Merking av KI-innhold: Dette må du vite

Hva må du vite om KI-merking?

Bruker noen i bedriften din ChatGPT til å skrive tekst, Midjourney til å lage bilder, eller et KI-verktøy til å redigere video? Da bør du lese videre.

EU har bestemt at KI-generert innhold skal merkes. Hensikten er enkel: folk skal kunne vite om innholdet de ser er laget av et menneske eller en maskin. Kravene finnes i Artikkel 50 i KI-forordningen og gjelder i EU fra august 2026.

Gjelder dette norske bedrifter? Det avhenger av om du opererer i EU-markedet eller ikke.

Merkekravene er en del av det norske lovforslaget som var på høring i 2025. For bedrifter som kun opererer i Norge, trer kravene ikke i kraft før loven er vedtatt av Stortinget og EØS-avtalen er oppdatert – regjeringen sikter mot sensommeren 2026. For norske bedrifter som tilbyr produkter eller tjenester til EU-kunder, eller bruker KI til å lage innhold som når EU-brukere, gjelder EU-forordningen direkte – akkurat som GDPR. Da er EU-fristene (august/november 2026) det som gjelder.

Her er den praktiske oversikten.

Sjekk om KI-loven gjelder din bedrift

Svar på noen spørsmål om bedriftens KI-bruk og få en konkret risikoklassifisering og handlingsplan som PDF.

✓ Personlig risikoklassifisering

✓ Konkret handlingsplan

✓ Tar 3 minutter, gratis

Start klassifisering →

Hvem må merke KI-innhold?

KI-forordningen skiller mellom to roller: Leverandører (de som lager KI-verktøyet) og brukere (de som bruker det). Begge har plikter, men de er forskjellige.

Leverandører av KI-verktøy Selskaper som utvikler KI-systemer som lager tekst, bilder, lyd eller video, skal bygge inn merking i verktøyet.

Det betyr at OpenAI, Midjourney, Adobe og lignende skal sørge for at innholdet som kommer ut av systemet er merket – automatisk.

Bedrifter som bruker KI-verktøy (deployers) Her kommer det som treffer de fleste norske bedrifter. Hvis du bruker KI til å lage innhold som deles eksternt, har du egne plikter:

Bruker du KI til å lage bilder, lyd eller video som kan forveksles med ekte opptak (deepfakes), skal du tydelig opplyse om at innholdet er KI-generert. Det holder ikke med usynlig metadata, det må være synlig for den som ser innholdet.

Publiserer du KI-generert tekst om saker av offentlig interesse (for eksempel nyhetsartikler, rapporter eller uttalelser), skal det merkes at teksten er laget med KI. Unntaket er hvis teksten har vært gjennom en menneskelig redaksjonell kontroll.

Hva slags merking kreves?

EU legger opp til det de kaller en "flerlagstilnærming". Det betyr at ingen enkeltmetode er nok, du skal bruke flere metoder sammen.

Lag 1: Metadata Informasjon om at innholdet er KI-generert skal legges inn i filens metadata og signeres digitalt. Tenk på det som et digitalt stempel bakt inn i filen.

Lag 2: Vannmerking Et usynlig vannmerke skal legges inn i innholdet. Vannmerket skal tåle vanlig behandling som beskjæring, komprimering og formatendringer. For bilder og video er dette teknisk modent. For tekst er det vanskeligere.

Lag 3: Logging og fingerprinting (supplement) For innhold der vannmerking er vanskelig, som korte tekster, kan hashing og logging brukes som tilleggsmetode. Det gjør det mulig å spore innholdet tilbake til KI-systemet i etterkant.

Lag 4: Synlig merking Deepfakes og KI-generert tekst om offentlige saker skal i tillegg merkes synlig. Det betyr en tydelig tekst eller etikett som forteller mottakeren at innholdet er KI-laget.

Når gjelder kravene for KI-merking?

Fristene er i bevegelse fordi EU er i ferd med å justere tidsplanen gjennom «Digital Omnibus»-pakken. Her er det mest sannsynlige utfallet per april 2026:

Nye KI-systemer som lanseres etter august 2026: Må oppfylle merkekravene fra 2. august 2026.

Eksisterende KI-systemer som er i bruk i dag: Får en overgangsperiode. Europaparlamentet har foreslått 2. november 2026, mens EU-kommisjonen foreslo 2. februar 2027. Endelig dato avklares i forhandlingene som pågår nå.

