EU AI Act for danske virksomheder

EU AI Act er verdens første samlede regulering af kunstig intelligens – og i sommeren 2026 skete der noget usædvanligt: EU besluttede at udskyde nogle af forordningens vigtigste forpligtelser. Med den såkaldte Digital Omnibus blev de tunge krav til højrisiko-AI flyttet flere år ud i fremtiden. For danske virksomheder skaber det både luft og forvirring: hvad gælder egentlig nu, hvad er udskudt, og hvad kan man roligt vente med?

Denne guide giver overblikket. Vi gennemgår, hvad EU AI Act er, hvordan den inddeler AI efter risiko, den nye tidslinje efter udskydelsen, forskellen på at være udbyder og anvender af AI, hvad bøderne er – og hvordan din virksomhed griber det praktisk an i 2026.

Hvad er EU AI Act?

EU AI Act (forordning 2024/1689) trådte i kraft 1. august 2024 og er EU's flagskibsregulering af udvikling, markedsføring og brug af AI-systemer. Modsat GDPR, der handler om persondata, handler AI Act om selve AI-systemerne – hvad de må bruges til, hvor gennemsigtige de skal være, og hvor meget menneskeligt tilsyn der kræves.

Grundtanken er en risikobaseret tilgang: jo større risiko et AI-system udgør for menneskers rettigheder og sikkerhed, jo strengere krav. Reglerne gælder ikke kun europæiske udbydere – enhver, der markedsfører eller anvender AI i EU, er omfattet, uanset hvor virksomheden er hjemmehørende.

De fire risikokategorier

AI Act placerer ethvert AI-system i én af fire kategorier. At forstå hvilken kategori jeres anvendelser falder i, er hele nøglen til at vide, hvilke krav der gælder.

For langt de fleste danske virksomheder ligger den daglige AI-brug i de to nederste kategorier. Det er først, når AI bruges til at træffe eller støtte beslutninger om mennesker – hvem der ansættes, hvem der får kredit, hvem der får adgang – at man rammer højrisiko-kategorien med dens tunge krav.

Digital Omnibus: udskydelsen i 2026

Da AI Act blev vedtaget, var planen en trinvis inkraftræden, hvor hovedparten af reglerne – herunder kravene til højrisiko-systemer – skulle gælde fra 2. august 2026. Men efter vedvarende kritik fra erhvervslivet om forsinkede tekniske standarder og høje efterlevelsesomkostninger fremlagde EU-Kommissionen i november 2025 et forslag kaldet Digital Omnibus, der skulle forenkle og udskyde dele af forordningen.

Forløbet gik hurtigt: en foreløbig politisk aftale blev indgået 7. maj 2026, Europa-Parlamentet stemte for 16. juni 2026, og den formelle vedtagelse var planlagt til at ske inden den oprindelige frist 2. august 2026. Resultatet er en række målrettede ændringer – med udskydelsen af højrisiko-reglerne som den vigtigste.

Det er vigtigt at forstå, hvad udskydelsen ikke ændrer. Forordningen består; det er kun tidsplanen for højrisiko-forpligtelserne og enkelte transparenskrav, der er flyttet. Forbuddene og reglerne for generelle AI-modeller gælder allerede – se næste afsnit.

Hvad gælder allerede nu

Selvom overskrifterne handler om udskydelse, er dele af AI Act for længst trådt i kraft og gælder danske virksomheder her og nu:

• Forbudte praksisser (siden 2. februar 2025): De uacceptable anvendelser – social scoring, manipulerende systemer, visse former for biometrisk overvågning – har været forbudt i over et år. Dette blev ikke udskudt.
• AI-forståelse (siden februar 2025): Virksomheder skal sikre, at medarbejdere, der arbejder med AI, har tilstrækkelig indsigt. Omnibus læmper formuleringen, men princippet består.
• Generelle AI-modeller (siden 2. august 2025): Udbydere af store sprogmodeller (fx GPT, Gemini, Claude) er underlagt krav om dokumentation og transparens. Det berører primært modeludbyderne, ikke den almindelige anvender.
• Transparens over for brugere: Når en person interagerer med en chatbot eller ser AI-genereret indhold, skal det som udgangspunkt fremgå. Selve den tekniske vandmærkning er for eksisterende systemer udskudt til december 2026.

Er min virksomhed udbyder eller anvender?

Et af de mest misforståede punkter i AI Act er rollefordelingen. Forordningen skelner skarpt mellem to hovedroller, og jeres forpligtelser afhænger fuldstændigt af, hvilken I har:

Udbyder (provider)

Den, der udvikler eller markedsfører et AI-system under eget navn. Udbydere bærer hovedparten af forpligtelserne – risikostyring, teknisk dokumentation, overensstemmelsesvurdering og registrering. Det er typisk softwarevirksomheder og AI-leverandører.

Anvender (idrisætter / deployer)

Den, der tager et AI-system i brug i sin virksomhed. Det er her, de fleste danske virksomheder befinder sig: I køber og bruger færdige værktøjer frem for at bygge dem. Anvendere har lettere forpligtelser, men er stadig omfattet – især ved højrisiko-brug, hvor I skal sikre menneskeligt tilsyn, bruge systemet efter leverandørens anvisning og informere de berørte.

