AI-forordningens gennemsigtighedskrav er trådt i kraft — hvad betyder det for jeres webshop og produktdata?

Hvis I sælger tekniske produkter, reservedele, byggematerialer, fødevarer eller interiør, har I formentlig ikke tænkt på jer selv som en "AI-virksomhed". Men de fleste produkt-tunge virksomheder har allerede AI et eller flere steder i den digitale værdikæde: en chatfunktion på webshoppen, et værktøj der genererer eller oversætter produktbeskrivelser, en billedgenerator til kampagnevisuals, eller en søgefunktion der forstår naturligt sprog.

Artikel 50 handler ikke om, hvor avanceret jeres AI er. Den handler om, hvilken rolle I har, og hvad output bruges til. Det er den skelnen, der bestemmer, om noget af dette gælder for jer.

Er I udbyder eller idriftsætter?

AI-forordningen deler ansvaret i to. Ifølge Digitaliseringsstyrelsens gennemgang er en udbyder den, der udvikler eller får udviklet et AI-system og bringer det i omsætning eller ibrugtager det under eget navn eller varemærke (artikel 3, nr. 3). En idriftsætter er den, der anvender et AI-system under sin myndighed (artikel 3, nr. 4). Se artikel 50 i sin fulde ordlyd hos Kommissionens AI Act Service Desk.

De fleste virksomheder antager automatisk, at de er idriftsættere — de bruger jo bare noget, andre har bygget. Det er rigtigt i de fleste tilfælde. Men bemærk formuleringen "får udviklet ... under eget navn eller varemærke". Får I bygget en produktrådgiver til webshoppen, som optræder i jeres brand, er det ikke oplagt, at I blot er idriftsætter.

Gælder det også, når man kun sælger B2B?

Det er den første indvending, de fleste rejser. Og svaret er kort: artikel 50 skelner ikke mellem forbrugere og virksomheder.

Forpligtelserne knytter sig til fysiske personer og til output — ikke til, hvilken type kunde der er i den anden ende. Stk. 1 taler om systemer, der interagerer direkte med personer, og vurderingen sker ud fra en rimeligt oplyst, opmærksom og velunderrettet fysisk person. En indkøbschef hos en grossist er også en fysisk person. Stk. 2 handler udelukkende om, hvordan output mærkes, og nævner slet ikke modtageren. Der er ingen B2B-undtagelse noget sted i bestemmelsen.

Hensynet til forbrugere er ganske vist en del af begrundelsen — risikoen for efterligning og vildledning af forbrugere er blandt de grunde, der anføres for reglerne. Men motivet er bredere end de operative krav, ikke omvendt.

Tre steder gør det alligevel en praktisk forskel:

Den vigtigste pointe er dog hverken B2B eller B2C, men gennemstrømningen.

En engrosvirksomhed eller et livsstilsbrand sælger B2B, men produktdataen ender hos forbrugeren. Den rejser videre via forhandlere, markedspladser, feeds, forhandlerportaler og AI-kanaler. Et brand med tusindvis af forhandlere leverer B2B og rammer B2C — bare med et led imellem.

Det betyder, at "vi er B2B, så det gælder ikke os" er et skrøbeligt udgangspunkt. Jeres AI-genererede produkttekster og billeder ender i forbrugerkontekst, hvor både denne bestemmelse og forbrugerbeskyttelsen bider. Og hvis herkomsten ikke kan dokumenteres, er det ikke jer, der står i frontlinjen — det er forhandleren, der ikke kan svare på, hvor billedet kommer fra.

Vi har ikke fundet en B2B-afgrænsning i artikel 50, men har heller ikke gennemgået EU-Kommissionens retningslinjer i deres helhed. Er sondringen relevant for jer, er retningslinjerne det sted, den i givet fald ville være uddybet.

Skal en AI-chat på webshoppen oplyse, at den er AI?

Dette er den mest udbredte berøringsflade. Har I en chatfunktion, en produktguide eller en søgeassistent, der svarer i naturligt sprog, skal brugeren kunne forstå, at der er AI i den anden ende.

Undtagelsen er, hvis det er "indlysende". Og her er det væsentligt at forstå, hvordan vurderingen skal foretages: den skal ske ud fra, hvad en rimeligt oplyst, opmærksom og velunderrettet person ville opfatte i den konkrete anvendelsessammenhæng. Er systemet også tiltænkt sårbare grupper — for eksempel på grund af alder eller handicap — skal der tages særligt hensyn.

I praksis betyder det, at "det kan man da godt se" er et svagt argument. En chatwidget med et fornavn og et venligt profilbillede er ikke selvforklarende. En eksplicit oplysning er billigere end diskussionen.

Det praktiske spørgsmål for jer: hvis I har købt løsningen af en leverandør, opfylder den så kravet ud af boksen? Kravet i stk. 1 er formuleret som en design- og udviklingsforpligtelse for udbyderen. Men det er jeres webshop, jeres kunder og jeres brand, der står med konsekvensen, hvis den ikke gør. Det hører til i leverandørkravene og i den næste release-gennemgang, ikke i et compliance-dokument, ingen læser.

Hvorfor bliver maskinlæsbar mærkning et produktdata-problem?

Her bliver det interessant for virksomheder med store produktkataloger — og det er samme underliggende problem, vi beskriver i Dårlige produktdata koster mere, end I tror.

Artikel 50, stk. 2 forpligter udbydere af generative systemer til at sikre, at output mærkes maskinlæsbart og kan spores som kunstigt genereret. Digitaliseringsstyrelsen nævner en række teknikker, der kan bruges: indlejrede vandmærker, metadataidentifikationer, kryptografiske metoder til at påvise indholdets oprindelse og ægthed, registreringsmetoder og fingeraftryk.

