AI Act-tilsyn i Danmark: Fra 2. august 2026 gælder nye krav

Den 2. august 2026 markerer et vendepunkt for håndhævelsen af EU’s AI Act i Danmark. Fra denne dato træder det danske tilsynsapparat formelt i kraft gennem lovforslag L 111, der udpeger Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen som kompetente myndigheder. De får beføjelser til at kræve dokumentation, gennemføre kontrolbesøg og udstede bøder på op til 15 millioner EUR eller 3 % af den globale årlige omsætning – hvilket som helst er højest.

Samtidig bliver kravene til højrisiko-AI-systemer, som bruges i rekruttering, kreditvurdering, sundhed og kritisk infrastruktur, gældende. Gennemsigtighedskrav træder også i kraft: chatbots skal oplyse brugere om, at de interagerer med AI, og AI-genereret indhold – herunder deepfakes – skal tydeligt mærkes. Disse krav gælder også for danske virksomheder, der bruger værktøjer som ChatGPT eller Copilot til kundekommunikation.

For danske ledere, specialister og iværksættere er dette ikke en fjern EU-regulering. Danmark er det EU-land med flest virksomheder, der bruger AI – 42 % ifølge Eurostat, mod et EU-gennemsnit på 20 %. Det betyder, at en meget stor del af dansk erhvervsliv potentielt er omfattet af de nye krav, og at risikoen for compliance-brud er tilsvarende høj. Digitaliseringsstyrelsen har allerede udgivet vejledninger, og Dansk Standard har lanceret en gratis guide til AI-kompetencer, som har været et lovkrav (artikel 4) siden 2. februar 2025.

Lovforslag L 111 og de tre tilsynsmyndigheder

Lovforslag L 111 er det danske lovgrundlag, der omsætter EU’s AI Act til national håndhævelse. Med lovforslaget får Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen hver deres tilsynsområde. Digitaliseringsstyrelsen får en central rolle i forhold til de fleste AI-systemer, mens Datatilsynet forventes at håndtere sager med persondata og Domstolsstyrelsen at dække AI i retsvæsenet. Den præcise ansvarsfordeling har dog været genstand for kritik, fordi det i praksis kan være uklart, hvilken myndighed en virksomhed skal henvende sig til – især når et AI-system både behandler personoplysninger og falder ind under højrisikokategorien.

Myndighedernes beføjelser er omfattende. De kan kræve dokumentation for, at et AI-system overholder kravene, gennemføre fysiske kontrolbesøg hos virksomheder og i sidste ende udstede bøder. Bødeniveauet på op til 15 millioner EUR eller 3 % af den globale årlige omsætning – alt efter hvad der er højest – svarer til det, virksomheder kender fra GDPR-regimet, men med et bredere anvendelsesområde, der også omfatter AI uden personoplysninger.

Hvad gælder fra 2. august 2026?

Fra den 2. august 2026 bliver kravene til højrisiko-AI-systemer bindende. Det omfatter AI, der bruges til rekruttering, kreditvurdering, sundhedsydelser og kritisk infrastruktur. Virksomheder, der udvikler eller anvender sådanne systemer, skal kunne dokumentere risikostyring, datakvalitet, teknisk robusthed, menneskeligt tilsyn og gennemsigtighed. Det er ikke længere nok at have en politik på papiret – myndighederne kan kræve konkret dokumentation og foretage kontrolbesøg.

Samtidig træder gennemsigtighedskravene i kraft for alle AI-systemer, uanset risikoniveau. Chatbots skal tydeligt oplyse brugeren om, at vedkommende interagerer med en AI og ikke et menneske. AI-genereret indhold, herunder tekst, billeder, lyd og video, skal mærkes, så det ikke kan forveksles med menneskeskabt indhold. Deepfakes skal mærkes særligt tydeligt. Det rammer bredt: En dansk virksomhed, der bruger ChatGPT eller Copilot til at besvare kundehenvendelser eller producere markedsføringsmateriale, skal sikre, at kommunikationen overholder mærknings- og oplysningskravene. Ifølge Digitaliseringsstyrelsens vejledninger gælder dette også, når AI-værktøjet er leveret af en ekstern udbyder – ansvaret for korrekt brug ligger hos den danske virksomhed.

