AI-förordningens transparensregler gäller nu: vad som ändras på din webbplats

Den 2 augusti 2026 började transparenskraven i artikel 50 i EU:s AI-förordning (AI Act) att gälla. Till skillnad från bestämmelserna om hög risk, som sköts upp, kom den här delen enligt plan.

Den berör betydligt fler företag än uttrycket ”AI-reglering” antyder. Du behöver inte bygga modeller. Om du har en chattbot på din supportsida, genererar produktbeskrivningar med en språkmodell eller använder ett AI-verktyg för att ta fram bilder till dina kampanjer, är artikel 50 nu en del av det du måste efterleva.

Här är vad som gäller, vad som inte gäller och hur det ser ut som konkret arbete.

Den reviderade tidsplanen, eftersom den har flyttats

Under 2026 rådde verklig förvirring om vilka tidsfrister i AI-förordningen som fanns kvar. Omnibusförslaget om AI (Digital Omnibus on AI), som lades fram den 19 november 2025 och som man enades om under 2026, sköt upp delar av regelverket. Så här ser det ut nu:

• 2 februari 2025: förbud mot oacceptabla metoder, bland annat social poängsättning, subliminal manipulation och viss biometrisk identifiering. Redan i kraft, oförändrat.
• 2 augusti 2025: skyldigheter för leverantörer av AI-modeller för allmänna ändamål. I kraft.
• 2 augusti 2026: transparenskraven i artikel 50. I kraft nu.
• 2 december 2026: ett förbud mot appar för ”avklädning” (nudification), och slutet på övergångsperioden för maskinläsbar märkning från generativa system som redan fanns på marknaden före den 2 augusti 2026. System som släppts ut på marknaden sedan dess har behövt märka sina utdata från första dagen.
• 2 december 2027: sista dag för efterlevnad för fristående system med hög risk enligt bilaga III, uppskjuten från den 2 augusti 2026.
• 2 augusti 2028: sista dag för efterlevnad för AI med hög risk som är inbyggd i reglerade produkter.

Uppskjutandet gäller nivån för hög risk. Om du utgick från att hela förordningen hade flyttats fram missade du den del som drabbar vanliga produktteam hårdast.

Vad artikel 50 kräver

Fyra skyldigheter, riktade mot olika situationer.

1. Berätta för folk när de pratar med en maskin

Om ett AI-system är avsett att interagera direkt med människor måste det utformas så att de människorna informeras om att de interagerar med AI, om det inte är uppenbart för en rimligt välinformerad och uppmärksam person.

Det omfattar supportchattbotar, röstassistenter, AI-styrda telefonsystem och konversationella säljagenter. Skyldigheten ligger hos leverantören när systemet utformas, men om du driftsätter ett sådant system på din webbplats under ditt eget varumärke är det dina användare som måste informeras.

Ribban för ”uppenbart” ligger lägre än de flesta tror. En widget som heter ”AI-assistent” och har en robotikon klarar den förmodligen. Ett chattfönster som öppnar med ”Hej, jag heter Anna och jobbar på supporten, hur kan jag hjälpa dig?” och aldrig säger något annat gör det inte.

2. Märk syntetiskt innehåll på ett maskinläsbart sätt

Leverantörer av AI-system som genererar syntetiskt ljud, syntetiska bilder, syntetisk video eller syntetisk text måste märka utdata i ett maskinläsbart format så att det går att upptäcka att innehållet är artificiellt genererat eller manipulerat. Märkningen ska vara effektiv, interoperabel, robust och tillförlitlig så långt det är tekniskt möjligt.

I praktiken pekar det mot innehållsintyg (content credentials) och metadata om ursprung, där C2PA är det mest utvecklade tillvägagångssättet, och mot vattenmärkning för modeller som stöder det. Märkningsplikten har gällt sedan den 2 augusti 2026; generativa system som redan fanns på marknaden före det datumet har till den 2 december 2026 på sig att uppfylla den.

Om du använder en kommersiell modelleverantör ligger det mesta av den här skyldigheten hos den. Din exponering ligger i vad ditt flöde gör med utdata efteråt. Om metadata tas bort vid bildbehandling, omkodning eller transformering i CDN:et kan precis den märkning som lagen vill att du ska bevara försvinna. Det är en verklig risk i ett helt vanligt flöde för mediefiler, och den är värd att kontrollera.

