KI-merking blir lov i EU: hva norske virksomheter bør gjøre nå

Den 2. august 2026 ble merkeplikten i EUs KI-forordning (AI Act) gjeldende: KI-generert innhold skal merkes tydelig. Kravet, som kode24 nylig omtalte, treffer tre kategorier: deepfakes, KI-generert eller KI-manipulert tekst i saker av offentlig interesse, og interaktive KI-systemer som chatboter. Samtidig står Norge uten egen KI-lov, og innlemmelsen i EØS-avtalen er fortsatt uavklart. Den kombinasjonen skaper et vakuum norske virksomheter gjør klokt i å navigere bevisst.

Hva merkeplikten faktisk krever

Forordningen ble vedtatt i 2024 og innføres trinnvis frem mot august 2028. Åpenhetskravene som nå er trådt i kraft, handler i praksis om tre ting. Syntetisk innhold, enten det er bilder, video, lyd eller tekst, skal være maskinlesbart merket, for eksempel med vannmerker eller andre markører. Deepfakes skal merkes synlig for mennesker, ikke bare for maskiner. Og systemer som samhandler direkte med folk, må gjøre det klart at brukeren snakker med en maskin. En chatbot kan ikke lenger utgi seg for å være et menneske.

Merkeplikten ligger hos den som tilbyr og bruker systemene, ikke hos modelleverandøren alene. En virksomhet som publiserer KI-generert innhold eller drifter en kundechatbot, eier med andre ord ansvaret selv. EU har publisert en egen Code of Practice som konkretiserer hvordan kravene kan etterleves, og brudd kan gi betydelige bøter.

Norge henger etter, men reglene treffer likevel

Norge har foreløpig ingen KI-lov. Digitaliseringsdepartementet planlegger høring høsten 2026 og en lovproposisjon våren 2027, og Nkom er utpekt som nasjonalt koordinerende KI-tilsyn. Men to forhold gjør at norske virksomheter ikke kan lene seg tilbake i mellomtiden.

For det første gjelder EU-reglene allerede for norske systemer som brukes i EU-markedet. Har chatboten din brukere i Sverige eller Danmark, eller publiserer du KI-generert innhold som når et EU-publikum, er du i praksis omfattet, uavhengig av norsk lovgivningstakt. For det andre er forsinkelsen ikke et fritt leide her hjemme: personvernregelverket, åndsverksloven og straffeloven gjelder for KI-generert innhold i dag, slik digitaliseringsministeren også har understreket.

Hva dette betyr i praksis

For virksomheter som bygger eller bruker KI-systemer, koker kravene ned til noen konkrete designvalg. Chatboter og agenter bør identifisere seg som KI fra første melding. Det er et lite UI-grep med stor juridisk betydning. Innholdsproduksjon med KI i verdikjeden trenger sporbarhet: systemet bør vite, og kunne dokumentere, hvilke deler av et sluttprodukt som er generert, slik at merking kan skje automatisk der regelverket krever det. Og der bilder, lyd eller video genereres, bør maskinlesbar merking i form av metadata og vannmerking være en del av produksjonsløpet, ikke en manuell etterkontroll.

Det er en velkjent lærdom fra personvernarbeidet: åpenhet som er bygget inn i arkitekturen koster lite, mens åpenhet som skal ettermonteres i systemer satt i produksjon, koster mye. Virksomheter som allerede nå logger hva som er KI-generert og merker det konsekvent, slipper både hastverksarbeidet når norsk lov kommer, og risikoen i mellomfasen.

Åpenhet som konkurransefortrinn

Det er lett å lese merkeplikten som nok et compliance-krav. Vi tror det er en for smal lesning. Kunder, ansatte og samarbeidspartnere stoler mer på virksomheter som er tydelige på når de bruker KI, og systemer som er designet for sporbarhet er gjennomgående lettere å feilsøke, evaluere og forbedre. Merkingen blir da et biprodukt av god systemdesign, ikke en byrde.

For norske virksomheter er anbefalingen enkel: ikke vent på proposisjonen i 2027. Kartlegg hvor KI allerede produserer innhold eller møter kunder i dag, sørg for at KI-systemene deres kan gjøre rede for hva de har generert, og la merkingen følge av arkitekturen. De som bygger dette inn nå, møter både EU-kravene, den kommende norske loven og forventningene fra egne kunder med ro.