AI-forordningen (EU AI Act)

AI-forordningen er EU's fælles lovgivning om kunstig intelligens, trådt i kraft 1. august 2024, med en faseopdelt indfasning af krav og forbud. For de fleste danske små og mellemstore virksomheder betyder det, at I allerede fra februar 2025 skal kunne dokumentere visse kompetencer og undgå forbudte praksisser, og at gennemsigtighedskrav og nationalt tilsyn først slår igennem fra august 2026.

Hvad danske SMV'er skal reagere på nu

De fleste danske SMV'er bruger standard AI-værktøjer til tekstarbejde, kundesupport eller billedsøgning, og I rammes primært af: forbud mod klart ulovlig eller manipulerende anvendelse, krav om at have grundlæggende AI-kompetence fra 2. februar 2025, samt senere krav om at oplyse, når en bruger interagerer med en AI-model. Højrisikoreglerne, som stiller større dokumentations- og sikkerhedskrav, er udskudt og gælder først fuldt fra december 2027/august 2028 for de nævnte bilag, så de fleste SMV'er har tid til at forberede sig.

I praksis betyder det, at du som leder eller den, der beslutter indkøb, skal stille to spørgsmål, når et nyt AI-værktøj overvejes: Kan det udgøre en forbudt praksis? Og hvilke oplysninger skal I give brugeren? Hvis svaret på det første er nej, så er næste skridt at sikre dokumentation for hvem i organisationen, der har ansvar for brugen, og hvordan I håndterer gennemsigtighed og kontrol.

Sådan fungerer risikoniveauerne i AI-forordningen

Forordningen deler AI-systemer i fire niveauer: forbudt, højrisiko, systemer med særlige gennemsigtighedskrav og lavrisiko/generelle systemer. Forbudt praksis er ting, EU vurderer som klart skadelige eller manipulerende, og de kan medføre de største bøder. Højrisiko dækker brug i kritiske områder og kræver omfattende kontrol og dokumentation, men disse krav er delvist udsat for gennemførelsen. Systemer med gennemsigtighedskrav betyder, at I skal give brugere besked om, at de taler med AI eller ser AI-genereret indhold. Lavrisiko betyder få eller ingen yderligere krav ud over almindelig forretningssans.

Begrebet "Risikoniveauer i AI-forordningen" er centralt, fordi det afgør, hvor meget dokumentation, test og intern kontrol virksomheden skal etablere. Forbudte eller højrisiko-systemer kan trække store bøder: op til 35 mio. euro eller 7 % af global årlig omsætning for forbudte praksisser, og op til 15 mio. euro eller 3 % for andre alvorlige overtrædelser, med et lavere loft for mindre virksomheder.

Eksempel: AI-forordningen hos en databeskyttelsesansvarlig i en rådgivervirksomhed

En databeskyttelsesansvarlig i en rådgivervirksomhed modtog midt i februar 2025 en forespørgsel om at købe et AI-værktøj, der foreslog tekster til tilbud. Det var dagen før et større udbudsmøde, og marketingafdelingen ville gerne have værktøjet i drift samme uge. Databeskyttelsesansvarligens opgave var at vurdere, om systemet indeholdt noget forbudt, og hvilke oplysninger kunderne skulle have. Hun fandt, at værktøjet var en generel AI-model og ikke højrisiko, men at virksomheden fra februar 2025 skulle dokumentere, hvem i huset der havde kompetencen til at bruge modellen ansvarligt, og at brugerne skulle oplyses om, at teksterne kom fra AI. Implementeringen krævede tre møder på to dage, en opdateret procedure i intranettet og en kort e-mail-skabelon til kunder. Modstand kom fra marketing, der mente, at det forsinker tempoet; resultatet var, at værktøjet gik i begrænset drift efter en uge, men det kostede tid til oplæring og skriftlig dokumentation.

Dette viser, at konsekvenserne ofte er administrative: tid til at skrive procedurer, træne medarbejdere og opdatere kundekommunikation. Ikke en teknisk ombygning, men det er ikke gratis.

Hvad du skal være opmærksom på

• Tidslinjerne er faseopdelte: nogle krav gælder allerede i 2025, andre først i 2026 til 2028. Hold øje med præcis dato for de krav, der vedrører jer. For faste opdateringer kan du tjekke Digitaliseringsstyrelsen.
• Bøder er reelle og kan være høje; små virksomheder har dog lavere loft for visse sanktionskategorier. Reglerne om forbud og store bøder betyder, at I skal lave en grundlæggende risikovurdering, før I indfører nye AI-løsninger.
• Dansk tilsyn samles under Digitaliseringsstyrelsen, men nationale tilsynsmyndigheder får praktiske opgaver først fra 2. august 2026. For spørgsmål om databeskyttelse og grænser i praksis kan Datatilsynet være relevant.
• Forbered dokumentation for, hvem i virksomheden der har ansvar og nødvendige kompetencer. Det er en simpel post i jeres compliance-mappe, men den skal eksistere.
• Forvent spørgsmål fra kunder om, hvorvidt I bruger AI, og hvordan I sikrer korrekthed; gennemsigtighedsregler betyder, at I skal kunne svare.

Sådan kommer du i gang med AI-forordningen

1. Kortlæg jeres nuværende AI-brug: hvilke værktøjer, hvilke arbejdsopgaver, og om nogen beslutninger påvirker tredjepersoners rettigheder.
2. Lav en simpel risikovurdering: kan noget være forbudt, højrisiko eller kræve særlig gennemsigtighed? Involver den, der har ansvaret for persondata.
3. Udpeg en ansvarlig og skriv én side med procedurer: hvem træner medarbejdere, hvordan dokumenteres valg af leverandør, hvordan informeres kunder.
4. Opdater kontrakter og leverandørspørgsmål: spørg leverandører om datakilder og sikkerhed, især hvis I bruger generelle AI-modeller.
5. Hold løbende øje med myndighedsanvisninger og datoer, så I ikke får overraskelser, når næste fase træder i kraft.

En lille, praktisk pointe: dokumentation behøver ikke være kompliceret. En enkelt tjekliste gør jobbet, men husk at opbevare den et sted, alle relevante ledere kan finde.