3. Redovisa deepfakes och AI-genererad text i frågor av allmänt intresse

Tillhandahållare av system som genererar eller manipulerar bilder, ljud eller video som utgör en deepfake måste upplysa om att innehållet är artificiellt genererat eller manipulerat. Det finns ett undantag för uppenbart konstnärliga, kreativa, satiriska eller fiktiva verk, där upplysningen kan vara lättare och inte får förstöra verket.

Därutöver måste tillhandahållare som publicerar AI-genererad eller AI-assisterad text i frågor av allmänt intresse upplysa om det, såvida innehållet inte har granskats av en människa och en fysisk person eller organisation har det redaktionella ansvaret.

Det andra undantaget är viktigt för marknadsteam. AI-assisterade texter som en mänsklig redaktör har granskat och godkänt behöver i regel ingen märkning. Det du behöver är ett underlag som visar att granskningen ägde rum. Ett steg i arbetsflödet, en godkännandelogg, en namngiven ansvarig.

4. Känsloigenkänning och biometrisk kategorisering

Tillhandahållare av system för känsloigenkänning eller biometrisk kategorisering måste informera de personer som exponeras för dem och hantera personuppgifter i enlighet med dataskyddsförordningen (GDPR). Det här är snävare, men om din produkt gör sentimentanalys av videosamtal eller drar slutsatser om egenskaper utifrån bilder bör du titta noga på det.

Uppförandekoden och kommissionens riktlinjer

Två dokument fyller nu i detaljerna. Den slutliga uppförandekoden för märkning av AI-genererat innehåll (Code of Practice on marking and labelling AI-generated content) publicerades den 10 juni 2026. Den har ett avsnitt för leverantörer om märkning och upptäckt och ett avsnitt för tillhandahållare om märkning av deepfakes och AI-genererad text, och kommissionen och AI-styrelsen har bekräftat att den är ett lämpligt frivilligt verktyg för att visa efterlevnad. Omkring 190 företag och organisationer hade undertecknat den i slutet av juli 2026. Att underteckna är frivilligt, men om du inte gör det måste du visa att dina egna åtgärder är tillräckliga.

Den 20 juli 2026 publicerade kommissionen sina riktlinjer om artikel 50. De är inte bindande, och bara EU-domstolen kan tolka förordningen med auktoritet. Några punkter spelar roll för webbteam. Grammatikrättning, mindre stilistisk putsning och AI-genererade översättningar räknas som vanlig redigering och behöver ingen maskinläsbar märkning; AI-sammanfattningar och omskrivningar som ändrar innebörden behöver det. Korta utdata som enstaka ord, bildtexter, alt-texter och etiketter i gränssnittet faller utanför märkningsplikten, och det gör även källkod.

Hur informationen ska presenteras

Enligt artikel 50 ska informationen ges på ett tydligt och urskiljbart sätt senast vid den första interaktionen eller exponeringen, och den måste uppfylla tillämpliga tillgänglighetskrav.

Den sista bestämmelsen kopplar direkt till tillgänglighetsdirektivet (European Accessibility Act). En upplysning som bara visas som ett verktygstips när man för muspekaren över, som grå text med låg kontrast eller som en bild utan alt-text brister på två sätt samtidigt.

Praktiska konsekvenser:

• Upplysningen visas före eller vid den första interaktionen, inte i användarvillkoren.
• Den är läsbar text i den tillgängliga DOM:en, inte inbakad i en bild.
• Den fungerar vid tangentbordsnavigering och med skärmläsare.
• Den är översatt. På en flerspråkig webbplats är en AI-upplysning som bara finns på engelska inte tydlig för en polsk användare.

Hur det ser ut som ärenden

För de flesta team är själva arbetet litet, vilket är ett bra skäl att inte skjuta upp det.

Chatt och konversationella gränssnitt. Lägg till en beständig, synlig upplysning i widgetens sidhuvud och i det första meddelandet. Se till att den finns på alla språk du erbjuder. Om du lämnar över till en människa, säg det vid överlämningen, eftersom det är precis då användarens antagande ändras.

Innehållsflöden. Granska var AI-genererade mediefiler kommer in i ditt system och vad som händer med deras metadata. Om din bildbehandling tar bort ursprungsdata, bevara den eller lägg på den igen. Ha ett fält för ursprung i posten för varje fil.

