OpenAI rigger seg for EU AI Act – men opphavsrettshullet gjenstår

OpenAI publiserte 31. juli 2026 en omfattende europaplan for ansvarlig AI, bare dager før EU AI Act går inn i en skarpere fase. Fra 2. august 2026 får Det europeiske AI-kontoret og nasjonale myndigheter et tydeligere mandat til å følge opp leverandører av general-purpose AI – inkludert krav om informasjon, modelltilgang og sanksjoner. For norske virksomheter er dette ikke en Brussel-nyhet i utkanten: det er en leverandør- og styresak om dokumentasjon, opphavsrett, merking og cyber.

Hva OpenAI faktisk lover

I innlegget Advancing responsible AI across Europe legger OpenAI vekt på tre spor som speiler store deler av GPAI Code of Practice: intern styring, transparens/provenance og cybersikkerhet.

På styringssiden peker selskapet på Preparedness Framework (fra 2023, oppdatert 2025) og Frontier Governance Framework, som skal koble intern risikostyring til EU-krav for general-purpose-modeller. De viser også til pre-release-testing, system cards, Red Teaming Network og en offentlig Model Spec som beskriver ønsket modellatferd.

På provenance-siden er linjen mer konkret. OpenAI beskriver en to-lags modell: C2PA Content Credentials som bærer kryptografisk kontekst i filmetadata, og SynthID (Google DeepMind) som legger et mer robust, nesten usynlig signal i selve bildet. Poenget er pragmatisk: C2PA gir rik kontekst, men kan strippes ved skjermdump eller re-encoding; SynthID tåler mer, men bærer mindre kontekst. OpenAI sier de utvider provenance til lyd og jobber mot tekst når standarder og verktøy er modne nok. De understreker også at provenance er et økosystemproblem: ingen enkeltmarkør er perfekt.

På cyber-siden trekker OpenAI frem EU Cyber Action Plan (fra tidlig mai 2026) og Trusted Access for Cyber (TAC). Selskapet sier de samarbeider med EU- og nasjonale cyberaktører, privat sektor og kritisk infrastruktur for å gi forsvarere tilgang til avanserte cybermodeller, i tråd med EU-kommisjonens handlingsplan for cybersikkerhet og AI.

OpenAI viser også til at de har bidratt til og støttet to frivillige koder: GPAI Code of Practice og Code of Practice for transparens i AI-generert innhold.

Hva som mangler – og hvorfor det betyr noe nå

Flere uavhengige lesninger av innlegget peker på et påfallende hull: opphavsrettskapittelet i GPAI-koden. Det krever blant annet en dokumentert policy for EU-opphavsrett og TDM-opt-out, og en offentlig oppsummering av treningsdata etter Kommisjonens mal. OpenAIs 31. juli-tekst dekker i hovedsak transparens og sikkerhet, men adresserer ikke disse copyright-kravene eksplisitt.

Det blir operativt viktig fordi håndhevingen skjerpes. Fra 2. august 2026 kan AI-kontoret be om informasjon, få tilgang til modeller og ilegge bøter – rapportert opptil 15 millioner euro eller 3 prosent av global omsetning for brudd på GPAI-plikter, inkludert manglende trainingsdata-sammendrag der det er påkrevd. Transparensregler for AI-generert innhold treffer også i august-vinduet. For styret er poenget ikke å spekulere i botstørrelser, men å forstå at «vi har signert koden» ikke automatisk betyr «dokumentasjonen er komplett».

Hva dette betyr for norske ledere

1. Behandle AI-leverandører som regulert infrastruktur. Når ChatGPT, API og agentplattformer brukes i kundeservice, juss, HR, kreditt eller samfunnskritisk virksomhet, er leverandørens GPAI-status, system cards, incident-rutiner og provenance-støtte del av deres egen compliance-flate – ikke bare PR.

