Deepfakes og personlighetsvernet

Nettet florerer av falske bilder og videoer der kjente og ukjente personer tilsynelatende sier og gjør ting som får deg til å stusse. Noen ganger er innholdet så absurd at det er lett å avsløre. Andre ganger er det nesten umulig å skille falskt fra ekte innhold. Det er imidlertid ikke bare kjendiser som utnyttes på denne måten - også vanlige folk utsettes for såkalte «deepfakes»; manipulerte bilder, lydopptak eller video laget ved hjelp av KI. Nylig skapte tjenesten Grok, en KI-tjeneste der man blant annet kan generere nakenbilder, stor debatt. Hvilken beskyttelse har du egentlig hvis du blir utsatt for deepfaking?

Det finnes foreløpig ingen regler som eksplisitt regulerer bruk av deepfakes i Norge. Deepfakes, eller «dypforfalskning», reguleres i KI-forordningen fra EU som skal gjøres til norsk rett. Forordningen regulerer primært merking av KI-generert materiale, ikke rettighetene til den avbildede. Reglene som beskytter den avbildede er mer fragmentert, og ingen av reglene omhandler manipulerte bilder direkte.

Hvilke regler som gjelder, avhenger av hva slags innhold det er snakk om. Er materialet krenkende, vil deling av slikt innhold kunne rammes av straffeloven. Det fremgår ikke direkte av straffeloven at regelen gjelder manipulerte bilder, men bilder som oppfattes å være reelle vil trolig omfattes. I tillegg kan reglene om ærekrenkelse aktualiseres dersom innholdet kan være egnet til å svekke vedkommendes æresfølelse eller omdømme.

Å lage eller å dele manipulerte bilder som avbilder en faktisk person vil også kunne rammes av personvernregelverket. Her stilles det ikke krav om at innholdet er krenkende. GDPR gjelder ikke i den private sfæren. Deling i familie eller små vennegrupper vil dermed fort falle utenfor, mens deling på sosiale medier typisk omfattes. GDPR forbyr heller ikke all deling, men det forutsetter et gyldig behandlingsgrunnlag. I praksis betyr det at produksjon og deling av bilder må ha et lovlig formål. Et relevant behandlingsgrunnlag kan være «berettiget interesse», eksempelvis der ytringsfriheten veier tyngre enn personvernet. Satire og politiske ytringer er typiske eksempler. Manipulerte videoer av politikere som danser eller synger vil nok derfor etter all sannsynlighet kunne passere som lovlige.

Selv om GDPR gir et vern, er det ikke alltid så lett å håndheve vernet. Brudd kan klages inn til Datatilsynet, men i praksis kan det ta tid før en sak blir prioritert og fulgt opp. Når reaksjonen først kommer, har skaden ofte allerede skjedd.

Fysiske personer har også en rett til eget bilde etter åndsverksloven, som medfører at fotografi som avbilder en person ikke kan gjengis eller vises offentlig uten personens samtykke. Hvorvidt deepfakes rammes av denne bestemmelsen er uklart. Bestemmelsen gjelder i utgangspunktet fotografier og vil trolig omfatte manipulasjon av eksisterende bilder, men ikke nødvendigvis helt ny-genererte bilder. Her vil vi nok se interessante grensetilfeller i fremtiden. Bestemmelsen oppstiller også flere praktiske unntak. Kravet til samtykke må blant annet veies opp mot ytringsfriheten.

I Danmark har man forsøkt å møte den økende bruken av deepfakes med å lovregulere dette spesifikt. I mars 2026 trer en ny bestemmelse i kraft, som lovfester vern av personlige kjennetegn slik som utseende, stemme, bevegelser og lignende. Parodier og satire vil være unntatt, i tillegg til maktkritikk, karikaturer og tilsvarende uttrykk. Vernet vil være et erstatningsrettslig vern, og beskyttelsen skal vare i 50 år etter personens død, i motsetning til personvernreglene som kun gjelder levende personer.

I Norge har et lignende personlighetsvern blitt utviklet gjennom rettspraksis, men omfanget av vernet er ikke fastsatt. Det blir interessant å se hvordan lovverket utvikles fremover. Deepfakes blir stadig vanligere, og behovet for et tydelig og praktisk vern vil trolig øke. Samtidig må enhver innstramming avveies mot ytringsfriheten, slik at reglene ikke hindrer legitim samfunnskritikk, satire og politiske ytringer.