AI Act från och med 2 augusti: Varför en QR-kod inte ersätter AI-märkningen

Europeiska kommissionen publicerade den 20 juli 2026 sina riktlinjer om transparensskyldigheterna enligt artikel 50 i AI Act; den tillhörande översiktssidan uppdaterades senast den 29 juli 2026. Skyldigheterna gäller i princip från och med 2 augusti 2026. För team som publicerar AI-genererade bilder, videor, ljud eller texter är en teknisk åtskillnad avgörande: den maskinläsbara märkningen av innehållet, dess detekterbarhet och den synliga informationen för människor är separata nivåer. En QR-kod kan komplettera med en fjärde nivå för proveniens och förklaringar. Den ersätter dock inte automatiskt de andra nivåerna.

Artikel 50 skiljer mellan leverantörer och användare

Artikel 50:s ordalydelse riktar olika skyldigheter till olika roller.

Leverantörer av system som genererar syntetiskt ljud-, bild-, video- eller textinnehåll måste se till att utdata är maskinläsbart märkta och detekterbara som artificiellt genererade eller manipulerade. Den tekniska lösningen ska – i den mån det är tekniskt genomförbart – vara effektiv, interoperabel, robust och tillförlitlig. Artikeln anger alltså inget specifikt streckkodsformat. Den kräver en egenskap hos det utmatade innehållet och en lämplig möjlighet att upptäcka den.

Användare måste däremot i vissa användningssituationer informera människor: exempelvis vid känsloigenkänning och biometrisk kategorisering, vid deepfakes samt vid vissa AI-genererade eller manipulerade texter om frågor av allmänintresse. Informationen måste vara tydlig, urskiljbar och tillgänglig senast vid den första interaktionen eller exponeringen. Dessutom gäller relevanta tillgänglighetskrav.

Ett företag kan ha båda rollerna samtidigt. Den som driver ett eget genereringssystem och själv publicerar dess resultat måste därför granska både leverantörs- och användarperspektivet.

Varför ”maskinläsbar” inte helt enkelt betyder ”QR-kod”

En QR-kod är maskinläsbar. Därav följer dock inte att en QR-kod bredvid en AI-bild redan uppfyller leverantörsskyldigheten. Artikel 50.2 kräver att AI-systemets utdata märks och ska kunna detekteras som AI-genererad eller manipulerad. En separat placerad ruta hänvisar typiskt sett bara till en extern sida. Om bilden kopieras, beskärs eller vidarebefordras utan medföljande layout kan hänvisningen försvinna, medan innehållet cirkulerar oförändrat.

Slutsatsen för arkitekturen är därför: En extern QR-kod är vanligtvis ett kompletterande provenienslager, inte den tekniska märkningen i innehållet. Huruvida en konkret implementering är förenlig med lagen beror på systemet, utdataformatet och användningskontexten.

Inte heller på användarsidan räcker ett krav på skanning. Kommissionens FAQ förklarar uttryckligen för deepfakes att informationen ska kunna uppfattas utan särskilda verktyg eller ytterligare åtgärder. Användare kan inte enbart förlita sig på en inbäddad maskinläsbar märkning. En upplysning som blir synlig först efter att en QR-kod har skannats kommer därför för sent för den föreskrivna förstainformationen.

Fyra nivåer för en robust implementering

1. Märkning i innehållet

Den första nivån hör hemma i genererings- eller exportprocessen. Beroende på medium kan signerade metadata, vattenmärken, kryptografiska ursprungsbevis, fingeravtryck eller kombinationer av dessa tekniker komma i fråga. Kommissionens riktlinjer betonar två sammankopplade element: märkning och detekterbarhet. En märkning utan tillgänglig kontrollmetod uppfyller inte det beskrivna målet.

Den frivilliga EU-uppförandekoden för AI-transparens konkretiserar en möjlig metod för verifiering. För online-distribuerat, containeriserat innehåll förespråkar den ett skiktat tillvägagångssätt med digitalt signerade metadata och osynligt vattenmärke. För fri text gäller andra tekniska begränsningar. Koden är frivillig; skyldigheterna enligt artikel 50 är det inte.

2. Uppfattbar information vid den första exponeringen

Den andra nivån riktar sig till människor. Informationen måste visas där innehållet först uppfattas – inte bara i en allmän integritetspolicy eller på en länkad undersida. Beroende på medium kan det vara en synlig märkning, en muntlig upplysning eller en annan tydlig och tillgänglig form.

