ms-ai-architect/skills/ms-ai-governance/references/responsible-ai/ai-act-transparency-notices.md

# EU AI Act — Transparensnotiser og Informasjonsplikter

**Last updated:** 2026-02
**Status:** GA
**Category:** Responsible AI & Governance

---

## Oversikt

EU AI Act stiller krav om transparens på to nivåer: detaljerte bruksinstruksjoner for høyrisiko-systemer (Art. 13), og kortfattede transparensnotiser ved direkte brukerinteraksjon (Art. 50). Norske offentlige virksomheter må oppfylle begge — og i tillegg forvaltningsloven § 11 om veiledningsplikt og § 25 om begrunnelsesplikt. Dette dokumentet gir operative maler og retningslinjer tilpasset norsk kontekst.

---

## Art. 13: Bruksinstruksjoner for høyrisiko-systemer

### Påkrevd informasjon (Art. 13(3)) — 11 punkter

Art. 13(3) spesifiserer hva bruksinstruksjoner for høyrisiko-AI-systemer skal inneholde:

| Nr. | Punkt | Hva som kreves | Eksempel |
|-----|-------|----------------|---------|
| a | Identitet og kontaktinformasjon | Tilbyderens navn, adresse og kontaktpunkt for henvendelser om systemet | "Levert av Direktoratet for digital tjenesteutvikling, Vegdirektoratet. Kontakt: ai-support@ddt.no" |
| b | Systemets egenskaper og ytelse | Nøyaktighetsmetrikker, kjente begrensninger, sannsynlige feilmønstre | "Systemet har 94% presisjon på standardsaker. Sjeldne dispensasjonstyper håndteres dårligere." |
| c | Tiltenkt formål | Spesifikk brukskontekst systemet er designet og validert for | "Beslutningsstøtte for saksbehandlere ved søknader om dispensasjon fra veitrafikkloven §X" |
| d | Systemnivå av nøyaktighet | Kvantitative mål, konfidensintervaller, ytelse på ulike undergrupper | "F1-score: 0,915 på valideringsett (500 historiske saker, 2023–2024)" |
| e | Forventede brukere | Hvem systemet er designet for (kompetanse, rolle, opplæringskrav) | "Autoriserte saksbehandlere med gjennomført e-læring (DDT-AI-L01, 2 timer)" |
| f | Forhåndsbehandlet inndata | Spesifikasjoner for inndata systemet forventer | "Søknadsskjema PDF. Bilder: maks 10 MB, JPEG/PNG. Ikke støttet: håndskrevne dokumenter" |
| g | Mål og begrensninger | Hva systemet er designet for å oppnå og kjente begrensninger | "Genererer vedtaksutkast — erstatter ikke juridisk vurdering. Bør ikke brukes alene for saker med > 500 000 NOK konsekvens" |
| h | Kjente og forutsigbare bivirkninger | Risikosituasjoner som kan oppstå ved tiltenkt bruk | "Kan overrepresentere avslag for søkere fra bestemte regioner (bias-kartlagt, se vedlegg B)" |
| i | Human-in-the-loop | Grad av menneskelig tilsyn som kreves og beskrivelse av mekanismer | "Saksbehandler må aktivt godkjenne hvert vedtaksutkast. Systemet kan ikke sende vedtak automatisk." |
| j | Forventede levetid og vedlikehold | Planlagt levetid, oppdateringsfrekvens, prosedyre for å melde feil | "Levetid: 3 år (2026–2029). Kvartalsvis modellgjennomgang. Feilmelding: ai-incident@ddt.no" |
| k | Datakvalitetskrav | Egenskaper ved inndata som påvirker ytelsen | "Søknadsdokumenter må være maskinlesbare PDF-er. Skannet tekst (OCR-konvertert) reduserer nøyaktighet med ca. 8%" |

### Mal for bruksinstruksjon-dokument

Nedenfor er et strukturert mal-dokument som dekker alle 11 Art. 13(3)-punkter:

---

**BRUKSINSTRUKSJON FOR [SYSTEMNAVN]**
*Høyrisiko AI-system — Annex III, punkt [X]*
*Versjon [X.X] | Dato: [ÅÅÅÅ-MM-DD]*

**1. Om systemet og tilbyder (Art. 13(3)(a))**
[Systemnavn] er levert av [Organisasjon], [Adresse].
Kontakt for spørsmål: [e-post] | [telefon]
Teknisk support: [e-post] | [saksbehandlingstid]

**2. Hva systemet gjør og dets ytelse (Art. 13(3)(b) og (d))**
[Systemnavn] [beskrivelse av funksjon]. Systemet er validert på [datagrunnlag] med følgende resultater:
- Presisjon: [X]%
- Recall: [X]%
- F1-score: [X]
- Ytelse på undergrupper: [beskrivelse av eventuelle forskjeller]