Norske frister kan bli noe forskjøvet, avhengig av når KI-loven vedtas av Stortinget.

Hva er en deepfake, og hva er det ikke?

Forordningen definerer deepfakes som KI-generert eller KI-manipulert bilde, lyd eller video som ligner eksisterende personer, steder, gjenstander eller hendelser, og som en person feilaktig ville oppfatte som ekte.

Det er altså to vilkår som begge må være oppfylt: Innholdet må ligne noe som finnes i virkeligheten, og det må kunne forveksles med noe autentisk.

Eksempler som trolig er deepfakes etter loven: Et KI-generert bilde av en navngitt daglig leder i en situasjon som aldri fant sted. En KI-generert stemme som høres ut som en kjent person og sier noe de aldri har sagt. En video der en persons ansikt er byttet ut med en annens.

Eksempel: KI-generert musikk som høres ut som om Taylor Swift synger en ny sang: Det er sannsynligvis deepfake og skal merkes synlig.

Eksempler som trolig ikke er deepfakes: Et helt fiktivt KI-generert bilde som ikke ligner noen bestemt person (f.eks. et illustrasjonsbilde til en artikkel). KI-generert musikk som ikke etterligner en bestemt artist. En åpenbart kunstnerisk eller satirisk KI-illustrasjon.

Eksempel: KI-generert musikk som ikke kloner eller imiterer en bestemt artists stemme eller uttrykk – for eksempel ny instrumentalmusikk laget av Suno.

Hva med redigerte bilder? Her er grensene uklare, se under.

Obs! Deepfakes kan krenke opphavsrett, personvern og retten til eget bilde. Merking av deepfakes gjør det ikke lovlig å bruke deepfakes uten nødvendig tilltalelse.

Hvor går grensen for KI-innhold – hva må merkes og hva slipper?

Artikkel 50 har to viktige unntak for når merking ikke er nødvendig: Det første er hjelpefunksjonsunntaket. Merkekravet gjelder ikke KI-systemer som "utfører en hjelpefunksjon for standard redigering" eller som "ikke vesentlig endrer innholdet eller dets mening". (Artikkel 50 (2), fortale 133)

Det andre er det redaksjonelle unntaket: KI-tekst om offentlige saker slipper synlig merking hvis et menneske har gjennomgått innholdet og en person eller bedrift har redaksjonelt ansvar. (Artikkel 50(4)).

Disse unntakene er viktige for de fleste norske bedrifter, men det er ikke presist definert.

Her er vår vurdering basert på lovteksten, fortalene og Code of Practice:

Ki-merking av tekst

Som bruker (deployer) har du som utgangspunkt én potensiell plikt for tekst generert av KI: Synlig merking av KI-tekst som publiseres for å informere om saker av offentlig interesse, for eksempel nyhetsartikler, pressemeldinger eller offentlige rapporter. Et blogginnlegg om bedriftens sommerfest er trolig ikke "offentlig interesse", men en bransjeanalyse kan være det. Her er grensen litt uklar, og verken lovteksten eller Code of Practice gir en presis definisjon.

Unntaket gjelder dersom du leser gjennom teksten og publiserer den under bedriftens navn. Da gjelder det redaksjonelle unntaket, som betyr at du ikke har merkeplik. Du trenger ikke ha endret noe på teksten, det er gjennomgangen og ansvaret som teller (Artikkel 50(4)). EUs Code of Practice anbefaler at du holder en enkel logg over hvem som gjennomgikk og når.

Leverandøren (OpenAI, Google, Anthropic m.fl.) har sin egen plikt til maskinlesbar merking etter art. 50(2), men den er leverandørens ansvar og pålegger ikke deg noe. I praksis forsvinner metadata uansett når du kopierer teksten.

Ki-merking av bilder

For bilder generert fra bunnen av (slik som Midjourney, DALL-E, Stable Diffusion) - der vil leverandøren merke bildet maskinlesbart. Synlig merking kreves i tillegg hvis bildet kan forveksles med et ekte bilde av en ekte person (deepfake-regelen).

Bilderedigering med KI: Her gjelder hjelpefunksjonsunntaket, men grensene er uklare.

Fargejustering, beskjæring og støyreduksjon faller trolig utenfor merkekravet.

