fix(ms-ai-architect): RX-REG² nudifiers/CSAM Art. 5-forbud — caveatet KB-tillegg (verifisert, avventer OJ) [skip-docs]

Digital Omnibus legger til nytt Art. 5-forbud mot AI som genererer/manipulerer
NCII eller CSAM (nudifier-apper), anvendelse 2026-12-02. Substans + dato verifisert
mot EU-rådet 2026-06-29 + Gibson Dunn/Freshfields-analyser. Eksakt underpunkt +
boetenivaa kan ikke pinnes foer OJ — caveatet «avventer OJ», ingen fabrikkert (i)/figur.

- classification-methodology: caveat-notis under Art. 5-forbudstabellen
- ai-act-assessor: «8 forbudte praksiser» → «8 i kraft + nudifiers/CSAM avventer OJ»
- reg-lint seksjon #11 (2 tester): preventiv mekanisme (gap-disiplin)

agents/ai-act-assessor.md

@@ -59,7 +59,7 @@ Ekstraher fra brukerens input:
 
 ### Fase 2: Klassifisering (4-stegs)
 Les `ai-act-classification-methodology.md` og utfør:
-1. **Forbudt-sjekk (Art. 5):** Er noen av de 8 forbudte praksisene relevante?
+1. **Forbudt-sjekk (Art. 5):** Er noen av de forbudte praksisene relevante? (8 i kraft; i tillegg nudifiers/NCII/CSAM-forbudet — Digital Omnibus, anvendelse 2026-12-02, avventer OJ)
 2. **Annex III høyrisiko-sjekk:** Treffer systemet noen av de 8 kategoriene?
 3. **GPAI-sjekk:** Er systemet basert på generell AI-modell? Systemisk risiko?
 4. **Begrenset/Minimal:** Transparenskrav eller frivillig Code of Conduct?

skills/ms-ai-governance/references/responsible-ai/ai-act-classification-methodology.md

@@ -50,6 +50,8 @@ Disse praksisene er totalforbudt i EU. Vurder alle før videre analyse.
 
 > **Merk for offentlig sektor:** Sanntids biometrisk fjernidentifikasjon i offentlig rom (Art. 5(1)(h)) er forbudt for rettshåndhevelse, med tre snevre unntak i (h)(i)–(iii): målrettet søk etter ofre/savnede, avverging av konkret og overhengende trussel mot liv eller terror, og lokalisering av mistenkte for alvorlig kriminalitet (Annex II). Unntakene krever forhåndstillatelse fra domstol eller uavhengig myndighet (Art. 5(3)).
 
+> **Nytt forbud (Digital Omnibus — vedtatt, avventer OJ):** Omnibus legger til et forbud i Art. 5 mot AI-systemer som **genererer eller manipulerer ikke-samtykkebasert intimt innhold (NCII)** — bilder, video, lyd eller lignende — **eller materiale som viser seksuelle overgrep mot barn (CSAM)**, inkludert såkalte «nudifier»-apper. Både **markedsplassering og bruk** forbys. For tilbydere omfattes også systemer der slik generering er et **rimelig forutsigbart og reproduserbart** utfall uten vesentlig teknisk modifikasjon der systemet mangler adekvate tekniske sikringstiltak. **Safe harbour:** systemer med effektive forebyggende tiltak, samtykkebasert intimt innhold, lovlige verktøy for å oppdage/etterforske/moderere CSAM, og utvikling av den underliggende generative kapabiliteten er ikke omfattet. **Anvendelse fra 2. desember 2026.** Eksakt underpunkt i Art. 5 og bøtenivå **bekreftes mot OJ-teksten** (avventer OJ, RX-REG²). Kilder: EU-rådet (final green light, 2026-06-29); Gibson Dunn / Freshfields Omnibus-analyser (2026-07).
+
 ---
 
 ### Steg 2: Annex III høyrisiko-sjekk

tests/kb-update/test-governance-refs-reg-lint.test.mjs

@@ -310,3 +310,39 @@ test('provider-obligations: extended log retention cites arkivlovgivning, not «
     'retention follows arkivlovgivning (arkivlova/bevaringsforskrifta), not forvaltningsloven');
   assert.ok(/arkivlova/i.test(md), 'arkivlova cited as the retention basis');
 });
+
+// --- 11. RX-REG² — new Art. 5 nudifiers/NCII/CSAM prohibition (Digital Omnibus,
+//         adopted, PENDING OJ; verified 2026-07-15 against the EU Council
+//         2026-06-29 final-green-light press release + Gibson Dunn / Freshfields
+//         Omnibus analyses) ---
+// Ground truth this session: the Digital Omnibus adds a new Art. 5 prohibited
+// practice against AI that generates or manipulates non-consensual intimate
+// imagery (NCII) or child sexual abuse material (CSAM) — "nudifier" apps. Both
+// placing on market AND use are banned; for providers it extends to reasonably
+// foreseeable, reproducible generation without significant technical modification
+// where adequate safeguards are absent. Safe harbour for effective preventive
+// safeguards, consent-based intimate content, lawful CSAM detection/moderation,
+// and underlying-capability development. Application from 2026-12-02.
+// The EXACT Art. 5 subparagraph AND the fine tier cannot be pinned pre-OJ — the
+// KB must caveat them («avventer OJ»), never fabricate a letter or a figure.
+// Canonical machine note: scripts/kb-update/data/ai-act-deadlines.json (pending_oj).
+
+test('classification-methodology: carries the Omnibus nudifiers/NCII/CSAM Art. 5 prohibition, correctly caveated', () => {
+  const md = read('ai-act-classification-methodology.md');
+  assert.ok(/nudifier/i.test(md), 'nudifier apps named');
+  assert.ok(/NCII|ikke-samtykkebasert intimt innhold/i.test(md), 'NCII / non-consensual intimate content present');
+  assert.ok(/CSAM/.test(md), 'CSAM present');
+  assert.ok(/markedsplassering og bruk/.test(md), 'both placing-on-market and use are banned');
+  assert.ok(/2\. desember 2026/.test(md), 'application date 2026-12-02 present');
+  assert.ok(/avventer OJ|bekreftes mot OJ/i.test(md), 'exact subparagraph + fine tier caveated pending OJ');
+  // Pre-OJ we must NOT fabricate the final subparagraph letter or a fine figure.
+  assert.ok(!/Art\. 5\(1\)\(i\)/.test(md), 'exact Art. 5 subparagraph is pending OJ — do not assert (i)');
+});
+
+test('ai-act-assessor: Art. 5 check reflects the pending-OJ nudifiers prohibition, not a closed «8»', () => {
+  const md = readFileSync(new URL('agents/ai-act-assessor.md', pluginRoot), 'utf8');
+  assert.ok(!/de 8 forbudte praksisene/.test(md),
+    'Art. 5 list = 8 in-force + nudifiers/CSAM pending OJ — not a closed «8 forbudte praksiser»');
+  assert.ok(/nudifiers|CSAM/i.test(md), 'assessor names the pending-OJ prohibition');
+  assert.ok(/avventer OJ/i.test(md), 'assessor caveats it as pending OJ');
+});