För redaktionella texter är undantaget viktigt: FAQ:n förklarar att publicerade texter om frågor av allmänintresse inte behöver märkas om de har genomgått en väsentlig mänsklig granskning eller redaktionell kontroll och en fysisk eller juridisk person bär det redaktionella ansvaret. En ren stavnings- eller formateringskontroll räcker inte.

3. QR-kod som proveniens- och kontextväg

Den tredje nivån är valfri men praktiskt användbar. En QR-kod kan leda från ett tryckt motiv, en förpackning, en mässbanner eller en presentation till en varaktig ursprungssida. En dynamisk QR-kod gör det möjligt att vidareutveckla målet kontrollerat utan att byta ut det fysiska mediet.

Målsidan bör inte visa ett generellt påstående om att något är ”förenligt med AI Act”. Mer användbara är verifierbara fakta:

entydig tillgångs- och versionsidentifiering,
ansvarig organisation och kontaktställe,
använt AI-system, i den mån det kan offentliggöras,
tidpunkt för generering och väsentliga bearbetningssteg,
status för mänsklig eller redaktionell granskning,
typ av befintlig märkning och åtkomst till detektorn,
aktuell publiceringsstatus samt anvisningar för rättelse eller återkallande.

Personrelaterade promptar, interna modellparametrar och konfidentiella produktionsdata hör inte hemma på en offentlig provenienssida. Transparens innebär inte att företagshemligheter eller personuppgifter ska offentliggöras.

4. Internt verifieringsprotokoll

Den offentliga sidan ersätter inte en intern revisionslogg. För varje publicering bör det gå att följa vilket ursprungsobjekt som genererades, vilka transformationer som genomfördes, vilka metadata som bevarades och vem som godkände publiceringen. Oföränderliga tillgångs-ID:n, hashvärden för de godkända filerna, tidsstämplar, versionsrelationer och loggade kontrollresultat är praktiskt användbara.

Ett praktiskt arbetsflöde i sju steg

Fastställ roller: Dokumentera för varje system vem som är leverantör, användare eller båda.
Inventera utdataformat: Hantera bild, video, ljud, fri text och containeriserad text separat.
Kontrollera märkningen vid export: Vänta inte till slutet av publiceringskedjan med att leta efter en lösning.
Testa transformationer: Komprimering, skalning, beskärning, omkodning och uppladdning till plattformar får inte omärkligt förstöra märkning och detektering.
Placera informationen vid den första kontakten: Synlig eller hörbar, begriplig och tillgänglig; QR-koden leder endast till detaljer.
Versionshantera proveniensen: Stabil URL, aktuella fakta och tydlig logik för ändringar och återkallanden.
Säkra bevisen: Logga testresultat, godkännanden, detektorversion och publicerad tillgångsversion tillsammans.

Överföringen mellan verktyg är särskilt kritisk. En generator kan leverera korrekt signerade metadata som tas bort vid export från en bildredigerare eller vid uppladdning till ett innehållshanteringssystem. Därför måste inte bara källfilen utan även den faktiskt publicerade filen kontrolleras.

Vanliga missuppfattningar

”QR-koden är ju maskinläsbar.” Ja, men den märker ofta bäraren eller layouten, inte permanent själva AI-utdata.

”Metadata räcker alltid.” Inte nödvändigtvis. Format och plattformar kan ta bort metadata. Den frivilliga koden bygger därför på flera märkningslager för många vanliga medier.

”Den synliga informationen kan ligga bakom QR-koden.” För den första exponeringen är det riskabelt, eftersom människor först skulle behöva utföra en ytterligare åtgärd.

”All AI-assisterad text behöver en etikett.” Nej. Tillämpningsområdet, standardbearbetning, syftet att informera allmänheten samt verklig mänsklig granskning och redaktionellt ansvar måste bedömas differentierat.

Vad som bör prioriteras fram till den 2 augusti

Kommissionens FAQ anger en begränsad övergångsperiod enbart för märknings- och detekteringsskyldigheten för vissa system som släpptes ut på marknaden före den 2 augusti 2026: den 2 december 2026 är relevant för dessa. För övriga skyldigheter innebär detta inget allmänt uppskov. Innehåll som genererats före den 2 augusti behöver enligt FAQ:n inte märkas retroaktivt; frivillig efterhandsmärkning rekommenderas dock.

För de närmaste dagarna är därför inte en omfattande QR-kampanj det första steget. Prioritera rollfördelning, export- och detekteringstester, synlig information vid den faktiska distributionspunkten och ett robust verifieringsprotokoll. Därefter blir QR-koden det den är bra på: en stabil ingång till fördjupad och uppdateringsbar proveniensinformation.