AI Act: Hvad skal en virksomhed, der implementerer AI, gøre? (tidslinje frem mod 2027, forpligtelser, AI-kompetencer)

EUs forordning om kunstig intelligens (AI Act, forordning 2024/1689) har været gældende siden august 2024 og indfases trinvist. I juli 2026 vedtog EU den såkaldte Digital Omnibus (forordning 2026/1744), som udsatte nogle frister, især for højrisikosystemer. For en virksomhed, der implementerer AI i sine processer, betyder det to ting: nogle pligter gælder allerede, og for andre er der mere tid, end tidligere vejledninger lagde op til.

Denne tekst skaber overblik over, hvad der gælder for en virksomhed, der tager AI i brug (i forordningens terminologi: „bruger (deployer)”), hvilke datoer der er aktuelle, og hvor man skal begynde. Det er ikke juridisk rådgivning; ved højrisikosystemer bør klassificeringen drøftes med en jurist.

De vigtigste pointer

• Forbud og AI-kompetencer gælder fra 2. februar 2025. Enhver virksomhed, der bruger AI, har pligt til at sikre medarbejderne et passende kompetenceniveau inden for AI (art. 4).
• Gennemsigtighed over for brugere gælder fra 2. august 2026. Chatbots, indholdsgeneratorer og deepfakes skal mærkes.
• Højrisikosystemer: frister udskudt. Bilag III (rekruttering, kreditvurdering, uddannelse, biometrik) fra 2. december 2027; bilag I (AI i regulerede produkter, fx medicinsk udstyr) fra 2. august 2028.
• De fleste forretningsimplementeringer er minimal risiko. En dokumentassistent, videnssøgning eller efterspørgselsprognose er ikke høj risiko, men er stadig omfattet af AI-kompetencer og gennemsigtighed.
• Bøder op til 35 mio. EUR eller 7% af omsætningen for forbudte praksisser; lavere grænser for SMV’er og små selskaber med mellemstor markedsværdi.

Hvad er AI Act, og hvem er omfattet

AI Act indfører ensartede regler for AI-systemer i hele EU. Pligter afhænger af to ting: virksomhedens rolle i værdikæden og systemets risikoniveau.

Roller defineret i forordningen:

• Udbyder (provider): udvikler et AI-system og bringer det i omsætning under eget navn eller brand.
• Bruger (deployer): anvender et AI-system som led i sin erhvervsvirksomhed. Det er de fleste virksomheder, der implementerer AI.
• Importør og distributør: bringer systemer fra uden for EU på markedet i EU eller gør dem tilgængelige videre.

Forordningen har ekstraterritorial virkning: den gælder også for virksomheder uden for EU, hvis resultaterne af deres AI-systemer anvendes i Unionen.

Vigtig regel i art. 25: En virksomhed, der tager et andres højrisikosystem i brug under eget brand, væsentligt modificerer det eller ændrer dets formål til en højrisikoanvendelse, bliver udbyder og overtager dennes pligter.

Fire risikoniveauer

Den samme teknologi kan lande i forskellige kategorier afhængigt af anvendelsen. En sprogmodel, der sammenfatter dokumenter i en virksomhed, er minimal risiko. Den samme model brugt til forudselektion af kandidater i rekruttering er et højrisikosystem.

Tidslinje: hvad gælder allerede, og hvad er udskudt

Status efter Digital Omnibus (forordning 2026/1744, i kraft fra 27. juli 2026):

• 1. august 2024: AI Act trådte i kraft.
• 2. februar 2025: forbud (art. 5) og AI-kompetencer (art. 4). Gælder.
• 2. august 2025: pligter for udbydere af general purpose AI-modeller (GPAI), tilsynsstrukturen og sanktionsbestemmelserne. Gælder.
• 2. august 2026: gennemsigtighedsforpligtelser (art. 50), regulatoriske sandkasser i hvert medlemsland, generel anvendelse af forordningen (med undtagelse af højrisikosystemer). Gælder.
• 2. december 2026: slut på overgangsperioden for mærkning af syntetisk indhold i systemer, der blev bragt i omsætning før 02.08.2026; nye forbud i art. 5.
• 2. december 2027: højrisikosystemer i bilag III (tidligere: 02.08.2026). Systemer bragt i omsætning før denne dato omfattes først efter en væsentlig ændring.
• 2. august 2028: højrisikosystemer i bilag I, dvs. AI i produkter omfattet af anden EU-lovgivning, fx medicinsk udstyr, maskiner (tidligere: 02.08.2027).
• 2. august 2030: højrisikosystemer anvendt af offentlige myndigheder.