**3. Tiltenkt formål og brukskontekst (Art. 13(3)(c))**
Systemet er designet for: [konkret brukskontekst]
Systemet er IKKE designet for: [liste over utenfor-scope-bruk]

**4. Hvem kan bruke systemet (Art. 13(3)(e))**
Systemet er forbeholdt: [rolle/kompetansekrav]
Påkrevd opplæring: [navn på opplæring, varighet, leverandør]

**5. Krav til inndata (Art. 13(3)(f) og (k))**
Støttede formater: [liste]
Krav til kvalitet: [beskrivelse]
Inndata som ikke støttes: [liste]

**6. Mål og begrensninger (Art. 13(3)(g))**
Systemet er designet for å: [mål]
Kjente begrensninger:
- [Begrensning 1]
- [Begrensning 2]

**7. Kjente bivirkninger og risikoer (Art. 13(3)(h))**
[Beskrivelse av kjente bias, feilmønstre og risikoer]
Tiltak: [beskrivelse av risikoreduserende tiltak]

**8. Menneskelig tilsyn (Art. 13(3)(i))**
Påkrevd human oversight: [beskrivelse]
Teknisk mekanisme: [beskrivelse av HITL-implementering]
Brukeren kan ALLTID: [liste over rettigheter — avvise, redigere, eskalere]

**9. Levetid og vedlikehold (Art. 13(3)(j))**
Planlagt levetid: [periode]
Oppdateringsfrekvens: [frekvens]
Slik melder du feil: [prosedyre, kontaktinformasjon]
Prosedyre ved vesentlig endring: [beskrivelse]

---

### Tilgjengelighetskrav

Bruksinstruksjoner skal:
- Være tilgjengelig digitalt (ikke bare i papirformat)
- Skrives på et klart og forståelig språk (klarspråk)
- Være oppdatert ved enhver vesentlig systemendring
- For systemer brukt av offentligheten: tilgjengelig på norsk bokmål (og nynorsk ved behov)
- Følge universell utforming (WCAG 2.1 AA) der systemet er tilgjengelig for borgere

---

## Art. 50(1): Informasjonsplikt ved AI-interaksjon

Art. 50(1) krever at personer som interagerer direkte med et AI-system skal informeres om at de kommuniserer med kunstig intelligens, med mindre dette er åpenbart fra konteksten.

### Krav

- Informasjonen skal gis **før** eller **ved starten** av interaksjonen
- Informasjonen skal være **klar og tydelig**
- Informasjonen skal **vedvare** — ikke bare vises én gang og forsvinne

### Unntak

- **Åpenbart for brukeren:** Hvis konteksten gjør det klart at brukeren kommuniserer med AI (f.eks. en tydelig "AI Chatbot"-banner i et klart merket chat-vindu)
- **Rettshåndhevelse:** Systemer brukt av politiet kan unntas hvis notis vil kompromittere etterforskning
- **Nasjonal sikkerhet:** Unntak for sikkerhetstjenester

### Norsk mal: Standard AI-interaksjon-notis

**Kort versjon (for chat-grensesnitt, anbefalt):**
> "Du kommuniserer med et AI-system. [Systemnavn] er en kunstig intelligens-tjeneste fra [Organisasjon]. AI-tjenesten kan gjøre feil — vennligst verifiser viktig informasjon."

**Utvidet versjon (for skjemaer, vedtakssystemer):**
> "Dette systemet bruker kunstig intelligens til å [kort beskrivelse av funksjon]. AI-systemet er levert av [Organisasjon] og er et hjelpemiddel for [rolle]. Endelig avgjørelse treffes alltid av [rolle/menneske]. Du har rett til å be om menneskelig behandling av din sak."

**Plassering:**
- Synlig for bruker uten å måtte scrolle (above the fold)
- Ikke skjult bak lenke eller i fotnote
- Kontrastforhold ≥ 4,5:1 (WCAG 2.1 AA)

---

## Art. 50(2): AI-generert innhold

Art. 50(2) krever at AI-generert tekst, bilde, lyd og video som ikke er åpenbart syntetisk, merkes som AI-generert.

