Starter August 2, 2026, har enhver organisation, der bygger eller implementerer generative AI-systemer, der når ud til mennesker i EU, en ny juridisk pligt: den skal oplyse, at indholdet er genereret af AI. Denne pligt stammer fra artikel 50 i EU's AI-lov og er blandt de mest vidtrækkende bestemmelser i forordningen.
I modsætning til lovens regler for højrisiko-AI, som kun gælder for specifikke anvendelsesscenarier såsom ansættelse eller kreditvurdering, gælder artikel 50 for næsten ethvert AI-system, der interagerer med mennesker, skriver for mennesker eller præsenterer mennesker for syntetiske medier.
For organisationer, der opererer globalt, er forståelse af kravene til gennemsigtighed i EU's AI-lovgivning ved at blive en væsentlig del af enhver AI-styringsstrategi. Heldigvis er teknologier som f.eks. C2PA-indholdslegitimationsoplysninger, betroet tidsstempling og CAWG-identitetspåstande giver en praktisk ramme til at demonstrere AI-indholdsgodkendelse og AI-oprindelse.
Udforsk SSL's C2PA-løsningerHvad er artikel 50 i EU's AI-lov?
Artikel 50 i EU's AI-lovgivning (forordning (EU) 2024/1689) fastsætter gennemsigtighedsforpligtelser for udbydere og distributører af visse AI-systemer. Kort sagt kræver det, at folk får besked, når de interagerer med AI, og at AI-genereret eller manipuleret indhold kan detekteres som kunstigt. Målet er, som det fremgår af lovens betragtninger, at reducere risikoen for bedrag, efterligning og misinformation og at bevare tilliden til de oplysninger, folk ser og interagerer med online.
Det, der adskiller artikel 50 fra det meste af AI-loven, er dens anvendelsesområde. Lovens hovedregler, der dækker overensstemmelsesvurderinger, teknisk dokumentation og CE-mærkning, gælder kun for AI-systemer, der er klassificeret som "højrisiko".
Artikel 50 fungerer dog ikke på den måde. Den gælder for ethvert AI-system, der anvendes i en af fire specifikke situationer, uanset risikoklassificering. En virksomhed uden højrisiko-AI-systemer kan stadig have betydelige forpligtelser i henhold til Artikel 50, blot fordi den driver en kundesupport-chatbot, udgiver AI-udarbejdede artikler eller bruger et værktøj, der producerer syntetiske billeder.
Fra den 2. august 2026 skal alle AI-systemer, der er omfattet af artikel 50, og som bringes i omsætning eller tages i brug i EU, opfylde disse forpligtelser, uanset hvornår systemet først blev frigivet.
Hvordan EU's AI-lovgivnings artikel 50 påvirker virksomheder, der bruger AI
Mange organisationer antager, at artikel 50 i EU's AI-lovgivning kun påvirker AI-udviklere eller store teknologivirksomheder. I virkeligheden rækker reguleringen meget længere.
Hvis din organisation bruger generativ kunstig intelligens til at skabe eller ændre indhold, der ses af målgrupper i Den Europæiske Union, kan du have forpligtelser til at gennemsigtige AI-aktiviteter.
Som eksempler kan nævnes:
- Marketingteams, der genererer AI-assisterede reklamekampagner
- Virksomheder, der udgiver AI-genererede blogindlæg eller produktbeskrivelser
- Nyhedsorganisationer bruger AI til at opsummere artikler
- Finansielle institutioner, der producerer kundekommunikation
- Sundhedsudbydere, der skaber uddannelsesmæssigt indhold
- Advokatfirmaer udarbejder AI-assisteret dokumentation
- Detailhandlere, der producerer syntetiske produktbilleder
- Medieorganisationer, der udgiver AI-genereret lyd eller video
Forordningen skelner mellem udbydere og udrullere.
Udbydere af generative AI-systemer er ansvarlige for at sikre, at syntetiske output inkluderer maskinlæsbar AI-indholdsmærkning.
Deployere, hvilket betyder, at organisationer, der professionelt bruger AI-systemer, er ansvarlige for at videregive AI-genereret eller manipuleret indhold, der præsenteres for offentligheden. Dette omfatter deepfakes og visse former for AI-genereret indhold relateret til spørgsmål af offentlig interesse.
Begge har forpligtelser, men hvilke der gælder, afhænger af systemtypen og hvordan det anvendes. Det er vigtigt at bemærke, at forpligtelserne også gælder for open source AI-systemer. Der er ingen generel undtagelse for åbne modeller.
Selv når mennesker gennemgår AI-genereret indhold, bør organisationer omhyggeligt vurdere, om gennemsigtighedsforpligtelser stadig gælder.