Udskydelsen af fristerne ændrer ikke omfanget af pligter. For et højrisikosystem tager implementering af dokumentation, logning og menneskeligt tilsyn måneder, så 2027 er tættere på, end det ser ud.

Forpligtelser for virksomheden, der tager AI i brug (brugeren)

For hvert AI-system, uanset risiko

AI-kompetencer (art. 4). Virksomheden skal sikre, at de personer, der betjener AI-systemer, har tilstrækkelig viden om deres funktion, begrænsninger og risici, passende til konteksten og de grupper, systemet påvirker. Forordningen foreskriver ikke formen; i praksis er det træning, interne regler og instruktioner.

Gennemsigtighed (art. 50). Hvis medarbejdere eller kunder taler med en chatbot, skal de vide det, medmindre det er åbenlyst. Indhold genereret af AI og offentliggjort i sager af offentlig interesse skal markeres som genereret. Deepfakes skal mærkes. Systemer til følelsesgenkendelse og biometrisk kategorisering kræver information til de berørte personer.

For højrisikosystemer (art. 26 og 27)

• Brug i overensstemmelse med udbyderens instruktion. Udbyderen skal levere en instruktion; brugeren skal overholde den.
• Menneskeligt tilsyn. Virksomheden udpeger personer med kompetencer, træning og beføjelser til at føre tilsyn med systemet, herunder tilsidesætte eller omgøre dets beslutninger.
• Inputdata. I det omfang virksomheden kontrollerer inputdata, skal de være egnede og tilstrækkeligt repræsentative for systemets formål. Styring af træningsdata er udbyderens, ikke brugerens, pligt.
• Overvågning og indberetning. Virksomheden overvåger systemets drift; hvis der konstateres risiko for sundhed, sikkerhed eller grundlæggende rettigheder, standses brugen, og udbyderen samt markedsovervågningsmyndigheden informeres. Alvorlige hændelser skal indberettes.
• Logs. Virksomheden opbevarer automatisk genererede logs (i det omfang den kontrollerer dem) i mindst 6 måneder, medmindre anden lovgivning kræver længere opbevaring.
• Medarbejdere. Før et højrisikosystem tages i brug på arbejdspladsen, informerer virksomheden medarbejdere og deres repræsentanter.
• Berørte personer. Virksomheden informerer fysiske personer om, at de er underlagt en beslutning understøttet af et højrisikosystem, og forklarer på anmodning systemets rolle i beslutningen.
• Vurdering af konsekvenser for grundlæggende rettigheder (art. 27). Obligatorisk for offentlige myndigheder og udbydere af offentlige ydelser samt for virksomheder, der bruger AI til kreditvurdering og risikovurdering i livs- og sundhedsforsikring.

Et internt register over AI-systemer er ikke direkte en juridisk pligt for de fleste brugere (registrering i EU-basen vedrører udbydere og offentlige myndigheder), men uden en inventarliste kan de øvrige forpligtelser ikke opfyldes.

AI-kompetencer i praksis

Art. 4 gælder fra februar 2025 og omfatter enhver virksomhed, der bruger AI – også standardværktøjer. Hvad kompetenceopbygningen bør dække:

• Hvordan værktøjet virker: hvad modellen kan og ikke kan, og hvor den henter data til svarene.
• Begrænsninger: hallucinationer, afhængighed af datakvalitet, behov for validering af resultater i opgaver med konsekvenser for mennesker eller økonomi.
• Data: hvad der ikke må indtastes i offentlige modeller (persondata, forretningshemmeligheder, kundedata), og forskellen på en offentlig chatbot og en enterprise-implementering.
• Menneskets rolle: hvem der bærer ansvaret for en AI-understøttet beslutning, og hvornår den skal anfægtes.
• Procedurer: hvor fejl eller bekymrende adfærd i systemet skal indrapporteres.

Niveauet af detaljer afhænger af rollen: ét for ledelsen, et andet for daglige brugere og et tredje for IT-teamet, der driver systemet.