### Krav til merking

- Merket på en **maskinlesbar** måte (metadata)
- Merket på en **synlig** måte for sluttbrukere
- Gjelder for: tekst, bilder, lyd, video, syntetiske multimodale kombinasjoner
- Unntak: innhold som er åpenbart kunstig (animasjon, klar karikatyr)

### Teknisk implementering for Microsoft-plattformen

**Azure AI Content Safety — Watermarking:**
- Støtter digitalt vannmerke for bilder generert med Azure OpenAI DALL-E
- C2PA (Coalition for Content Provenance and Authenticity) metadata-standard
- Konfigurerbart via Azure AI Foundry

**Tekstmerking:**
- Ikke automatisk støttet per 2026-02 for ren tekst
- Implementér via systemprompt: be modellen inkludere merkingsinstruksjoner, eller legg til merking i output-lag

**Anbefalt norsk merkingstekst for AI-generert innhold:**
> "*Dette innholdet er generert av kunstig intelligens ([Systemnavn], [Organisasjon], [Dato]).*"

---

## Art. 50(4): Deepfakes og syntetisk innhold

Art. 50(4) krever merking av syntetiske bilde-, lyd- og videoopptak av virkelige personer (deepfakes), med unntak for satire og kunstverk som er tydelig merket som fiksjon.

### Relevans for offentlig sektor

- Syntetisk tale (text-to-speech) basert på virkelige stemmer: merkeplikt
- AI-genererte ansikter av virkelige personer i informasjonsmateriell: merkeplikt
- Anonymiserte videoopptak der ansikter er syntetisk erstattet: vurder merkeplikt
- Rene tekst-avatar-chatboter uten foto: ikke deepfake, ikke merkeplikt etter Art. 50(4) (men Art. 50(1) gjelder)

---

## Norske maler

### Mal 1: Borgermøtende chatbot-notis

**Kontekst:** Offentlig chatbot på nav.no, ddt.no, skatteetaten.no o.l.

**Anbefalt plassering:** Øverst i chat-vinduet, alltid synlig

```
┌─────────────────────────────────────────────────────────────────┐
│ ℹ️  Du snakker med en AI-assistent                              │
│ [Assistentnavn] er en kunstig intelligens fra [Etat].           │
│ Assistenten kan gjøre feil. For bindende svar, kontakt oss:     │
│ [telefonnummer] | [e-post]                                      │
└─────────────────────────────────────────────────────────────────┘
```

**Alternativ kortversjon (inline):**
> "Hei! Jeg er [Navn], en AI-assistent fra [Etat]. Jeg kan gjøre feil — ta kontakt med oss direkte for bindende svar."

---

### Mal 2: Vedtaksstøtte-notis (for saksbehandler)

**Kontekst:** Intern saksbehandlerflate der AI hjelper med vedtaksutkast

**Plassering:** Øverst på siden, alltid synlig; gjentatt som synlig merking på AI-generert utkast

```
┌─────────────────────────────────────────────────────────────────┐
│ AI-ASSISTERT SAKSBEHANDLING                                     │
│ Innholdet nedenfor er generert av [Systemnavn] (AI-system).     │
│ Du er ansvarlig for å vurdere, korrigere og godkjenne utkastet. │
│ Vedtaket sendes ikke automatisk.                                │
└─────────────────────────────────────────────────────────────────┘
```

**Merking av selve AI-utkastet:**
> "--- AI-UTKAST ([Systemnavn], [Dato] [Klokkeslett]) --- Gjennomgå og godkjenn før sending."

---

### Mal 3: AI-generert innhold-notis (for publikasjon)

**Kontekst:** Artikler, rapporter, informasjonsmateriell der AI har vært benyttet i produksjonen

**Plassering:** Tydelig synlig, f.eks. i fotnote eller som innledende merknad

```
Denne teksten er utarbeidet med støtte fra kunstig intelligens
([Verktøynavn]). Innholdet er gjennomgått og godkjent av [Navn/
rolle] i [Organisasjon], [Dato]. [Organisasjon] er ansvarlig for
innholdet.
```

---

### Mal 4: Intern bruk-notis

**Kontekst:** AI-verktøy som kun brukes internt av ansatte, ikke av borgere

**Plassering:** Onboarding-materiale, systemets velkomstside, periodisk påminnelse

```
INTERN AI-BRUK — VIKTIG INFORMASJON

Du benytter et AI-verktøy ([Systemnavn]) i ditt arbeid. Husk:
• AI kan gjøre feil — bruk kritisk vurdering
• Ikke del personopplysninger eller sensitive data i AI-tjenester
  uten at dette er klarert av [IT-avdeling/personvernombud]
• Du er ansvarlig for faglig innhold du produserer med AI-støtte
• Spørsmål: [kontaktpunkt for AI-bruk i organisasjonen]

Behandlingsgrunnlag for AI-bruk: [Referanse til intern policy]
```

---

## Oppdateringstriggers

Transparensnotiser og bruksinstruksjoner skal oppdateres ved følgende hendelser. Sett opp en intern prosedyre for å sikre at notisene holdes à jour.

