Det första steget för att avgöra vilka transparenskrav som blir tillämpliga är att fastställa att AI-förordningen är tillämplig och att den aktuella tekniken utgör ett AI-system enligt förordningen. Har detta konstaterats blir nästa steg att avgöra vilken roll man har i förhållande till AI-systemet.
AI-förordningen skiljer mellan olika aktörer i AI-systemets värdekedja. Artikel 50 innehåller dels skyldigheter för leverantörer (Eng. provider) av AI-system, dels skyldigheter för de aktörer som använder systemen i yrkesmässig verksamhet. Den senare kategorin kallas “tillhandahållare” i den svenska versionen av förordningen. I den här artikeln använder vi i stället begreppet användare när vi talar om ”tillhandahållare”, då vi anser att det tydligare särskiljer denna roll från leverantörsrollen.
Det som är viktigt att komma ihåg är att en organisation kan ha flera roller för ett och samma AI-system och därmed omfattas av skyldigheter för båda dessa aktörer.
För att hjälpa företag som tror sig omfattas av transparenskraven har EU-kommissionen antagit icke-bindande riktlinjer för att uttolka desamma (hädanefter riktlinjerna).
Utöver detta har EU:s AI Office tagit fram en frivillig kod för hur leverantörer respektive användare av AI-system kan uppfylla kraven på märkning och upptäckbarhet av AI-genererat innehåll, den s.k. Code of Practice on Transparency of AI-generated Content. På EU-kommissionens hemsida kan man också se vilka aktörer som har undertecknat koden.
Koden ersätter inte AI-förordningens bestämmelser eller riktlinjerna utan utgör ett komplement. Enligt riktlinjerna är efterlevnad av koden ett okomplicerat, förutsägbart och juridiskt säkert sätt att visa att man som aktör följer kraven. I riktlinjerna nämns även att efterlevnad av koden skulle kunna beaktas som en förmildrande omständighet när en sanktionsavgift bestäms.
Leverantörer av AI-system som är avsedda att interagera direkt med fysiska personer ska utforma systemet så att personer informeras om att interaktionen sker med AI. Informationen ska vara tydlig och urskiljbar och lämnas senast vid den första interaktionen. Den ska även anpassas till sårbara grupper, till exempel barn och äldre, samt vara tillgänglig.
Exempel på AI-system som anses ha en sådan direkt interaktion är, enligt riktlinjerna, chattbottar, röstassistenter och AI-agenter.
Skyldigheten att informera gäller dock inte om det med hänsyn till omständigheterna och sammanhanget är uppenbart för en normalt informerad samt skäligen uppmärksam och medveten person att denne interagerar med AI. Undantaget ska enligt riktlinjerna tolkas restriktivt. Allmän medvetenhet om att chattbottar och AI-agenter finns innebär inte att man känner igen dem i en viss interaktion, och bedömningen beror bland annat på typen av interaktion och vilken målgrupp systemet riktar sig till.
Om AI-systemet endast är tillgängligt för en professionell eller specialiserad publik, utan att sårbara grupper kan exponeras för det, kan detta tala för att det är uppenbart att interaktionen sker med AI. Däremot kan undantaget inte tillämpas om AI-systemet kan användas av allmänheten eller konsumenter, där även personer från sårbara grupper kan antas ingå.
Enligt riktlinjerna omfattas även AI-agenter av skyldigheten att informera om de är kapabla till att interagera med de personer som instruerar dem eller med andra personer vid utförandet av olika sysslor. AI-agenter måste därför designas och utvecklas på ett sådant sätt att de både informerar om att de utgör AI samt för vems räkning de agerar.
Om det inte är känt i förväg om AI-agenten kommer att interagera med en fysisk person, ska den ge sig till känna i varje situation där det är rimligt sannolikt att den gör det, även när personen agerar för ett företag. Agenten bör dessutom ge sig till känna för den som instruerar den vid viktiga steg, t.ex. vid godkännande, rapportering och validering, samt vid varje ny interaktion.
Leverantörer av AI-system som genererar eller manipulerar syntetiskt ljud-, bild-, video- eller textinnehåll ska se till att systemets utdata märks i maskinläsbart format och kan upptäckas som AI-genererat eller AI-manipulerat. Båda leden måste vara uppfyllda.
