AI Act fra 2. august: Hvorfor en QR-kode ikke erstatter KI-mærkning

Europa-Kommissionen offentliggjorde den 20. juli 2026 sine retningslinjer om transparensforpligtelserne i henhold til artikel 50 i AI Act; den tilhørende oversigtsside blev senest opdateret den 29. juli 2026. Forpligtelserne gælder som udgangspunkt fra 2. august 2026. For teams, der offentliggør KI-genererede billeder, videoer, lyd eller tekster, er en teknisk sondring afgørende: Den maskinlæsbare mærkning af indholdet, dets detekterbarhed og den synlige information til mennesker er separate niveauer. En QR-kode kan supplere med et fjerde niveau for proveniens og forklaringer. Den erstatter dog ikke automatisk de øvrige niveauer.

Artikel 50 adskiller udbydere og operatører

Ordlyden af artikel 50 fastsætter forskellige forpligtelser for forskellige roller.

Udbydere af systemer, der genererer syntetisk lyd-, billed-, video- eller tekstindhold, skal sikre, at outputtet er maskinlæsbar mærket og kan genkendes som kunstigt genereret eller ændret. Den tekniske løsning skal – i det omfang det er teknisk muligt – være effektiv, interoperabel, robust og pålidelig. Artiklen angiver dermed ikke et bestemt stregkodeformat. Den kræver en egenskab ved det genererede indhold og en passende mulighed for at detektere den.

Operatører skal derimod i bestemte brugssituationer informere mennesker: f.eks. ved følelsesgenkendelse og biometrisk kategorisering, ved deepfakes samt ved visse KI-genererede eller manipulerede tekster om emner af offentlig interesse. Denne information skal være klar, adskillelig og tilgængelig senest ved den første interaktion eller eksponering. Desuden gælder de relevante tilgængelighedskrav.

En virksomhed kan have begge roller samtidig. Den, der driver sit eget genereringssystem og selv offentliggør resultaterne, skal derfor undersøge både udbyder- og operatørsiden.

Hvorfor „maskinlæsbar“ ikke bare betyder „QR-kode“

En QR-kode er maskinlæsbar. Det betyder dog ikke, at en QR-kode ved siden af et KI-billede allerede opfylder udbyderforpligtelsen. Artikel 50, stk. 2, kræver, at KI-systemets output er mærket og kan detekteres som KI-genereret eller manipuleret. Et separat placeret kvadrat henviser typisk kun til en ekstern side. Hvis billedet kopieres, beskæres eller videredistribueres uden det ledsagende layout, kan henvisningen forsvinde, mens indholdet fortsat cirkulerer uændret.

Konklusionen for arkitekturen er derfor: En ekstern QR-kode er som regel et supplerende provenienslag, ikke den tekniske mærkning i selve indholdet. Om en konkret implementering er i overensstemmelse med lovgivningen, afhænger af systemet, outputformatet og brugskonteksten.

Det er heller ikke tilstrækkeligt blot at kræve en scanning på operatørsiden. Kommissionens FAQ forklarer udtrykkeligt for deepfakes, at oplysningen skal kunne opfattes uden særlige værktøjer eller yderligere handling. Operatører kan ikke alene basere sig på en indlejret maskinlæsbar mærkning. En oplysning, der først bliver synlig efter scanning af en QR-kode, kommer derfor for sent til den krævede første information.

Fire niveauer for en robust implementering

1. Mærkning i indholdet

Det første niveau hører hjemme i genererings- eller eksportprocessen. Afhængigt af mediet kan signerede metadata, vandmærker, kryptografiske oprindelsesbeviser, fingeraftryk eller kombinationer af disse teknikker komme i betragtning. Kommissionens retningslinjer fremhæver to sammenkoblede elementer: mærkning og detekterbarhed. En mærkning uden en tilgængelig kontrolmetode opfylder ikke det beskrevne mål.

Den frivillige EU-adfærdskodeks for KI-transparens konkretiserer en mulig dokumentationsvej. For online-distribueret, containeriseret indhold foreskriver den en tilgang i flere lag med digitalt signerede metadata og et ikke-synligt vandmærke. For fri tekst gælder andre tekniske begrænsninger. Kodeksen er frivillig; forpligtelserne i artikel 50 er det ikke.

2. Oplysning, der kan opfattes ved første eksponering

Det andet niveau er rettet mod mennesker. Oplysningen skal vises dér, hvor indholdet opfattes første gang – ikke kun i en generel privatlivspolitik eller på en underside, der linkes til. Afhængigt af mediet kan det være en synlig mærkning, en mundtlig oplysning eller en anden klar og tilgængelig form.

