Den komplette guiden: AI Act for dem som driver markedsføring med AI hver dag
Hvis du skriver tekster med en AI-assistent, genererer bilder til annonser, har en chatbot på nettstedet eller tilpasser tilbud med algoritmer, berører den europeiske forordningen om kunstig intelligens deg. Den gode nyheten: for vanlig markedsføring er pliktene tydelige og kan følges uten tungt byråkrati. Den mindre gode nyheten: noen gjelder allerede, og tidsplanen ble endret i 2026. Guiden oppsummerer situasjonen per oktober 2026, basert på offisielle kilder fra EU-kommisjonen, Rådet og Europaparlamentet. Den er til informasjon, ikke juridisk rådgivning: i en konkret situasjon bør du snakke med en jurist.
Hva AI Act er, og tidsplanen for når den gjelder
Forordning (EU) 2024/1689, kjent som AI Act, er det første omfattende rettslige rammeverket for kunstig intelligens. Den trådte i kraft 1. august 2024 og deler AI-systemer inn i risikonivåer: forbudt praksis, høyrisikosystemer, systemer med åpenhetsplikter og systemer med minimal risiko uten nye regler. Forordningen skiller mellom leverandøren (den som utvikler systemet og bringer det i omsetning, for eksempel produsenten av en videogenerator) og idriftsetteren (den som bruker det profesjonelt, altså byrået eller firmaet ditt). De fleste av pliktene dine er idriftsetterens.
Tidsplanen slik den ser ut etter endringene i 2026, ifølge AI Act Service Desk:
- 2. februar 2025: definisjonene, plikten til AI-kompetanse (art. 4) og forbudene i art. 5 gjelder.
- 2. august 2025: pliktene for leverandører av AI-modeller for allmenne formål (de store modellene bak assistentene og generatorene), styringsreglene og reglene om sanksjoner gjelder.
- 2. august 2026: størstedelen av forordningen gjelder, også åpenhetspliktene i art. 50, og den faktiske håndhevingen av forbud, åpenhet, AI-kompetanse og modeller for allmenne formål starter.
- 2. desember 2026: forbudet mot systemer som genererer intimt innhold uten samtykke og materiale med seksuelle overgrep mot barn trer i kraft; samtidig utløper overgangsordningen for teknisk merking av innhold fra systemer som ble brakt i omsetning før 2. august 2026.
- 2. desember 2027: reglene for høyrisikosystemer i vedlegg III (for eksempel rekruttering, kredittvurdering, utdanning).
- 2. august 2028: reglene for høyrisikosystemer integrert i regulerte produkter (vedlegg I).
For Romania oppgir Kommisjonen ANCOM som felles kontaktpunkt for markedstilsyn, med det nasjonale vedtaket om utpeking fortsatt under endelig behandling ved siste oppdatering av listen. For personopplysninger er tilsynsmyndigheten fortsatt ANSPDCP.
Hva Digital Omnibus endret
Den 19. november 2025 foreslo Kommisjonen en forenklingspakke kalt Digital Omnibus, med en egen del om AI Act. Rådet og Parlamentet kom til politisk enighet 7. mai 2026, Parlamentet godkjente den 16. juni, Rådet vedtok den endelig 29. juni, og endringsforordningen, (EU) 2026/1744, trådte i kraft 27. juli 2026. Dette er det som betyr noe for markedsføring:
- Fristene for høy risiko er flyttet til 2. desember 2027 og 2. august 2028, med faste datoer.
- AI-kompetanse er omformulert. Leverandører og idriftsettere iverksetter tiltak som støtter utviklingen av AI-kompetansen hos personene som bruker systemene på deres vegne, uten plikt til å garantere et bestemt nivå for hver enkelt. Kommisjonen og medlemsstatene støtter arbeidet, særlig for SMB-er.
- Teknisk merking av generert innhold har en overgangsperiode til 2. desember 2026, bare for systemer som ble brakt i omsetning før 2. august 2026. Dette er en plikt for leverandørene.
- Et nytt forbud gjelder systemer som genererer seksuelt eller intimt innhold med identifiserbare personer uten deres samtykke.
- Enkelte forenklinger for SMB-er er utvidet til små mellomstore selskaper (small mid-caps).