2. Sett innkjøpskrav som går lenger enn logoen på Code of Practice. Be om:

• oppdatert modelldokumentasjon og system cards for modellene dere faktisk bruker
• policy for opphavsrett/TDM og status på offentlig trainingsdata-sammendrag
• hvordan C2PA/SynthID (eller tilsvarende) eksponeres i API og produkter dere bygger på
• roller, logging og eskalering ved misbruk, jailbreaks og agentfeil
• europeisk data residency, underleverandører og slette-/eksportregime

3. Skill deployers fra providers. AI Act treffer både modelltilbydere og organisasjoner som tar i bruk høyrisiko-systemer. Norske virksomheter må kartlegge egne bruksområder: chatbot i offentlig tjeneste, automatisert CV-sortering, kreditt, biometri, utdanning og kritiske systemer har andre plikter enn intern kladd-assistanse.

4. Gjør provenance til kommunikasjons- og merkevarekrav. Når bilder, video, lyd og etter hvert tekst skal merkes, må markedsføring, kommunikasjon og produktteam vite hvilke signaler som overlever plattformene dere publiserer på – og hva som faller bort ved skjermdump og recompression.

5. Koble cyber og AI-styring. OpenAIs TAC/EU Cyber-spor er relevant for CISO: avanserte modeller kan både hjelpe forsvar og misbrukes til angrep. Tilgang til «cyber-modeller» bør inn i privilegiert tilgangsmodell, logging, leverandørkontrakt og øvelsesplaner – ikke som ad hoc API-nøkler i en avdeling.

6. Ikke la august-fristen bli en engangssjekk. GPAI-plikter, transparens og høyrisiko-forpliktelser ruller videre. Sett kvartalsvis leverandør-review: modellbytter, nye agentfunksjoner, provenance-dekning, opphavsrettsdokumentasjon og hendelser.

Kontekst: hvorfor saken treffer Norge hardt

Norske virksomheter sitter midt i EU-regimet via EØS-tilnærming, internasjonale konsernkrav og leverandørkjeder. Samtidig er AI allerede i produksjon: agenter skriver kode, lager innhold, treffer kunder og berører persondata. OpenAIs budskap er at de vil følge en «pragmatisk, proporsjonal og risikobasert» linje. Det er fornuftig språk – men for CIO/CISO/styret er det evidensen som teller: konkrete dokumenter, API-signaler, kontraktsfestede SLAer og sporbarhet i egne systemer.

Det er også verdt å huske at OpenAI samme uke kommuniserte priskutt og effektivisering i GPT-5.6-familien. Billigere og mer agentisk intelligens øker bruksvolumet. Mer volum uten bedre styring gir større eksponering mot merking, opphavsrett, personvern og misbruk. Kostnadskutt og compliance må derfor ses i samme regneark.

Praktisk sjekkliste denne uken

• Kartlegg hvilke OpenAI-modeller og -produkter som er i bruk (ChatGPT Enterprise/Work, API, Codex, partnere som Microsoft).
• Be leverandør/partner om oppdatert EU AI Act-pakke: system cards, provenance-støtte, copyright/trainingsdata-status, cyber-access-vilkår.
• Oppdater DPIA/risikovurdering for generative og agentiske flater.
• Sett krav til merking av AI-innhold i kommunikasjons- og produktpolicy.
• Avklar hvem som eier «AI Act readiness» mellom jus, sikkerhet, innkjøp og forretning – med styre-rapportering.

Konklusjonen er enkel: OpenAIs europaplan er et nyttig primærsignal, men ikke et grønt lys. For norske ledere er august 2026 øyeblikket der AI-leverandørstyring må bli like konkret som skyleverandørstyring – med dokumentasjon, huller og evidens på bordet, ikke bare intensjoner.

Kilder og medier

• Primærkilde: OpenAI – Advancing responsible AI across Europe: https://openai.com/index/advancing-responsible-ai-across-europe
• source_name: OpenAI
• EU-kommisjonen – AI Act-oversikt: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• OpenAI Help Center – EU AI Act-veiledning for kunder: https://help.openai.com/en/articles/12141645-eu-ai-act
• Uavhengig lesning av hull i copyright/trainingsdata-dekning: TechTimes-analyse av OpenAIs uttalelse før 2. august-håndheving
• Thumbnail: OpenAI Image 2 / hogby.ai