AI-forordningen: hvad den betyder for din virksomhed

Hvem AI-forordningen rammer, og i hvilken rolle

AI-forordningen, på engelsk EU AI Act, er forordning (EU) 2024/1689. Den gælder direkte i Danmark, uden at Folketinget skal omsætte den. Det første, du skal afklare, er ikke hvilke AI-værktøjer I bruger, men hvilken rolle I har, fordi pligterne følger rollen.

• Udbyder. Den, der udvikler et AI-system eller får det udviklet og sætter det på markedet eller i drift under eget navn. Bygger I en AI-løsning og sælger den til jeres kunder, er I udbyder.
• Idriftsætter. Den, der bruger et AI-system i sit arbejde. Bruger medarbejderne ChatGPT, Copilot eller en chatbot på hjemmesiden, er I idriftsætter.

De fleste små og mellemstore virksomheder er kun idriftsættere, og for dem er pligterne i dag overskuelige. Grænsen flytter sig, når I selv får bygget noget. En kundeservice-agent på jeres eget site, bygget oven på en sprogmodel, kan gøre jer til udbyder af den løsning. Den skelnen hører til den første samtale med en AI-konsulent, ikke til den sidste.

Det gælder for din virksomhed i dag

Forordningen trådte i kraft 1. august 2024, men reglerne er sat i gang i etaper. Tabellen viser status pr. 29. oktober 2026, tjekket mod Europa-Kommissionens oversigt og ændringsforordningen (EU) 2026/1744.

Regel	Gælder fra	Hvad det betyder for en almindelig virksomhed
Forbudte former for AI (artikel 5)	2. februar 2025	Bl.a. social scoring, manipulation der udnytter sårbarhed og følelsesgenkendelse på arbejdspladsen. Rammer både udbydere og idriftsættere.
AI-kendskab (artikel 4)	2. februar 2025	I skal tage tiltag, der styrker medarbejdernes forståelse af de AI-systemer, de bruger.
Generelle AI-modeller (GPAI)	2. august 2025	Rammer modeludbyderne, fx OpenAI, Google og Anthropic. Ikke jer, medmindre I træner og udgiver egne modeller.
Gennemsigtighed (artikel 50) og tilsyn	2. august 2026	Folk skal vide, at de taler med en chatbot. Deepfakes skal mærkes. Myndighederne kan håndhæve.
Maskinlæsbar mærkning, systemer på markedet før 2. august 2026	2. december 2026	Rammer udbydere af generativ AI. Overgangsperiode på fire måneder.
Højrisiko, selvstændige systemer (bilag III)	2. december 2027	Fx AI til sortering af ansøgere, kreditvurdering og uddannelse.
Højrisiko i produkter (bilag I)	2. august 2028	AI som sikkerhedskomponent i produkter, fx elevatorer og legetøj.

For idriftsætteren er de tre første linjer i kraft, og gennemsigtigheden er den, der oftest kræver en konkret ændring. Har I en chatbot på hjemmesiden, skal det fremgå tydeligt, at den ikke er et menneske, medmindre det er åbenlyst. Pligten ligger formelt hos udbyderen af chatbotten, men det er jeres side, kunden står på, så tjek det selv. Bruger I AI-genererede billeder eller video af virkelige personer eller steder i markedsføringen, skal det oplyses.

Udsættelsen: hvad ændringsforordningen flyttede

Højrisikoreglerne skulle oprindeligt gælde fra 2. august 2026. EU-Kommissionen foreslog 19. november 2025 at udskyde dem, og forslaget blev vedtaget som ændringsforordning (EU) 2026/1744. Ifølge Europa-Parlamentets lovgivningsoversigt stemte Parlamentet ja 16. juni 2026 med 423 stemmer for, 57 imod og 174, der undlod at stemme. Rådet vedtog den 29. juni 2026, og den blev offentliggjort i EU-Tidende 24. juli 2026.

