En norsk SaaS-bedrift som lanserer en kundeservice-chatbot i det tyske markedet i september, får fra 2. august en rettslig plikt til å fortelle brukeren at det er en maskin — med bøtepotensial på opptil 15 millioner euro eller tre prosent av global årsomsetning, det høyeste av de to.

Retningslinjene er ikke juridisk bindende, men er det første samlede tolkningsdokumentet på tvers av hele Artikkel 50, og vil etter alt å dømme styre nasjonale tilsynsmyndigheters håndhevingspraksis.

Fire plikter, to roller

Artikkel 50 skiller mellom tilbydere — de som utvikler og plasserer AI-systemer på markedet — og distributører, de som tar systemene i bruk overfor sluttbrukere. Begge har selvstendige plikter fra 2. august.

Tilbyderplikten etter Artikkel 50(1) krever at AI-systemer som er ment å samhandle direkte med personer, må utformes slik at brukeren vet at de har med en maskin å gjøre, med mindre det er åpenbart fra sammenhengen. Tilbydere av generative AI-systemer må i tillegg merke utdata maskinlesbart slik at innholdet kan identifiseres som kunstig generert, jf. Artikkel 50(2).

Distributørplikten dekker to scenarioer som er særlig aktuelle for norske medier og plattformer: deepfakes og AI-genererte tekster om samfunnsspørsmål. Den som bruker et AI-system til å generere eller manipulere bilde-, lyd- eller videoinnhold som utgjør en deepfake, plikter å opplyse om dette. Det samme gjelder tekst produsert for å informere allmennheten om saker av offentlig interesse — en formulering som treffer redaksjonelle og politiske informasjonstjenester direkte.

Kommisjonen legger en vid tolkning av deepfake-begrepet til grunn. AI-generert eller AI-manipulert innhold kan falle innenfor definisjonen der det ligner nært på en virkelig person, et sted eller en hendelse og har potensial til å villede — uavhengig av om det dreier seg om sofistikert ansiktsbytte eller en enklere bildemanipulasjon.

Hva Digital Omnibus endrer — og ikke endrer

EU-kommisjonens «Digital Omnibus»-forenklingsforslag utsetter de tyngste kravene til høyrisiko-AI-systemer til desember 2027, noe som har skapt et inntrykk av at august-fristen er myket opp. Det er misvisende.

Transparenspliktene i Artikkel 50(1), 50(3) og 50(4) — chatbot-opplysning, emosjonskartlegging og deepfake-merking — er ikke utsatt. De gjelder fra 2. august uten overgangsperiode for nye systemer. Den eneste begrensede utsettelsen gjelder maskinlesbar merking etter Artikkel 50(2) for generative systemer som allerede er på markedet før 2. august: disse får frem til 2. desember 2026 på å komme i samsvar. Systemer som settes i drift etter augustfristen, må merke fra dag én.

Norge: ikke vedtatt rett, men ikke utenfor rekkevidde

AI-forordningen er bekreftet EØS-relevant og er under innlemmelse i EØS-avtalen. Den norske gjennomføringsloven — kalt KI-loven i høringsrunden som ble sendt ut i juni 2025 — er foreløpig ikke vedtatt av Stortinget. Regjeringen siktet opprinnelig mot ikrafttredelse rundt sensommeren 2026, men forhandlingene med EU om EØS-tilpasninger har tatt lengre tid enn ventet, og Omnibus-prosessen har lagt ytterligere usikkerhet til fremdriften.

Det fritar likevel ikke norske virksomheter som er til stede i EU-markedet. AI-forordningen gjelder alle tilbydere og distributører som plasserer systemer på EU-markedet eller hvis utdata brukes i EU, uavhengig av hvor selskapet er registrert. En norsk startup med tyske, franske eller nederlandske brukere er i scope fra 2. august, norsk KI-lov eller ei.

Nasjonal kommunikasjonsmyndighet (Nkom) er utpekt som nasjonal koordinerende tilsynsmyndighet for AI i Norge og vil samarbeide med sektortilsyn og Datatilsynet om håndhevingen når norsk lov trer i kraft.

Tolkning, ikke teknikk

Retningslinjene supplerer en separat praksiskodeks om AI-generert innhold som dekker de mer tekniske kravene til merking og deteksjon etter Artikkel 50(2) og 50(4). Retningslinjene avklarer spørsmål som tidligere var uklare i lovteksten — blant annet hva «tydelig og merkbart» betyr i praksis, og at opplysningsplikten senest må oppfylles ved første kontakt eller eksponering.

Retningslinjene bekrefter også at agentiske AI-systemer — systemer som handler autonomt på vegne av brukeren — kan falle inn under Artikkel 50 der handlingene deres genererer utdata som er ment å nå brukeren direkte. For selskaper som bygger AI-agenter for kunde- eller leverandørkommunikasjon, er dette en relevant avklaring.

Håndhevingen av Artikkel 50 vil primært ligge hos nasjonale markedstilsynsmyndigheter. Ambisjonsnivået kan derfor variere mellom land i en innkjøringsperiode — men det er ikke en buffer norske virksomheter bør legge til grunn.