### Trigger 1: Modellbytte

**Hva som utløser:** Bytte av underliggende AI-modell (ny modell-ID, ny leverandør)

**Hva som må oppdateres:**
- Bruksinstruksjon: nøyaktighetsmetrikker (element 2 og 4), komponentbeskrivelse (element 2)
- Transparensnotis: dersom systemnavn eller leverandørangivelse endres
- EU-samsvarserklæring: ny versjon kreves ved vesentlig modellbytte
- Teknisk dokumentasjon: modell-ID, treningsdata (hvis ny modell har annen treningshistorikk)

**Frist:** Oppdatert notis skal være på plass før ny modell tas i produksjon

---

### Trigger 2: Vesentlig funksjonsendring

**Hva som utløser:** Systemet kan nå gjøre noe det ikke kunne før, eller et eksisterende trekk er fjernet eller vesentlig endret

**Eksempler:**
- Ny input-modalitet (f.eks. systemet kan nå behandle bilder i tillegg til tekst)
- Ny output-type (f.eks. systemet kan nå generere PDF-utkast, ikke bare tekst)
- Endret human-in-the-loop-struktur (f.eks. godkjenningstrinn fjernet eller lagt til)

**Hva som må oppdateres:**
- Bruksinstruksjon: berørte Art. 13(3)-punkter
- Transparensnotis: hvis funksjonsbeskrivelsen endres
- Samsvarsvurdering: revurderes om endringen er "vesentlig" (Art. 83)

---

### Trigger 3: Endret formål

**Hva som utløser:** Systemet brukes til noe annet enn det opprinnelig var tiltenkt

**Eksempler:**
- Systemet som opprinnelig støttet interne saksbehandlere, gjøres tilgjengelig for borgere
- Systemet brukes i ny sakstype som ikke er validert

**Hva som må oppdateres:**
- Full ny samsvarsvurdering (endret formål kan endre Annex III-klassifisering)
- Ny bruksinstruksjon tilpasset ny brukergruppe
- Ny transparensnotis
- Ny Art. 13-vurdering for ny brukergruppe

**OBS:** Endret formål kan kreve ny personvernvurdering (DPIA) etter GDPR Art. 35.

---

### Trigger 4: Ny datakilde

**Hva som utløser:** Systemet får tilgang til nye data (ny database, ny indeks, ny API)

**Eksempler:**
- RAG-indeksen utvides med en ny kategori dokumenter
- Systemet kobles mot et nytt fagsystem
- Ny treningsdata-runde gjennomføres

**Hva som må oppdateres:**
- Bruksinstruksjon: inndata-beskrivelse (Art. 13(3)(f)), datakvalitetskrav (Art. 13(3)(k))
- Teknisk dokumentasjon: element 2 (systemkomponenter)
- DPIA: revurderes om ny datakilde introduserer nye personopplysninger

---

### Trigger 5: Ytelsesfall

**Hva som utløser:** Monitorering viser at systemets nøyaktighet har falt vesentlig (typisk > 5 prosentpoeng)

**Hva som må oppdateres:**
- Bruksinstruksjon: oppdaterte nøyaktighetsmetrikker
- Transparensnotis: kan det være nødvendig å styrke advarselen?
- Vurder om systemet skal settes i nedetid inntil årsak er identifisert

---

## For Cosmo

Bruk dette dokumentet når:

1. **Kunden spør "hva skal stå på forsiden av AI-chatboten vår?"** — Bruk Mal 1 direkte og tilpass til kundens organisasjon og system.

2. **Kunden utvikler et vedtaksstøttesystem** — Bruk Mal 2 og forklar kravet om tydelig merking av AI-utkast, samt Art. 13(3)(i) om human-in-the-loop.

3. **Kunden spør om Art. 13-bruksinstruksjon** — Gå gjennom alle 11 punkter, bruk tabellen, og hjelp kunden med å identifisere gap mot nåværende dokumentasjon.

4. **Kunden er usikker på oppdateringstriggers** — Bruk trigger-seksjonen og anbefal at kunden etablerer en intern prosedyre (f.eks. change management-sjekkliste) der oppdatering av transparensnotiser er et fast trinn ved systemendringer.

5. **Kunden publiserer AI-generert innhold** — Anbefal Mal 3 og forklar Art. 50(2)-kravet om maskinlesbar merking. Påpek at C2PA-standarden er fremvoksende beste praksis.

Husk: Forvaltningsloven stiller tilleggskrav som går lenger enn EU AI Act — f.eks. begrunnelsesplikt (§ 25) og innsynsrett (§ 18). Transparensnotisene er en nødvendig start, men ikke tilstrekkelig for full forvaltningsrettslig etterlevelse.