Hva skjedde

Et stort antall personvernmyndigheter publiserte en felles uttalelse om KI-systemer som kan lage realistiske og skadelige bilder eller videoer av virkelige personer. Bekymringen omfattet intime bilder uten samtykke og andre krenkende eller villedende fremstillinger.

Uttalelsen rettet ansvar mot både utviklere og plattformer. Risikovurdering, innebygde sperrer, respons på misbruk, vern av barn og effektive rapporteringskanaler må inngå i produktets design og drift.

Rettslig status i Norge

Uttalelsen var en felles regulatorisk advarsel med relevans for norsk personvernpraksis. Den endret ikke GDPR og opprettet ikke i seg selv et nytt norsk straffebud.

Bakgrunnen for saken

Uttalelsen tok ikke bare sikte på innhold som allerede var ulovlig. Den ba utviklere vurdere forutsigbar misbruk før lansering, bygge inn sperrer og følge med på om kontrollene faktisk virket. Plattformene måtte ha en tilgjengelig kanal for rapportering, reagere raskt og ta særskilt hensyn til barn. For virksomheter som tilbyr eller integrerer slike funksjoner, betyr det at sikkerhetstesting må omfatte forsøk på å omgå filtre, etterligning av virkelige personer og misbruk av opplastede bilder. Ansvar for fjerning, bevaring av bevis og støtte til den utsatte må være avtalt før en hendelse oppstår.

Før lansering bør virksomheten kreve dokumenterte misbruksscenarioer, resultater fra testing av forsøk på å omgå sikkerhetstiltak og tydelig ansvar for å håndtere hendelser. Rapportkanalen må være forståelig også for barn og personer uten kundeforhold. Tjenesten bør måle tid til sperring og fjerning, tilbakevendende angrepsmønstre og om sikkerhetstiltak skyver misbruket til andre funksjoner eller språk.

Praktiske konsekvenser

Produktledelsen bør kreve at høyrisikoscenarioer har en teknisk kontroll, en rapportvei og en målt responstid. Før nye bilde- eller stemmefunksjoner slås på, bør testen gjentas på relevante språk og med opplastet materiale. Alvorlige omgåelser bør blokkere lanseringen til tiltaket er verifisert.

Kilder

Det europeiske personvernrådet (EDPB): «Joint statement on AI-generated imagery», 23. februar 2026.

Datatilsynet: «Joint statement on AI-generated imagery — Datatilsynet copy», 23. februar 2026.

Til diskusjon

Hvilket scenario bør vi øve på først?