Det som ikke er endret: åpenhetspliktene for chatboter og deepfakes gjelder fra 2. august 2026, og praksisene som ble forbudt i 2025, er fortsatt forbudt.
Chatboter og taleagenter: personen får vite at den snakker med en AI
Art. 50 nr. 1 krever at systemer som samhandler direkte med mennesker, skal utformes slik at personen får vite at den snakker med et AI-system, unntatt der det er åpenbart for et rimelig oppmerksomt menneske. Utformingsplikten ligger hos leverandøren, men det er du som konfigurerer chatboten: navn, tone, velkomstmelding. Ikke få den til å virke som et menneske.
- Informasjonen gis senest ved første interaksjon, tydelig og tilgjengelig (art. 50 nr. 5). Et eksempel på første melding: «Hei! Jeg er klinikkens virtuelle assistent, et AI-system. Jeg hjelper deg med timebestillinger og generelle spørsmål. Vil du snakke med et menneske, skriver du ‘operatør’.»
- For taleagenter kommer informasjonen i de første sekundene av samtalen, ikke bare i vilkårene på nettstedet.
- Ikke bruk bildet og navnet til en ekte ansatt for en AI-assistent.
- Tilby alltid en vei til et menneske, og si hvor lang tid svaret tar.
- Samtalene er personopplysninger: nevn dem i personvernerklæringen, bestem hvor lenge du lagrer dem, og ikke bruk dem til andre formål uten rettslig grunnlag.
I tillegg gjelder at hvis et verktøy utleder noens følelser fra stemme eller ansikt, må de som eksponeres, informeres (art. 50 nr. 3), og bruk av det på arbeidsplassen eller i utdanning er forbudt, med unntak for medisinske formål og sikkerhet.
Generert innhold og deepfakes: hva du merker, og hvordan
Forordningen deler ansvaret i to:
- Leverandørene av generatorer for tekst, bilde, lyd og video merker resultatene i et maskinlesbart format, slik at de kan oppdages (art. 50 nr. 2). Funksjoner som hjelper med vanlig redigering og ikke endrer materialet vesentlig, er unntatt.
- Idriftsetterne, altså du, informerer publikum når et materiale er en deepfake: bilde, lyd eller video som er generert eller manipulert, som ligner virkelige personer, gjenstander, steder, enheter eller hendelser og kan fremstå som falskt autentisk (art. 50 nr. 4).
Eksempler fra markedsføring som krever opplysning: firmaets direktør som snakker tysk via en dubbing som kloner stemmen hans; en digital programleder laget etter en ekte ansatt; et ekte bilde av en tom leilighet, møblert med AI for en annonse (nettopp eksempelet Kommisjonen bruker for ikonet «delvis endret»); en realistisk scene på et lett gjenkjennelig sted som aldri har funnet sted.
For et åpenbart kunstnerisk, kreativt, satirisk eller fiktivt verk begrenser opplysningen seg til å nevne at innholdet er generert, uten å ødelegge opplevelsen. For tekster: tekster generert med AI som informerer publikum om saker av allmenn interesse, merkes, unntatt dem som har vært gjennom menneskelig gjennomgang og der en person eller et firma tar redaksjonelt ansvar. For en bedriftsblogg betyr det en redaktør som leser, retter og står ansvarlig for teksten.
Slik merker du:
- tydelig og synlig, senest ved første eksponering, i tråd med kravene til tilgjengelighet (art. 50 nr. 5);
- integrert i materialet, slik at merkingen forblir synlig når klippet deles videre eller lastes ned;
- med enkle ord («stemme generert med AI», «bilde endret med AI»), eventuelt med EU-ikonene, som er frivillige og gratis, i tre varianter: grunnvariant, «helt generert» og «delvis endret»;
- med alternativ tekst for skjermlesere, der formatet tillater det.
Kommisjonen har publisert retningslinjer for god praksis for åpenhet om generert innhold, bekreftet av Kommisjonen og AI Board som et egnet verktøy for å vise etterlevelse, og veiledning om art. 50, med eksempler på hva som omfattes av plikten og hva som ikke gjør det. Sosiale plattformer har i tillegg egne merkeregler; du følger begge.
Personalisering og profilering: der det møter GDPR
AI Act erstatter ikke GDPR. De fleste risikoene ved personalisering med AI er fortsatt personvernrisikoer:
- Rettslig grunnlag. Profilering for markedsføring krever samtykke eller berettiget interesse, med en skriftlig interesseavveining. For informasjonskapsler og elektronisk markedsføring gjelder i tillegg samtykkereglene i lov nr. 506/2004.