– Fortale 133 nevner at hjelpefunksjoner som "ikke vesentlig endrer innholdet" er unntatt. «Generative fill» som legger til nye elementer i et bilde er trolig innenfo, men det finnes per april 2026 ingen rettspraksis eller offisiell veiledning som trekker den eksakte grensen.

Ki-merking av lyd og video

For KI-generert tale, klonede stemmer og generert video: Her skal leverandøren merke det maskinlesbart. Synlig merking kreves i tillegg hvis innholdet kan forveksles med ekte opptak av ekte personer (deepfake-regelen).

Videoredigering med KI: Klipping, fargekorrigering, lydnivåjustering, faller trolig inn i hjelpefunksjonsunntaket. Men for verktøy som genererer nye scener, endrer hva folk sier, eller bytter ansikter: Det er deepfake-territorium.

For KI-generert musikk som ikke kloner en bestemt artists stemme: Her skal leverandøren merker det som KI-innhold på en maskinlesbar måte (metadata vannmerking osv.), men deepfake-regelen treffer trolig ikke. KI-musikk som imiterer en navngitt artists stemme er trolig deepfake og skal merkes synlig.

For lyd og musikk er vannmerking teknisk ganske modent, et usynlig signal bakt inn i lydfilen som overlever komprimering og formatendring.

Hvem er «leverandøren» av KI-musikk? Leverandøren er selskapet som utvikler KI-systemet – altså Suno, Udio, Google (MusicLM) osv. Ikke du som bruker verktøyet til å lage musikken. Du er «deployer» (bruker). Så:

• Suno (leverandør) skal merke musikken maskinlesbart – metadata + vannmerke i lydfilen
• Du (bruker) som publiserer musikken skal merke synlig bare hvis den er en deepfake (kloner en bestemt artists stemme)
• Den som tilgjengeliggjør musikken (som Spotify) har indirekte plikt til å ikke ta bort merkingen.

Hjelpeverktøy som trolig faller utenfor KI-merkekravet

For hjelpeverktøy som rettskrivingskontroll og grammatikksjekk, automatisk bildeforbedring (HDR, lysbalanse), oversettelsesverktøy, autofullføring av enkeltord i e-post, KI-basert transkripsjon av møter, og KI-oppsummering av møtereferater, - disse faller trolig under hjelpefunksjonsunntaket fordi de ikke genererer nytt selvstendig innhold (Fortale 133).

Kilder: Artikkel 50(2), 50(4) og 50(5) i KI-forordningen (EU 2024/1689), Fortale 133 og 134, utkast til Code of Practice on Transparency of AI-Generated Content (desember 2025).

Seks vanlige situasjoner for KI-merking

Du bruker KI til å skrive innhold for nettsiden. Har du lest gjennom teksten og publisert den under bedriftens navn, gjelder det redaksjonelle unntaket (art. 50(4)). Du har ingen plikt til å merke teksten, verken synlig eller på annen måte. Leverandørens maskinlesbare merking er deres ansvar og påvirker ikke din bruk.

Du lager illustrasjonsbilder med Midjourney til markedsføring. Dersom bildet kan forveksles med et ekte foto av en ekte person skal du merke synlig. Er det åpenbart en illustrasjon er det ingen merkeplikt fra din side.

Du bruker KI til å redigere produktbilder. Fargejustering og enkel redigering: Dette er trolig hjelpefunksjon, og ingen merkeplikt. «Generative fill» som legger til nye elementer kan utløse merkekravet, her er grensen uklar.

Du bruker KI-basert transkripsjon og oppsummering av møter. Faller trolig innenfor hjelpefunksjonsunntaket, da det ikke er generering av nytt innhold. Faller da trolig utenfor merkekravet.

Du sender KI-skrevne e-poster til kunder. E-post til enkeltkunder er trolig ikke "offentlig interesse"og dermed ingen merkeplikt fra din side.

Du bruker KI bare internt. Merkekravene for brukere retter seg mot innhold som deles eksternt. Ren intern bruk har ingen synlig merkeplikt.

Hva sier lovteksten om Ki-merking?

Her er de sentrale bestemmelsene i original ordlyd, slik at du kan vurdere selv. Vi gjengir på engelsk fordi det er den offisielle lovteksten (norsk oversettelse foreligger ikke ennå).

Artikkel 50(2), leverandørens plikt til maskinlesbar merking:

«Providers of AI systems, including general-purpose AI systems, generating synthetic audio, image, video or text content, shall ensure that the outputs of the AI system are marked in a machine-readable format and detectable as artificially generated or manipulated.»