De fire forpligtelser i henhold til artikel 50
Artikel 50 dækker fire forskellige kategorier af AI-systemer. Det er nyttigt at tænke på dem som fire separate regler, der tilfældigvis findes i den samme artikel:
1. Informer folk, når de interagerer direkte med et AI-system (artikel 50(1))
Antag, at et AI-system er designet til at interagere direkte med en person, såsom en chatbot, virtuel assistent, automatiseret telefonsystem eller AI-agent. Udbyderen skal designe det, så personen ved, at de taler til en maskine, ikke et menneske. Der er en snæver undtagelse: hvis det allerede er tydeligt for en "rimeligt velinformeret, observant og velunderrettet" person, at de har at gøre med AI, er offentliggørelse ikke påkrævet. Reguleringsvejledning har også bekræftet, at autonome AI-agenter falder ind under denne regel, og at hvor en udbyder ikke pålideligt kan forudsige, om en agent vil interagere med et menneske, er den sikrere vej at designe det til at afsløre dets natur, når det er plausibelt.
Der er en separat undtagelse for AI-systemer, der er godkendt ved lov til at opdage, forebygge, efterforske eller retsforfølge straffelovsovertrædelser, medmindre systemet er et, som offentligheden kan bruge til at anmelde en forbrydelse.
2. Sørg for, at AI-genererede medier og tekster indeholder maskinlæsbare markeringer, der identificerer dem som kunstige (artikel 50(2))
Udbydere af generative AI-systemer, herunder generelle AI-systemer, der producerer syntetisk lyd, billeder, videoer eller tekst, skal sikre, at deres output er markeret i et maskinlæsbart format og kan detekteres som kunstigt genereret eller manipuleret. Dette er reglen om at "vandmærke dine output", og det er den, der er tættest knyttet til standarder som C2PA Content Credentials.
Det er afgørende, at mærkningen rent faktisk fungerer. Loven kræver, at de anvendte tekniske løsninger er effektive, interoperable, robuste og pålidelige, idet der tages højde for den nyeste teknologi og implementeringsomkostninger. En etiket, der forsvinder i det øjeblik, et billede bliver omkodet eller taget et skærmbillede, opfylder ikke standarden.
3. Underret enkeltpersoner, når der anvendes systemer til følelsesgenkendelse eller biometriske kategorisering (artikel 50(3))
Implementeringsvirksomheder af systemer til følelsesgenkendelse eller biometriske kategorisering skal informere de personer, der er udsat for dem, om, hvordan systemet fungerer, og hvordan det håndterer personoplysninger i overensstemmelse med GDPR og relateret EU-databeskyttelseslovgivningLigesom med de andre regler er der en undtagelse for systemer, der er tilladt ved lov til at opdage, forebygge eller efterforske strafbare handlinger.
4. Tydelig offentliggørelse af AI-genereret eller manipuleret indhold, herunder deepfakes og visse offentligt vendte AI-genererede tekster (artikel 50(4))
Udviklere, der bruger AI til at generere eller manipulere billed-, lyd- eller videoindhold, der kvalificerer som deepfake, skal oplyse, at indholdet er kunstigt. Udviklere, der udgiver AI-genereret eller AI-manipuleret tekst specifikt for at informere offentligheden om spørgsmål af offentlig interesse, skal også oplyse, at teksten er AI-genereret.
Der er en betydelig undtagelse her: Forpligtelsen til at offentliggøre tekst gælder ikke, hvis indholdet er blevet gennemgået af en menneskelig person, og en fysisk eller juridisk person påtager sig det redaktionelle ansvar for det. I praksis betyder det, at en fuldt AI-udarbejdet artikel, som en menneskelig redaktør gennemgår og tager ejerskab over, kan falde uden for denne specifikke offentliggørelsesforpligtelse, selvom andre forpligtelser stadig kan gælde. "Spørgsmål af offentlig interesse" læses bredt nok til at omfatte beskæftigelses-, sundheds-, finans- og juridisk kommunikation, ikke kun nyheder.
Sanktioner for manglende overholdelse
Overtrædelser af artikel 50 håndhæves alvorligt. Manglende overholdelse kan resultere i bøder på op til 15 millioner euro eller 3 % af den samlede globale årlige omsætning for det foregående regnskabsår, alt efter hvad der er størst, for virksomheder, der overtræder reglerne. EU-institutioner, -organer og -agenturer er underlagt et separat loft på op til 750,000 EUR.
Europa-Kommissionen har også udviklet en frivillig praksiskodeks for gennemsigtighed af AI-genereret indholdsammen med implementeringsretningslinjer for at hjælpe med at standardisere, hvordan virksomheder opfylder mærknings- og etiketteringskravene. Organisationer, der overholder en godkendt kodeks, kan nævne denne overholdelse som en formildende faktor og kan opleve, at håndhævelsesfokus skifter til overvågning af kodeksoverholdelse i stedet for individuelle undersøgelser.
Hvorfor "Vi tilføjede en etiket" ikke er det samme som overholdelse af regler
Det er her, de fleste implementeringsplaner for Artikel 50 støder på problemer. At opfylde Artikel 50(2) handler ikke blot om at sætte et synligt vandmærke på et billede eller tilføje "AI-genereret" i bunden af en artikel. Praksiskodekset gør det klart, at ingen enkelt markeringsteknik er tilstrækkelig i sig selv. Et forsvarligt compliance-program skal overleve den virkelige verden: skærmbilleder, omkodning, genuploads på sociale medier, formatkonverteringer og bevidste forsøg på at fjerne markeringer.