Læg mærke til, hvad det betyder rent teknisk. Når I fremover genererer et produktbillede, en baggrund, en variantvisualisering eller en kampagnegrafik med et AI-værktøj, kommer der metadata med filen. Og den fil skal igennem jeres kæde:

• Upload til DAM
• Import til PIM
• Beskæring og formatkonvertering
• Resizing til thumbnails
• Komprimering til webp
• Udlevering via CDN
• Eksport til forhandlerportaler
• Feeds mod markedsplads og AI-kanaler

De fleste af de trin er bygget til at fjerne metadata. Billedoptimering stripper som regel EXIF og XMP for at spare bytes. Det er ikke en fejl — det har været best practice i årevis.

Resultatet er en asymmetri, der er nem at overse: mærkningen findes, når filen forlader generatoren, og er væk, når filen rammer webshoppen. Om det udgør et compliance-problem for jer, afhænger af rollefordelingen — mærkningspligten i stk. 2 ligger hos udbyderen af det generative system, ikke hos jer som bruger. Men to ting står tilbage uanset:

Skal AI-genererede produktbeskrivelser mærkes?

Mange har fået den opfattelse, at AI-genererede produktbeskrivelser nu skal mærkes. Vores læsning af artikel 50 er, at det som udgangspunkt ikke er tilfældet.

Begrundelsen ligger i to led. For det første er mærkningspligten i stk. 2 rettet mod udbyderen af det generative system — altså mod leverandøren af modellen eller værktøjet, ikke mod jer, der bruger det til at berige et produktkatalog. For det andet gælder oplysningspligten for tekst i stk. 4, 2. afsnit specifikt tekst, der offentliggøres for at informere offentligheden om spørgsmål af offentlig interesse. En kommerciel produktbeskrivelse er ikke oplagt inden for det anvendelsesområde. Og selv hvis den var, findes der en undtagelse: forpligtelsen gælder ikke, hvis indholdet har gennemgået menneskelig gennemgang eller redaktionel kontrol, og en fysisk eller juridisk person har det redaktionelle ansvar for offentliggørelsen.

Og bemærk: at artikel 50 ikke stiller et mærkningskrav, betyder ikke, at AI-genererede produkttekster er et ureguleret område. Markedsføringslovens krav om, at oplysninger er korrekte og ikke vildledende, gælder præcis som før. En AI-genereret specifikation, der er forkert, er ikke mindre forkert, fordi en model skrev den. Den redaktionelle kontrol, der frikender jer i AI-forordningen, er den samme kontrol, der beskytter jer i markedsføringsretten. Den skal findes i virkeligheden, ikke kun i processen på papiret.

Er et AI-genereret produktbillede en deepfake?

For design-, interiør- og livsstilsbrands er billedsiden mere relevant end tekstsiden. Her er spørgsmålet, om det genererede indhold falder inden for deepfake-definitionen.

Definitionen i forordningen dækker AI-genereret eller AI-manipuleret billede-, lyd- eller videoindhold, der i væsentlig grad ligner virkelige personer, genstande, steder, enheder eller begivenheder, og som fejlagtigt vil fremstå som ægte eller sandfærdigt. Falder indholdet ind under det, skal idriftsætteren oplyse, at det er kunstigt genereret eller manipuleret.

Bemærk bredden: definitionen nævner ikke kun personer, men også genstande, steder og begivenheder. Et helt igennem AI-genereret produktbillede, der fremstår som et fotografi af et faktisk produkt i et faktisk rum, er ikke åbenlyst uden for anvendelsesområdet. En abstrakt, tydeligt stiliseret grafik er en anden sag. Er indholdet en del af et åbenlyst kunstnerisk, kreativt, satirisk eller fiktivt værk, er forpligtelsen desuden begrænset til at oplyse om eksistensen af det genererede indhold på en måde, der ikke er til gene for oplevelsen af værket.

Grænsedragningen mellem "AI-assisteret produktvisualisering" og "deepfake" er ikke afklaret, og vi kender ikke praksis på området. Det er et af de punkter, hvor vi anbefaler en juridisk vurdering frem for et gæt.

En detalje, der ofte forveksles: kravet i stk. 3 om følelsesgenkendelse gælder systemer, der udleder følelser eller hensigter på grundlag af biometriske data — for eksempel ansigtsbilleder. Sentiment-analyse af tekst i chatlogs eller anmeldelser er ikke biometrisk og falder derfor ikke under stk. 3. Der kan gælde andre regler, herunder databeskyttelsesreglerne, men ikke denne.

Hvad skal I gøre nu?

En pragmatisk rækkefølge, der ikke kræver et compliance-projekt:

Hvorfor er gennemsigtighed og AI-synlighed samme opgave?

Der er en pointe her, som er nem at overse, fordi regulering typisk opleves som en omkostning.

De virksomheder, der bliver fundet og anbefalet af AI-drevne kanaler — ChatGPT, Google AI Mode, Perplexity, indkøbsagenter — er dem, hvis produktdata er strukturerede, komplette og troværdige. Det handler om, at maskiner kan forstå, hvad et produkt er, hvad det kan, og om oplysningerne kan stoles på. Det er præcis, hvad schema.org-markup gør muligt.

Sporbarhed på indholdets oprindelse hører til i den samme kategori. Det er den anden side af samme arbejde: at kunne dokumentere, hvor data kommer fra, hvem der står bag, og hvad der er verificeret. Vi kalder det tillidslaget i vores datamodel, og det er som regel det lag, virksomheder scorer lavest på.

Kort sagt: det I laver for at overholde artikel 50, er i vidt omfang det samme, I skal lave for at blive valgt af en AI-agent. Det er sjældent, at regulering og forretning peger så entydigt i samme retning.