- Retten til å protestere. Personen kan når som helst protestere mot behandling for direkte markedsføring, også profilering knyttet til dette, og etter protesten brukes dataene ikke lenger til dette formålet (art. 21 GDPR).
- Automatiserte avgjørelser. Hvis en algoritme avgjør på egen hånd, med rettsvirkninger eller tilsvarende betydelige virkninger (for eksempel avslag på finansiering), gjelder art. 22 GDPR, med garantier som menneskelig inngripen.
- Konsekvensvurdering. Systematisk og omfattende profilering kan kreve en vurdering av personvernkonsekvenser (art. 35 GDPR).
- Sensitive opplysninger. Ikke utled folks helse, religion eller seksuelle orientering ut fra atferd for å målrette mot dem. AI Act forbyr i tillegg biometrisk kategorisering som utleder rase, politiske meninger, religiøs overbevisning eller seksuell orientering.
- Åpenhet. Personvernerklæringen forklarer forståelig hvilke data du bruker til personalisering, og hvordan personen kan protestere.
Forbudt praksis som berører markedsføring
Fra 2. februar 2025 forbyr art. 5 blant annet to former for praksis som direkte berører kommersiell kommunikasjon:
- Manipulering: AI-systemer som bruker subliminale teknikker eller bevisst manipulerende eller villedende teknikker, med formål eller virkning å fordreie noens atferd vesentlig ved å svekke evnen til å ta en informert beslutning, på en måte som påfører eller kan påføre vedkommende betydelig skade.
- Utnyttelse av sårbarheter knyttet til alder, funksjonsnedsettelse eller en bestemt sosial eller økonomisk situasjon, med samme type virkning.
Terskelen er høy: vanlig overbevisende reklame blir ikke forbudt bare fordi den bruker AI. Risikoen oppstår når du kombinerer finmasket personalisering med et sårbart publikum og et budskap som utnytter sårbarheten. Situasjoner du bør unngå: forbrukslån som automatisk skyves mot personer identifisert som økonomisk pressede, algoritmisk kalibrert «siste sjanse»-press mot eldre, budskap til barn optimalisert for å holde dem i appen. Kommisjonen har publisert veiledning om forbudt praksis, med konkrete eksempler.
Mye står på spill: for forbudt praksis kan bøtene komme opp i 35 millioner euro eller 7 % av den globale årsomsetningen, avhengig av hva som er høyest, mens det for SMB-er gjelder det laveste av de to beløpene (art. 99). For brudd på åpenhetspliktene er taket 15 millioner euro eller 3 %.
Oversikt over verktøyene, interne retningslinjer, menneskelig kontroll
Oversikten. Du kan ikke følge regler for verktøy du ikke vet at du bruker. En tabell er nok: verktøyet og leverandøren, formålet, hvem som bruker det, hvilke data som legges inn (personopplysninger, konfidensielle opplysninger, kundedata), hva som kommer ut (tekst, bilde, stemme, video, beslutninger), om resultatet kan være en deepfake, status for kontrakten og databehandleravtalen, intern ansvarlig. Oppdater den hvert kvartal: kollegaene tar i bruk nye verktøy raskere enn prosedyrene kommer.
Interne retningslinjer for bruk av AI, på én til to sider, med enkelt språk:
- hvilke verktøy som er godkjent, og til hva;
- hva du aldri legger inn i et verktøy som ikke er godkjent: kunders personopplysninger, konfidensiell informasjon, materiale mottatt under taushetsavtale;
- hva som er forbudt: kloning av stemme eller ansikt uten skriftlig samtykke, etterligning av virkelige personer, påstander uten bevis, budskap som retter seg mot folks sårbarheter;
- merkereglene og hvem som avgjør om et materiale er en deepfake;
- hvordan du rapporterer en feil eller en hendelse;
- hvordan du lærer: praktiske økter, eksempler fra firmaets prosjekter, referansemateriale.
Det siste punktet svarer også på art. 4: etter endringene i 2026 krever AI-kompetanse tiltak som støtter kompetanseutviklingen, ikke et sertifikat for hver person. Ta likevel vare på dokumentasjonen: agendaen for opplæringene, deltakerne, materialet.