Det betyder, at en brugbar tilgang kombinerer flere mekanismer:
- Signeret proveniens (hård indbinding): Et kryptografisk signeret manifest, såsom en C2PA-indholdslegitimationsfil, der er bundet til indholdet og manipulationssikret, hvis det ændres.
- Vandmærke og fingeraftryk (blød indbinding): Et umærkeligt mærke, der stadig kan gendannes, selvom metadataene fjernes.
- Menneskelæsbar mærkning: Den synlige afsløring, som en person rent faktisk ser, ideelt set ved hjælp af en standardiseret AI-indikator.
- Forvaltning: Kontraktvilkår, der forbyder fjernelse af legitimationsoplysninger, pipelines, der bevarer dem fra start til slut, og en måde, hvorpå folk offentligt kan verificere et stykke indholds oprindelse.
C2PA-indholdslegitimationsoplysninger er blevet rygraden i det første og andet lag og er reelt den eneste bredt anvendte standard, der opfylder kodens krav til signerede, manipulationssikre og interoperable metadata.
Tillidslaget: Hvad gør en legitimationsoplysninger troværdige?
Enhver kan generere et nøglepar og underskrive metadata. Det, der gør en indholdslegitimation til noget, som en seer, en platform eller en regulator rent faktisk kan stole på, er den tillidskæde, der står bag den signatur. Tre ting skal holde:
Hvad: den manifeste underskrift. Manifestet skal underskrives med et certifikat, der er knyttet til en certifikatmyndighed på den publicerede C2PA-tillidsliste såsom SSL.com. Det er det, der gør det muligt for enhver kompatibel verifikator at validere legitimationsoplysningerne automatisk uden en proprietær kontrol.
Hvornår: et konformt tidsstempel. Et uafhængigt tidsstempel fra en tidsstempelmyndighed på C2PA TSA-tillidsliste, såsom SSL, beviser, at indholdet blev underskrevet på et bestemt tidspunkt. Det holder legitimationsoplysningerne gyldige, selv efter at selve underskriftscertifikatet udløber. Dette stemmer direkte overens med praksiskodeksets opfordring til, at information skal signeres digitalt og tidsstemples.
Hvem: bekræftet identitet. CAWG (Arbejdsgruppe for Skaberpåstande) Identitetsbekræftelseslaget binder en verificeret juridisk enhed eller person til legitimationsoplysningerne. Dette flytter samtalen fra "hvilket værktøj lavede dette" til "hvem står bag det". Kun et begrænset sæt certifikatmyndigheder er i øjeblikket autoriseret til at udstede CAWG-identitetsbekræftelser, og praksiskodekset opfordrer specifikt til deres brug.
Hvis et af disse tre beviser ikke findes, er legitimationsoplysningerne teknisk set til stede, men praktisk talt svage: uverificerbare, udefinerbare eller anonyme.
En hurtig tjekliste over compliance
Hvis du opbygger et Artikel 50-program, er der et par ting, der er værd at overveje for at opbygge et stærkt system:
- Har dine output en maskinlæsbar mærkning, som ikke kun er synlig for mennesker?
- Overlever den markering genkodning, skærmbilleder og platformuploads?
- Er dit signeringscertifikat rodfæstet på C2PA-tillidslisten?
- Bruger du en tidsstempelautoritet på C2PA TSA-tillidslisten?
- Kan du knytte en verificeret identitet til dit indhold via CAWG-påstande?
- Har din udbyder en verificerbar offentlig CA-historik med uafhængige revisioner som f.eks. WebTrust?
- Er den udbyder aktiv i standardiseringsorganer som f.eks. CA / Browser Forum?
- Integreres signeringstjenesten rent faktisk i din eksisterende indholdspipeline, eller kræver den en genopbygning?
Hvor SSL passer ind
At få den rigtige mærkning er ét problem. At skabe tillid bag den rigtige mærkning er noget andet, og det afhænger af en infrastruktur, der tager år at etablere: medlemskab af tillidslister, reviderede operationer og anerkendelse på tværs af verifikationsøkosystemet.
SSL er en C2PA Trust List-kompatibel certifikatautoritet og en C2PA-kompatibel tidsstempelautoritet og er en af det begrænsede sæt af offentlige CA'er, der er autoriseret til at udstede CAWG-identitetsbekræftelsescertifikater.
SSL samler alle disse vigtige tillidskomponenter under ét globalt betroet publikum PKI, hvilket gør det nemmere for organisationer at implementere overholdelse af Artikel 50 i dag, samtidig med at de forbereder sig på fremtiden for troværdigt AI-genereret indhold.
Tal med SSL-teamet om C2PA- og CAWG-certifikater for at lære mere om, hvordan overholdelse af Artikel 50 passer ind i din eksisterende indholdspipeline, eller udforsk SSL's fulde udvalg af Løsninger til indholdsautenticitet at komme i gang.