Artikkel 50(4), brukerens plikt til synlig merking + det redaksjonelle unntaket:

«Deployers of an AI system that generates or manipulates image, audio or video content constituting a deep fake, shall disclose that the content has been artificially generated or manipulated.»
«Deployers of an AI system that generates or manipulates text which is published with the purpose of informing the public on matters of public interest shall disclose that the text has been artificially generated or manipulated. This obligation shall not apply where the AI-generated content has undergone a process of human review or editorial control and where a natural or legal person holds editorial responsibility for the publication of the content.»

Fortale 133, hjelpefunksjonsunntaket:

«To remain proportionate, it is appropriate to envisage that this marking obligation should not cover AI systems performing primarily an assistive function for standard editing or AI systems not substantially altering the input data provided by the deployer or the semantics thereof.»

Det er verdt å merke seg at verken «assistive function», «standard editing» eller «not substantially altering» er definert nærmere i lovteksten eller i fortalene. Per april 2026 finnes det heller ingen rettspraksis eller offisiell veiledning som presiserer grensene. Code of Practice (endelig versjon ventet juni 2026) vil trolig gi mer klarhet.

Kilde: Regulation (EU) 2024/1689, artificialintelligenceact.eu/article/50 og Fortale 133.

5 ting du bør gjøre nå

Selv om de endelige fristene ikke er hundre prosent klare, er retningen tydelig. Her er fem praktiske tiltak:

1. Kartlegg KI-bruken i bedriften. Finn ut hvem som bruker hvilke KI-verktøy, og til hva. Inkluder alle avdelinger – markedsføring, salg, HR, kundeservice.

Gjør kartlegging og lag ki-policy gratis med vår KI-sjekk eller sjekk om din KI-bruk er trygg og lovlig på trygg-ki.lexolve.com.

2. Sjekk om leverandørene dine er klare. Spør leverandørene av KI-verktøyene du bruker om de har planer for å oppfylle merkekravene (vannmerking og metadata). De store aktørene (OpenAI, Google, Adobe) jobber allerede med dette.

3. Lag interne retningslinjer. Bestem hvem som har lov til å bruke KI til eksternt innhold, og hvilke regler som gjelder. En KI-policy er et godt sted å starte.

4. Merk deepfakes og KI-tekst om offentlige saker. Hvis bedriften din lager innhold som kan forveksles med ekte opptak, eller publiserer KI-tekst om saker av offentlig interesse, bør du allerede nå innføre synlig merking.

5. Følg med på de endelige reglene. EU forhandler nå om de siste detaljene. Endelig enighet forventes i løpet av våren 2026. Den norske loven er varslet sensommeren 2026.

Bruker dere KI ansvarlig?

Trygg KI-veiviseren hjelper deg kartlegge om KI-bruken i bedriften er i tråd med regelverket – inkludert merkekravene som kommer.

✓ Kartlegger KI-bruk på tvers av avdelinger

✓ Avdekker risiko og gap

✓ Klar til bruk, gratis

Sjekk KI-bruken →

EUs "kokebok" for merking – Code of Practice

EU har laget et utkast til en bransjenorm som forklarer hvordan merkekravene skal oppfylles i praksis. Den heter "Code of Practice on Transparency of AI-Generated Content".

Første utkast kom i desember 2025, andre utkast på våren 2026, og den endelige versjonen forventes i juni 2026: To måneder før reglene gjelder. Normen er frivillig, men følger du den, har du en trygg havn for å vise at du oppfyller kravene.

KI-merking og GDPR – hva er sammenhengen?

Hvis KI-verktøyet behandler personopplysninger, gjelder GDPR i tillegg til merkekravene. Det betyr at du trenger behandlingsgrunnlag, databehandleravtale og eventuelt en vurdering av personvernkonsekvenser (DPIA).

KI og GDPR henger sammen, les alt du trenger på vår GDPR hub.

Mange bedrifter som allerede har GDPR-arbeidet på plass, har et godt utgangspunkt. KI-forordningen bygger videre på mange av de samme prinsippene: transparens, dokumentasjon og risikovurdering.

Sjekk GDPR-statusen din gratis på 5 minutter

Få oversikt over hva du har på plass, hva som mangler, og generer lovpålagt behandlingsprotokoll. Juridisk kvalitetssikret for norske virksomheter.

Start nå