Sådan ser det ud i praksis ved implementering

Set fra et teknisk perspektiv koger de fleste AI Act-krav ned til arkitekturvalg truffet i starten af projektet. Hos Startup House bruger vi ved implementering af AI-assistenter, agenter og vidensbaser for virksomheder principper, der gør efterfølgende compliance lettere – uanset risikoklasse:

• Svar baseret på verificerede kundedata (RAG) med kildehenvisninger, hvilket begrænser hallucinationer og lader brugeren se kilden.
• Integration med eksisterende adgangspolitikker (bl.a. Okta), så AI kun ser de data, brugeren har rettigheder til.
• Implementering i kundens cloud og arbejde med modeller på forretningsvilkår: kundedata træner ikke offentlige AI-modeller.
• Logning af forespørgsler og svar fra første version – ikke som et eftertænkt tillæg.
• Mennesket i loopet der, hvor AI understøtter beslutninger om mennesker eller penge: systemet foreslår, mennesket godkender.
• Åbenhed over for brugeren: assistenten præsenterer sig som AI og oplyser, når den ikke kender svaret.
• En arkitektur, der gør det muligt at udskifte modellen (fx fra OpenAI til Anthropic) uden at ombygge systemet, fordi kravene til GPAI-modeller og modellerne selv ændrer sig hurtigere end virksomhedens systemer.

Vi arbejder efter ISO 27001 og tilpasser projekter til kravene hos kunder i regulerede brancher (fintech, healthcare, cybersikkerhed). Risikoklassifikation og juridiske forpligtelser fastlægges af kunden med egen juridisk afdeling; vi leverer den tekniske side: dokumentation, logs, mekanismer til tilsyn og gennemsigtighed.

Inventarisering af AI-systemer, ansvarsplacering og styring af frister understøttes af Compliance Copilot (produktside): en AI-agent fra Startup House til løbende compliance-overvågning (bl.a. GDPR, DORA, NIST, ISO), som peger på huller i dokumentation og procedurer, før et audit finder dem.

Sådan forbereder du virksomheden: 5 trin

1. Inventar. Liste over alle AI-værktøjer i virksomheden: fra chatbots i kundeservice og AI-funktioner i SaaS til modeller i backend. For hvert: udbyder, anvendelse, hvem der bruger det, og hvilke data der indgår.
2. Risikoklassificering. Placér hvert værktøj i en af de fire kategorier efter anvendelse – ikke teknologi. Undersøg særskilt, om virksomheden et sted bliver udbyder (eget brand, væsentlig ændring).
3. Leverandør-audit. For højrisikosystemer: leverer udbyderen instruktion, dokumentation og støtte til logning? For GPAI-værktøjer (general purpose-modeller): sikrer aftalen, at virksomhedens data ikke bruges til træning?
4. Politik for brug af AI. Regler for medarbejdere: tilladte værktøjer, forbud mod at indtaste følsomme data i offentlige modeller, pligt til at validere resultater, eskaleringsvej for problemer, mærkning af AI-genereret indhold.
5. Kompetencer og procedurer. Rolletilpasset træning, udpegning af ansvarlige for tilsyn med systemerne, procedurer for overvågning og hændelsesindberetning. For højrisikosystemer: plan for at nå compliance inden december 2027 (bilag III) eller august 2028 (bilag I).

Bøder for manglende overholdelse af AI Act

• Op til 35 mio. EUR eller 7% af den globale årlige omsætning (det højeste beløb): forbudte praksisser.
• Op til 15 mio. EUR eller 3%: overtrædelse af øvrige forpligtelser, herunder for højrisikosystemer og gennemsigtighed.
• Op til 7,5 mio. EUR eller 1,5%: at give urigtige eller ufuldstændige oplysninger til myndighederne.

For SMV’er og startups – og efter Digital Omnibus også for små selskaber med mellemstor markedsværdi – anvendes det lavere af de to beløb. Ud over bøder kan tilsynsmyndigheden påbyde, at systemet tages ud af brug.

Se også: Sådan vælger du en virksomhed til AI-implementering: tjekliste med 20 spørgsmål og kontraktpunkter · Microsoft 365 Copilot, ChatGPT Enterprise eller en egen AI-assistent?

Ofte stillede spørgsmål

Gælder AI Act for små og mellemstore virksomheder?

