserte avgjørelser.

Du blir heller ikke et høyrisikosystem bare fordi du bruker KI. Høyrisikoklassifisering følger av vedlegg I og III, knyttet til bestemte bruksområder som arbeidsliv, kreditt, utdanning, essensielle tjenester og sikkerhetskomponenter. Er du i ett av dem, er fristen 2. desember 2027 eller 2. august 2028, og det er et langt større program.

Håndhevingens realitet

Sanksjonene i KI-forordningen er betydelige, opptil 15 millioner euro eller 3 prosent av global årsomsetning for mange overtredelser. Nasjonale markedstilsyn bygger fortsatt kapasitet, og det første håndhevingsåret blir neppe aggressivt mot små ibruktakere i god tro.

Når det er sagt, er åpenhetspliktene det enkleste i hele forordningen å kontrollere utenfra. En tilsynsmyndighet, en journalist eller en konkurrent kan åpne nettstedet ditt og se om chatboten opplyser om det. Ingen prosess kreves.

Billig å etterleve, trivielt synlig når du ikke har gjort det. Det er feil kombinasjon å satse på.

Hvor dette passer inn

KI-forordningen er én tråd i en langt bredere oppbygging av EUs digitale regler. Kartlegger du hele flaten, dekker vår guide til EU digital etterlevelse 2026 hva som gjelder når, og den ingeniørrettede GDPR-guiden dekker personvernlaget KI-systemer hviler på.

Vi bygger KI-funksjonalitet inn i produkter for selskaper som opererer i Europa, som betyr at vi håndterer spørsmål om opplysning, opprinnelse og revisjonsspor som del av normal leveranse i stedet for som en separat etterlevelsesøvelse. Vil du ha en gjennomgang av hvor KI dukker opp i produktet ditt og hva artikkel 50 krever av det, skriv til office@c9group.dev.

Vi er ingeniører, ikke jurister. Klassifiseringsspørsmål, særlig grensen mellom leverandør og ibruktaker, hører til hos juristene deres. Vi sørger for at systemet passer til svaret.