Med ”generera innehåll” menas exempelvis att systemet skapar en bild baserat på en mänsklig prompt. Med ”manipulera innehåll” menas i stället att redan existerande innehåll ändras av ett AI-system – t.ex. att en bild eller röst manipuleras i enlighet med en människas instruktioner. Även innehåll som består av både AI-skapat och mänskligt skapat material omfattas.
Allt innehåll omfattas dock inte. Exempelvis faller system som endast hjälper till med enkel databehandling utanför. Detsamma gäller AI-system som i princip återskapar innehåll utan att skapa något nytt innehåll eller manipulera innehållet som sådant. Utanför tillämpningsområdet faller även utdata som enbart är avsedda att kommuniceras mellan två maskiner, utdata som enbart används inom en stängd krets i ett produktionsflöde (t.ex. vid produktion av film, spel eller reklam) så länge det inte rör sig om det färdiga resultatet, samt korta utdata i form av enstaka ord eller bildtexter.
En annan intressant gränsdragning som riktlinjerna tar upp är att utdata från AI-system som används för grammatikkontroll, stavningskontroll och översättning inte behöver märkas. Om ett AI-system däremot används för att generera sammanfattningar eller omskrivningar som ändrar stil, struktur eller innebörd ska utdatan märkas.
För vissa industri- och business-to-business-tillämpningar som inte riktar sig till konsumenter eller allmänheten anger riktlinjerna även att märkning inte krävs, under förutsättning att utdatan är strikt teknisk, endast är avsedd för en begränsad krets av personer inom organisationen och inte är avsedd att spridas utanför bolaget.
De tekniska lösningarna för att å ena sidan märka utdata i ett maskinläsbart format och å andra sidan säkerställa att utdatan kan upptäckas som AI-genererat, ska, så långt det är tekniskt möjligt, vara effektiva, interoperabla, robusta och tillförlitliga.
För AI-system som släpps ut på marknaden eller tas i bruk från och med den 2 augusti 2026 gäller ovan regler från det datumet. För AI-system som släppts ut på marknaden eller tagits i bruk före den 2 augusti 2026 börjar dessa krav i stället tillämpas den 2 december 2026. Övergångsperioden gäller enbart kraven på märkning och upptäckbarhet, så system som också interagerar med personer måste uppfylla informationskravet redan från den 2 augusti 2026. Innehåll som genererats före den 2 augusti 2026 behöver inte märkas i efterhand.
I värdekedjan för ett AI-system kan det finnas flera leverantörer i olika led. Enligt riktlinjerna kan en leverantör i ett senare led välja att förlita sig på den märkningsteknik som leverantören av den underliggande modellen, eller en tredje part, tillämpar, men leverantören i det senare ledet måste alltjämt kunna visa att kraven är uppfyllda.
Så länge allmänt tillgängliga standarder saknas får leverantören använda en egen lösning eller en tredje parts lösning för att upptäcka märkningen, förutsatt att den fungerar tillsammans med andra leverantörers lösningar.
Kraven riktar sig i denna del till leverantören av systemet. För företag som använder generativ AI blir det ändå relevant att förstå hur den tekniska märkningen fungerar och hur den förhåller sig till de transparenskrav som kan uppstå när innehållet sedan används eller publiceras.
Företag som använder AI-system för att skapa eller manipulera bild-, ljud- eller videoinnehåll som utgör en deepfake ska tydligt upplysa om att innehållet har genererats eller manipulerats med AI. Märkningen ska kunna uppfattas utan tekniska hjälpmedel.
Som exempel på vad som ryms inom begreppet deepfake nämns i riktlinjerna, en realistisk syntetisk avatar av ett bolags VD som tackar de anställda för årets resultat och en AI-genererad produktbild i reklam eller på en förpackning som kan vilseleda om produktens utseende, egenskaper eller användning. Bedömningen är objektiv och det krävs ingen avsikt att vilseleda. Däremot utgör innehållet inte en deepfake om AI endast har använts för att t.ex. justera bakgrundsdetaljer eller färgsättning och detta är av mindre relevans för hur en person uppfattar riktigheten i innehållet.
För deepfakes som ingår i uppenbart konstnärliga, kreativa, satiriska eller fiktiva verk gäller en lättare märkningsskyldighet, där upplysningen får lämnas på ett sätt som inte stör verket. Kategorierna ska dock tolkas strikt.