Menneskelig kontroll. Ethvert offentlig materiale laget med AI har et menneske som står ansvarlig for det: sjekker fakta, tone, rettigheter og merking, og godkjenner deretter. Fireøyneprinsippet (forfatteren og én kollega til) er en god standard for kampanjer, og et påtatt redaksjonelt ansvar fritar deg fra merkeplikten for tekster av allmenn interesse.
Kontrakter og databehandleravtaler med leverandørene
Når en AI-leverandør behandler personopplysninger på dine vegne, trenger du en databehandleravtale (DPA) i henhold til art. 28 GDPR. For AI-verktøy bør du i tillegg sjekke:
- Trening på dine data: er det utelukket som standard eller må det slås av, og i hvilket abonnement?
- Hvor behandlingen skjer og grunnlaget for overføringer ut av EØS (beslutning om tilstrekkelig beskyttelsesnivå eller standard personvernbestemmelser).
- Underdatabehandlerne, lagringstiden og slettingen til slutt, også av stemmemodeller og avatarer.
- Rettighetene til resultatene: hvem som eier dem, om kommersiell bruk er tillatt i ditt abonnement, om leverandøren tilbyr skadesløsholdelse ved krav om immaterielle rettigheter.
- Åpenheten: hvordan leverandøren merker generert innhold, og om den har signert retningslinjene for god praksis.
- Sikkerheten: sertifiseringer, tilgangskontroll, aktivitetslogger.
Den samme grundigheten gjelder nedover i kjeden. I kontrakten med kunden fastsetter du hvem som godkjenner materialet, hvem som har ansvaret for merkingen og hvem som innhenter samtykke fra personene i klippene. I kontrakten med stemmene og ansiktene som brukes (skuespillere, ansatte, ambassadører), fører du opp formål, kanaler, varighet, godtgjørelse, rett til å trekke seg og hva som skjer med modellen til slutt.
Sjekklisten for en kampanje med AI-innhold
- Verktøyene som brukes, står i registeret og er godkjent gjennom de interne retningslinjene.
- Det finnes en databehandleravtale med hver leverandør som behandler personopplysninger.
- Vilkårene for hvert verktøy tillater kommersiell bruk av resultatene i abonnementet som brukes.
- Hver klonet stemme og hver avatar av en virkelig person har skriftlig samtykke, med formål, varighet og rett til å trekke det tilbake.
- Musikk, bilder, fonter og filmopptak har gyldige lisenser for kampanjens kanaler.
- Påstander, tall og løfter har kilde og er kontrollert av et menneske.
- Du har avgjort, materiale for materiale, hva som er deepfake og ikke, og notert begrunnelsen.
- Deepfakes har en tydelig opplysning, synlig fra første eksponering og integrert i materialet.
- Tekniske merker og opprinnelsesmetadata er intakte etter eksport.
- Chatboten eller taleagenten presenterer seg som AI fra første melding og tilbyr en vei til et menneske.
- Personaliseringen har dokumentert rettslig grunnlag, og folk kan enkelt protestere.
- Kampanjen retter seg ikke mot sårbare personer med budskap som utnytter sårbarheten deres.
- Du har fulgt hver plattforms merkeregler.
- En ansvarlig person har godkjent den endelige versjonen skriftlig.
- Manus, prompter, samtykker og endelige versjoner er arkivert.
Med sjekklisten krysset av har du en kampanje du kan forklare for alle som spør: kunde, publikum eller myndighet. Vil du at vi bygger AI-retningslinjene dine, verktøyregisteret og godkjenningsflyten, kan du se tjenesten strategi og rådgivning eller skrive til oss om situasjonen din. For videoproduksjon med AI kan du fortsette med guiden Video og stemme med AI.
Les videre
- Video og stemme med AI: ElevenLabs, HeyGen, Higgsfield
- Den komplette guiden til innholdsmarkedsføring
- Den komplette guiden til sosiale medier
- Chatbotmarkedsføring for bedrifter
- Samtalebasert markedsføring: chatbot og AI
- Markedsføring i personvernets tidsalder
- Personalisering i markedsføring
- Førstepartsdata etter informasjonskapslene
- Permission marketing: markedsføring med samtykke
- Kunstig intelligens i markedsføring: praktisk guide