Højrisiko-systemer: hvor det bliver alvor

De tungeste krav rammer højrisiko-systemer – og flere af dem er direkte relevante for helt almindelige danske virksomheder. Blandt de anvendelser, der klassificeres som høj risiko under Annex III, er:

• Beskæftigelse og HR: AI der screener jobansøgere, sorterer CV'er, evaluerer medarbejdere eller påvirker forfremmelse og afskedigelse.
• Kreditvurdering: AI der vurderer fysiske personers kreditværdighed eller adgang til finansielle ydelser.
• Adgang til væsentlige ydelser: Systemer der styrer adgang til offentlige ydelser, forsikring eller uddannelse.
• Kritisk infrastruktur og sikkerhed: AI der indgår i styring af fx energi, vand eller transport.

For disse systemer kræver forordningen bl.a. et risikostyringssystem, dokumenteret datakvalitet, teknisk dokumentation, logning, menneskeligt tilsyn og registrering i en EU-database. Det er netop disse krav, hvis anvendelsesfrist nu er rykket til 2. december 2027 – men systemerne bliver ikke mindre højrisiko af den grund. Bruger I allerede AI i rekruttering, er dette et område, hvor forberedelse betaler sig.

Bøderne: hvorfor det tages alvorligt

AI Act har et sanktionsniveau, der bevidst er sat højt for at signalere, at reglerne ikke er valgfrie. Bøderne er gradueret efter overtrædelsens alvor, og for hver kategori gælder det højeste af to beløb:

For små og mellemstore virksomheder anvendes den lavere af de to grænser – en lempelse, der anerkender, at et procentloft kan ramme små virksomheder urimeligt hårdt. I Danmark føres tilsynet af de udpegede nationale myndigheder, hvor bl.a. Digitaliseringsstyrelsen og Datatilsynet spiller en central rolle.

Hvad betyder udskydelsen for din virksomhed?

Det er fristende at læse udskydelsen som »så kan vi vente«. Det er den forkerte konklusion – af tre grunde:

• Forbuddene gælder allerede. Bruger I – bevidst eller ubevidst – et system i en forbudt kategori, er I i overtrædelse nu, ikke i 2027.
• Forberedelse tager tid. At kortlægge sine AI-systemer, klassificere risiko og indhente dokumentation fra leverandører er ikke gjort på en uge. Den ekstra tid er en gave – ikke en pause.
• Kunder og partnere spørger allerede. Uafhængigt af fristerne stiller større kunder og investorer i stigende grad krav om ansvarlig AI. God AI-governance er ved at blive et konkurrenceparameter, ikke bare en compliance-øvelse.

Den kloge tilgang er at bruge den forlængede frist til at bygge fundamentet roligt – frem for at skulle haste det igennem, når den nye dato nærmer sig.

Seks skridt til at komme i gang

1. Lav en AI-oversigt

Kortlæg hvilke AI-systemer og -funktioner virksomheden faktisk bruger – også dem, der er indbygget i eksisterende software som CRM, ERP og mødeplatforme. Man kan ikke styre det, man ikke kender.

2. Klassificer hver anvendelse efter risiko

Placer hver anvendelse i en af de fire kategorier: forbudt, høj, begrænset eller minimal risiko. Det afgør, hvilke krav der overhovedet er relevante for jer.

3. Sikr det, der allerede gælder

Kontroller, at I ikke bruger nogen forbudte praksisser, og at brugere informeres, når de interagerer med AI. Dette er ikke udskudt.

4. Etabler ejerskab og en AI-politik

Udpeg en ansvarlig for AI-governance og skriv en enkel intern politik: hvad må medarbejdere bruge AI til, hvilke data må ind i systemerne, og hvordan sikres menneskeligt tilsyn.

5. Stil krav til jeres leverandører

Er I anvender – som de fleste – ligger meget af dokumentationsbyrden hos udbyderen. Bed om overensstemmelseserklæringer, brugsanvisninger og oplysning om datalokation, særligt for højrisiko-anvendelser.

6. Byg forberedelsen ind i en tidsplan

Har I højrisiko-anvendelser, så læg en plan frem mod december 2027 i stedet for at vente. Små, løbende skridt slår et hasteværk tæt på fristen.

De fem hyppigste fejl – og hvordan du undgår dem

1. At tro udskydelsen betyder »ingenting nu«: Forbuddene og transparenskravene gælder allerede. Udskydelsen rører kun højrisiko-fristerne.
2. At overse indlejret AI: AI-funktioner i CRM, ERP og kontorsoftware tæller med. Glem dem ikke i jeres oversigt.
3. At forveksle AI Act med GDPR: De to regelsæt overlapper, men er forskellige. AI Act regulerer systemerne; GDPR regulerer persondata. I skal ofte overholde begge.
4. At skifte rolle uden at vide det: Tilpasser I et AI-system markant eller bruger det til nye højrisiko-formål, kan I blive udbyder med langt tungere krav.
5. At outsource ansvaret helt til leverandøren: Anvenderen har selvstændige forpligtelser – bl.a. menneskeligt tilsyn og korrekt brug. Kontrakten fjerner ikke jeres ansvar.