Danmarks særlige udfordring: 42 % AI-brug og SMV-pres

Danmark skiller sig markant ud i europæisk sammenhæng. Eurostats tal viser, at 42 % af danske virksomheder bruger AI, mens EU-gennemsnittet er 20 %. Det er den højeste andel i EU. Den høje udbredelse betyder, at et stort antal danske virksomheder – fra små iværksættervirksomheder til store koncerner – potentielt skal efterleve de nye krav. For mange kan det være en overraskelse, at selv brug af standardværktøjer som ChatGPT eller Copilot i kundekommunikation er omfattet af gennemsigtighedskravene.

En særlig udfordring er den såkaldte skygge-AI. Mange medarbejdere bruger AI-værktøjer uden virksomhedens formelle godkendelse, ofte indlejret i software som CRM- og HR-systemer. Det kan være svært for ledelsen at få overblik over, hvor AI reelt anvendes, og om kravene overholdes. Dansk Standard har lanceret en gratis guide til AI-kompetencer, der skal hjælpe virksomheder med at løfte medarbejdernes viden. Det er ikke frivilligt: AI-kompetencekravet i artikel 4 har været gældende siden 2. februar 2025, og fra 2. august 2026 bliver det en del af det samlede tilsynsgrundlag.

Kritik og usikkerhed i praksis

Selvom lovgrundlaget er på plads, er der betydelig usikkerhed om den praktiske håndhævelse. En central kritik går på ansvarsfordelingen mellem udbydere og brugere af AI-systemer. Hvis en dansk virksomhed køber et AI-baseret rekrutteringsværktøj fra en udenlandsk leverandør, er det ikke altid klart, om det er leverandøren eller den danske virksomhed, der har dokumentationspligten over for myndighederne. Digitaliseringsstyrelsens vejledninger søger at præcisere dette, men ifølge flere iagttagere efterlader reglerne stadig gråzoner.

Der er også bekymring for koordineringen mellem Datatilsynet og Digitaliseringsstyrelsen. Mange AI-systemer behandler personoplysninger, og en virksomhed kan i princippet få besøg af begge myndigheder for samme system. Uden en klar koordineringsmekanisme risikerer virksomheder dobbeltarbejde og modstridende vejledninger. Endelig peger kritikere på, at små og mellemstore virksomheder kan have svært ved at afsætte ressourcer til compliance. Hvor store virksomheder har juridiske og tekniske teams, står mange SMV’er uden dedikeret AI-kompetence – og det kan føre til utilsigtede overtrædelser, ikke mindst fordi AI ofte er indlejret i eksisterende software uden tydelig markering.

Fremadrettet: Kortlægning og kompetencer før deadline

For danske ledere, specialister og iværksættere er der konkrete skridt at tage før den 2. august 2026. Det vigtigste er at kortlægge alle eksisterende AI-anvendelser i virksomheden – også dem, der gemmer sig i CRM-, HR- og økonomisystemer. Uden et samlet overblik er det umuligt at vurdere, hvilke krav der gælder. Dernæst bør virksomheder gennemgå kundevendte AI-løsninger, såsom chatbots og automatisk indholdsproduktion, og sikre, at mærknings- og oplysningskravene er implementeret. Endelig er AI-kompetenceopkvalificering ikke længere en nice-to-have, men et lovkrav, der allerede er trådt i kraft.

Digitaliseringsstyrelsen har offentliggjort vejledninger, og Dansk Standards gratis guide kan være et praktisk udgangspunkt. Selvom der stadig er uafklarede spørgsmål om ansvarsfordeling og myndighedskoordinering, er retningen klar: Fra 2. august 2026 bliver AI-compliance en reel tilsynsopgave med betydelige bøder. Danske virksomheder, der handler nu, kan undgå at blive en af de første sager i det nye tilsynsregime.