Reglerna omfattar också AI-genererad eller AI-manipulerad text som offentliggörs i syfte att informera allmänheten om frågor av allmänt intresse. Även här ska mottagaren som utgångspunkt informeras om AI-användningen.
Detta innebär exempelvis att företagsrapporter som publicerats på ett noterat bolags hemsida som innehåller investerarinformation ska märkas som framtagna av AI om innehållet har genererats eller manipulerats av AI, om inte undantaget för mänsklig granskning/kontroll är tillämpligt.
För företag innebär detta att transparenskraven kan bli relevanta långt utanför den tekniska organisationen. Användning av generativ AI i extern kommunikation och publicering kan exempelvis aktualisera frågor om hur innehållet har producerats, vilken mänsklig kontroll som har skett och vem som ansvarar för den slutliga publiceringen.
För AI-genererad eller AI-manipulerad text om frågor av allmänt intresse finns ett undantag från upplysningskravet när innehållet har genomgått mänsklig granskning eller redaktionell kontroll och en fysisk eller juridisk person bär det redaktionella ansvaret för publiceringen.
Enligt kommissionens icke-bindande vägledning krävs mer än en ytlig eller rent grammatisk kontroll. Den mänskliga granskningen behöver ha en reell funktion i den redaktionella processen och som minimum ska en faktakontroll göras av någon med relevant kunskap i ämnet.
Gränsdragningen är praktiskt betydelsefull. I takt med att generativ AI används som stöd vid framtagande av externt innehåll blir frågan därför inte endast om AI har använts, utan också hur den mänskliga kontrollen har organiserats och var det redaktionella ansvaret ligger.
Särskilda informationskrav gäller även för företag som använder AI-system för känsloigenkänning eller biometrisk kategorisering. Personer som exponeras för systemen ska informeras om användningen senast vid den första interaktionen eller exponeringen. Det ska dock noteras att informationsskyldigheten i sig inte gör det lagligt att använda känsloigenkänning eller biometrisk kategorisering. GDPR behöver beaktas likt att känsloigenkänning på arbetsplatser och i utbildning som huvudregel är förbjudet enligt artikel 5 i AI-förordningen.
Transparenskraven aktualiserar frågor som kan beröra flera olika delar av en organisation. En kartläggning av vilka AI-system som används och vilken roll företaget har i relation till dem blir därför en naturlig utgångspunkt.
För externa AI-gränssnitt behöver företaget bedöma hur och när information om AI-interaktionen lämnas. För innehåll som genererats eller manipulerats av AI behöver processerna samtidigt ta höjd för krav på märkning och upptäckbarhet samt för vilken mänsklig granskning som sker före publicering.
Särskilt för organisationer där generativ AI används decentraliserat kan ansvarsfördelningen få betydelse. Transparenskraven behöver kunna hanteras i de faktiska arbetsflöden där AI används, snarare än enbart genom övergripande AI-policyer.
Överträdelser av artikel 50 kan enligt AI-förordningen leda till administrativa sanktionsavgifter på upp till 15 miljoner euro eller, för företag, tre procent (3%) av föregående räkenskapsårs globala årsomsättning, beroende på vilket belopp som är högst. För små och medelstora företag gäller särskilda begränsningar.
I Sverige har Post- och telestyrelsen inom ramen för ett tidsbegränsat uppdrag ansvar för marknadskontroll av delar av artikel 50, medan Integritetsskyddsmyndigheten ansvarar för reglerna om känsloigenkänning och biometrisk kategorisering. Den permanenta svenska ansvarsfördelningen och kompletterande bestämmelser om sanktioner är fortfarande under beredning.
Inför den 2 december 2026 får frågan särskild aktualitet för leverantörer av generativa AI-system som släppts ut på marknaden eller tagits i bruk före den 2 augusti 2026 och som omfattas av övergångsreglerna. Samtidigt finns anledning för även andra företag att säkerställa att transparensfrågorna har fångats upp i organisationens bredare arbete med AI-förordningen. Som nämnts ovan gäller övergångsreglerna enbart kraven på märkning och upptäckbarhet. System som också interagerar med personer måste sedan den 2 augusti 2026 uppfylla informationskravet.