Fire ting i ændringen betyder noget for en dansk virksomhed:

• Faste datoer for højrisiko. Kommissionen ville binde datoerne til, hvornår standarderne var klar. Lovgiverne valgte faste datoer i stedet: 2. december 2027 og 2. august 2028.
• AI-kendskab blev blødere formuleret. Artikel 4 kræver nu, at udbydere og idriftsættere tager tiltag, der understøtter medarbejdernes AI-kendskab. Teksten siger udtrykkeligt, at det ikke kræver et bestemt niveau hos den enkelte medarbejder.
• Lettere dokumentation for mindre virksomheder. SMV'er og en ny gruppe af små mid-cap virksomheder kan levere teknisk dokumentation i forenklet form.
• Nye forbud. AI, der laver intime eller seksuelle billeder af genkendelige personer uden samtykke, og AI, der laver overgrebsmateriale med børn, er tilføjet listen over forbudte praksisser.

Udsættelsen gælder højrisikoreglerne. Forbuddene, AI-kendskab og gennemsigtighed blev ikke udskudt.

Hvem fører tilsyn i Danmark

Den danske del står i lov nr. 467 af 14. maj 2025 om supplerende bestemmelser til forordningen om kunstig intelligens, som trådte i kraft 2. august 2025. Loven udpeger tre myndigheder:

• Digitaliseringsstyrelsen er central kontaktpunkt og fører tilsyn med de fleste af forbuddene i artikel 5. Styrelsen har udgivet en vejledning om de forbudte former for AI, som er det bedste sted at starte.
• Datatilsynet fører tilsyn med forbuddene mod at forudsige kriminalitet ud fra profilering og mod biometrisk kategorisering.
• Domstolsstyrelsen fører tilsyn med domstolenes administrative brug af AI.

Behandler jeres AI-løsning persondata, gælder GDPR ved siden af. Det er to regelsæt med to forskellige tilsyn, og at det ene er overholdt, siger intet om det andet.

Bøderne: loftet, ikke taksten

Bødelofterne står i artikel 99 og er de tal, der citeres oftest:

Overtrædelse	Maksimal bøde	For SMV'er
Forbudte AI-praksisser (artikel 5)	35 mio. euro eller 7 % af den globale årsomsætning, det højeste	Det laveste af de to
Andre pligter, fx for udbydere og idriftsættere	15 mio. euro eller 3 %, det højeste	Det laveste af de to
Forkerte eller vildledende oplysninger til myndighederne	7,5 mio. euro eller 1 %, det højeste	Det laveste af de to

Læg mærke til den sidste kolonne. For en SMV er loftet det laveste af beløbet og procentsatsen, så en virksomhed med 20 mio. kr. i omsætning har et loft på 7 % af omsætningen, altså 1,4 mio. kr., for den groveste overtrædelse, ikke 35 mio. euro. Tallene er lofter. Det, der koster en almindelig virksomhed penge, er sjældent bøden, men at skulle bygge en chatbot eller et screeningsværktøj om, fordi ingen tjekkede reglerne før lancering.

Fem ting du skal gøre nu

1. Lav en liste over de AI-værktøjer, I bruger. Navn, hvad det bruges til, hvem der bruger det, og om det behandler persondata. En halv side er nok til en virksomhed med 30 ansatte.
2. Skriv jeres rolle ud for hvert værktøj. Idriftsætter eller udbyder. Har I selv fået bygget en løsning, så spørg leverandøren, hvem der står som udbyder.
3. Tjek listen mod forbuddene. Følelsesgenkendelse af medarbejdere er den, mindre virksomheder oftest rammer, typisk via et værktøj til at analysere kundeopkald eller videomøder.
4. Ret gennemsigtigheden. Chatbotten skal sige, at den er en chatbot. AI-genereret billed- og videomateriale af virkelige personer skal mærkes.
5. Dokumentér AI-kendskab. En kort intern instruks og en introduktion for dem, der bruger værktøjerne, er et rimeligt niveau. Skriv ned, hvad I har gjort, og hvornår.

Bruger I, eller overvejer I, AI til at sortere jobansøgere, vurdere kreditværdighed eller bedømme elever, så sæt 2. december 2027 i kalenderen nu. Det er de områder, hvor højrisikoreglerne kræver mest dokumentation, og et system, der bygges i dag, skal kunne leve op til dem den dag.

Når jeg bygger en AI-løsning, starter jeg med rollen og listen, før der skrives kode. Det er billigere at vælge den rigtige løsning fra start end at bygge den om, når reglerne rammer.