Ja. Der er ingen undtagelse baseret på virksomhedsstørrelse; pligter afhænger af rolle og systemets risikoniveau. SMV’er har lavere bødegrænser, forenklet dokumentation for udbydere og adgang til regulatoriske sandkasser, som hvert medlemsland skulle have lanceret senest i august 2026.

Er brug af ChatGPT eller en anden chatbot i virksomheden i overensstemmelse med AI Act?

Selve brugen er det, forudsat at art. 4 (medarbejderkompetencer) og interne databeskyttelsesregler overholdes. Problemer opstår, når modellen bruges i en højrisikoanvendelse (fx kandidatudvælgelse) eller integreres i eget produkt under eget brand: så kan virksomheden blive udbyder og overtage dennes pligter.

Skal jeg bygge mit nuværende AI-system om?

Det afhænger af kategorien. Systemer med minimal risiko kræver ingen ændringer ud over gennemsigtighed, hvis de interagerer med brugere. Højrisikosystemer bragt i omsætning før 2. december 2027 omfattes først efter en væsentlig ændring; nye skal opfylde kravene fra denne dato. Systemer i den forbudte kategori (fx følelsesgenkendelse af medarbejdere) skulle være slukket senest 2. februar 2025.

Hvad er forskellen på en udbyder og en bruger (deployer)?

Udbyderen udvikler systemet og bringer det på markedet (fx en modelproducent eller en virksomhed, der sælger sit eget AI-værktøj). Brugeren anvender systemet i sin virksomhed (fx en bank, der bruger et eksternt værktøj til kreditvurdering). Overensstemmelsesvurdering, teknisk dokumentation og registrering påhviler udbyderen; menneskeligt tilsyn, overvågning, logs og information til medarbejdere påhviler brugeren.

Hvordan tjekker jeg, om mit system er høj risiko?

Bilag III oplister områder: biometrik, kritisk infrastruktur, uddannelse, ansættelse og medarbejderforvaltning, adgang til basale ydelser (herunder kreditvurdering og forsikring), retshåndhævelse, migration, retsvæsenet. Bilag I omfatter AI som sikkerhedselement i regulerede produkter (medicinsk udstyr, maskiner, køretøjer). Hvis systemet opererer i disse områder og påvirker beslutninger om personer, er det høj risiko, medmindre det udelukkende udfører en snæver, hjælpende opgave (undtagelser i art. 6, stk. 3).

Hvad med general purpose-modeller (GPAI), som vi bruger via API?

Pligterne for GPAI-modeller (dokumentation, ophavsretspolitik, for systemiske risikomodeller yderligere tests) påhviler deres udbydere og gælder fra 2. august 2025. En virksomhed, der bruger en model via API, er bruger af et system bygget på den model, med pligter afhængigt af anvendelsen.

Hvordan påvirker AI Act udviklingen af AI i polske virksomheder?

AI Act regulerer implementeringen af AI-løsninger i erhvervslivet. Den har stor betydning for innovation, sikkerhed og kundernes tillid. Virksomheder i Polen bør indarbejde kravene i deres strategi for investering og ekspansion.

Gælder AI Act brugen af AI i marketing og e‑handel?

Ja, også webshops og marketingbureauer skal overholde de relevante regler. AI til content-skabelse, indtægtsanalyse eller optimering af spend hører typisk under anvendelser med minimal risiko. Yderligere forpligtelser kan følge af, hvordan data og genereret indhold bruges.

Hvordan forbereder man virksomheden på AI Act-kravene i 4. kvartal 2026?

Start med at analysere tilgængelige AI-værktøjer og teste deres overensstemmelse med reglerne. Eksperter bør identificere risici, udarbejde tjeklister og procedurer for advarsler. Inden nye implementeringer igangsættes, bør medarbejderne også trænes.

Regulerer AI Act brugen af AI i rekruttering og fastsættelse af løn?

Ja, AI-systemer, der understøtter rekruttering, medarbejderevaluering og lønbeslutninger, kan klassificeres som højrisiko. De kræver passende menneskeligt tilsyn, dokumentation og funktionskontrol. Det er særligt vigtigt for at beskytte medarbejderrettigheder og sikre gennemsigtighed i beslutninger.

Teksten er til orientering og udgør ikke juridisk rådgivning. Retsstilling: oktober 2026, efter ikrafttrædelsen af forordning 2026/1744 (Digital Omnibus).