For redaktionelle tekster er undtagelsen vigtig: FAQ'en forklarer, at offentliggjorte tekster om emner af offentlig interesse ikke skal mærkes, hvis de har gennemgået en væsentlig menneskelig kontrol eller redaktionel gennemgang, og en fysisk eller juridisk person har det redaktionelle ansvar. En ren stave- eller formateringskontrol er ikke tilstrækkelig.

3. QR-kode som vej til proveniens og kontekst

Det tredje niveau er valgfrit, men nyttigt i driften. En QR-kode kan føre fra et trykt motiv, en emballage, et messebanner eller en præsentation til en permanent oprindelsesside. En dynamisk QR-kode gør det muligt at videreudvikle destinationen kontrolleret uden at udskifte det fysiske medie.

Destinationssiden bør ikke vise en generel påstand om, at noget er „i overensstemmelse med AI Act“. Det er mere nyttigt at vise verificerbare fakta:

entydigt aktiv- og versions-ID,
ansvarlig organisation og kontaktpunkt,
anvendt KI-system, i det omfang det kan oplyses,
tidspunkt for generering og væsentlige behandlingstrin,
status for den menneskelige eller redaktionelle kontrol,
type af eksisterende mærkning og adgang til detektoren,
aktuel offentliggørelsesstatus samt oplysninger om rettelser eller tilbagetrækning.

Personrelaterede prompts, interne modelparametre og fortrolige produktionsdata hører ikke hjemme på en offentlig proveniensside. Transparens betyder ikke, at forretningshemmeligheder eller personoplysninger skal offentliggøres.

4. Intern dokumentationslog

Den offentlige side erstatter ikke en intern auditlog. For hver offentliggørelse bør det kunne spores, hvilket udgangsobjekt der blev genereret, hvilke transformationer der fandt sted, hvilke metadata der blev bevaret, og hvem der godkendte offentliggørelsen. I praksis er uforanderlige aktiv-ID'er, hashværdier for de godkendte filer, tidsstempler, versionsrelationer og loggede kontrolresultater nyttige.

En praktisk arbejdsgang i syv trin

Fastlæg roller: Dokumentér for hvert system, hvem der er udbyder, operatør eller begge dele.
Kortlæg outputtyper: Behandl billede, video, lyd, fri tekst og containeriseret tekst separat.
Kontrollér mærkningen ved eksport: Vent ikke til slutningen af offentliggørelseskæden med at lede efter en løsning.
Test transformationer: Komprimering, skalering, beskæring, omkodning og platformuploads må ikke ubemærket ødelægge mærkning og detektion.
Placér oplysningen ved første kontakt: Synligt eller hørbart, forståeligt og tilgængeligt; QR-koden fører kun til detaljer.
Versionsstyr proveniensen: Stabil URL, aktuelle fakta og en klar logik for ændringer og tilbagetrækning.
Sikr dokumentationen: Log testresultater, godkendelser, detektorversion og offentliggjort aktivversion samlet.

Overdragelsen mellem værktøjer er særligt kritisk. En generator kan levere korrekt signerede metadata, som fjernes ved eksport fra et billedredigeringsprogram eller ved upload til et content management-system. Derfor skal ikke kun kildefilen, men også den faktisk offentliggjorte fil kontrolleres.

Typiske fejlopfattelser

„QR-koden er jo maskinlæsbar.“ Ja, men den mærker ofte mediet eller layoutet, ikke selve KI-outputtet permanent.

„Metadata er altid tilstrækkelige.“ Ikke nødvendigvis. Formater og platforme kan fjerne metadata. Den frivillige kodeks anvender derfor flere mærkningslag for mange udbredte medier.

„Den synlige oplysning kan ligge bag QR-koden.“ Det er risikabelt ved første eksponering, fordi mennesker først skulle udføre en yderligere handling.

„Al KI-understøttet tekst skal have en etiket.“ Nej. Anvendelsesområde, standardredigering, formålet om offentlig information samt reel menneskelig kontrol og redaktionelt ansvar skal vurderes differentieret.

Hvad bør prioriteres frem mod 2. august

Kommissionens FAQ nævner en begrænset overgangsperiode udelukkende for mærknings- og detektionsforpligtelsen for visse systemer, der allerede blev bragt i omsætning før 2. august 2026: Her er 2. december 2026 den relevante dato. For de øvrige forpligtelser er dette ikke en generel udsættelse. Indhold, der er genereret før 2. august, skal ifølge FAQ'en ikke mærkes med tilbagevirkende kraft; frivillig efterfølgende mærkning anbefales dog.

De næste dage bør derfor ikke begynde med en stor QR-kampagne. Først og fremmest bør roller afklares, eksport- og detektionstests gennemføres, synlige oplysninger placeres ved det faktiske distributionspunkt, og en robust dokumentationslog etableres. Derefter bliver QR-koden det, den gør bedst: en stabil indgang til uddybende, opdaterbare proveniensoplysninger.