Redaktionellt arbetsflöde. Om du publicerar AI-assisterat innehåll om något som liknar frågor av allmänt intresse, lägg till ett granskningssteg med en namngiven godkännare och spara godkännandet. Det är ditt undantag, och ett undantag du inte kan belägga är inget undantag.

Komponentarbete. Bygg en liten komponent för upplysningen och använd den konsekvent i stället för att skriva etiketten för hand på fem ställen. Det betyder också att det finns ett enda ställe att ändra när vägledningen utvecklas.

Inventering. För en lista över varje AI-system i produkten: vad det är, vem som tillhandahåller det, vad det genererar, vem som är leverantör och vem som är tillhandahållare, och vilka skyldigheter i artikel 50 som är knutna till det. När en tillsynsmyndighet eller en kund frågar är det här svaret.

Vem som är leverantör och vem som är tillhandahållare

Förordningen fördelar skyldigheterna mellan leverantörer (providers), som utvecklar ett system och släpper ut det på marknaden, och tillhandahållare (deployers), som använder det under eget ansvar.

De flesta företag är tillhandahållare. Det är den lättare rollen, men det finns en fälla: om du väsentligt ändrar ett system, sätter ditt eget namn eller varumärke på det eller ändrar dess avsedda ändamål kan du bli leverantör och ärva de tyngre skyldigheterna.

Att paketera en kommersiell modell i din egen produkt, ge den en persona och leverera den under ditt varumärke är en situation som är värd att låta din jurist titta på, eftersom svaret beror på detaljer som bara ditt team känner till.

Vad som inte omfattas

Värt att säga tydligt, eftersom ett växande omfång i interna efterlevnadsprojekt slösar verklig tid.

Artikel 50 kräver inte att du märker varje användning av maskininlärning. En rekommendationsmotor som rangordnar produkter genererar inte syntetiskt innehåll och interagerar inte som en konversationsagent. Skräppostfilter, bedrägeribedömning, rankning av sökresultat och efterfrågeprognoser ligger utanför just de här transparensreglerna, även om de kan väcka frågor enligt GDPR om automatiserat beslutsfattande.

Den gör dig inte heller till ett system med hög risk bara för att du använder AI. Klassificeringen som hög risk kommer från bilaga I och bilaga III och är knuten till särskilda användningsområden som anställning, kredit, utbildning, samhällsviktiga tjänster och säkerhetskomponenter. Om du befinner dig inom något av dem är din sista dag 2 december 2027 eller 2 augusti 2028, och det är ett betydligt större program.

Hur tillsynen ser ut i verkligheten

Sanktionerna enligt AI-förordningen är betydande, upp till 15 miljoner euro eller 3 % av den globala årsomsättningen för många överträdelser. De nationella marknadskontrollmyndigheterna bygger fortfarande upp sin kapacitet, och det första tillsynsåret kommer sannolikt inte att vara aggressivt mot små tillhandahållare som agerar i god tro.

Med det sagt är transparenskraven det lättaste i hela förordningen för vem som helst att kontrollera utifrån. En tillsynsmyndighet, en journalist eller en konkurrent kan öppna din webbplats och se om chattboten upplyser om att den är AI. Det behövs ingen utredning.

Billigt att efterleva, fullt synligt när du inte har gjort det. Det är fel kombination att chansa på.

Var det här passar in

AI-förordningen är en tråd i en mycket bredare utbyggnad av EU:s digitala regler. Om du kartlägger hela området går vår guide till EU:s digitala regelefterlevnad 2026 igenom vad som gäller när, och ingenjörsguiden till GDPR tar upp det dataskyddslager som AI-systemen vilar på.

Vi bygger in AI-funktioner i produkter åt företag som verkar i Europa, vilket innebär att vi hanterar frågorna om upplysningar, ursprung och spårbarhet som en del av den vanliga leveransen snarare än som en separat efterlevnadsövning. Om du vill ha en genomgång av var AI förekommer i din produkt och vad artikel 50 kräver av den, skriv till office@c9group.dev.

Vi är ingenjörer, inte jurister. Klassificeringsfrågor, särskilt gränsen mellan leverantör och tillhandahållare, hör hemma hos din jurist. Vi ser till att systemet stämmer med svaret.