Danmark implementerer EU's AI Act: Tilsyn på plads, men huller i reglerne

Den 8. maj 2025 vedtog Folketinget en lov, der implementerer nøglesystemer fra EU's AI-forordning (AI Act) i dansk ret. Loven trådte i kraft 2. august 2025 og etablerer en national tilsynsstruktur, der gør Danmark i stand til at håndhæve reglerne. Danmark var blandt de første EU-lande, der færdiggjorde denne lovgivningsproces. Loven udpeger tre eksisterende myndigheder til at føre tilsyn med AI-systemer: Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen. Men selvom rammen er på plads, er implementeringen langt fra fuldendt. Særligt udpegningen af sektorspecifikke tilsynsmyndigheder for højrisiko-AI-systemer mangler, og EU's harmoniserede standarder er forsinkede. Det skaber en situation, hvor danske virksomheder skal navigere i et delvist ufærdigt regelgrundlag.

EU's AI-forordning er verdens første omfattende lovgivning for kunstig intelligens og indfører blandt andet bøder på op til 35 millioner euro eller 7 procent af den globale årsomsætning for alvorlige overtrædelser. For danske virksomheder – fra startups til etablerede industrivirksomheder – er det afgørende at forstå, hvornår de forskellige krav træder i kraft, og hvordan de skal dokumentere overholdelse. Selvom højrisikokravene er forsinkede, træder gennemsigtighedskravene for generative AI-systemer allerede i kraft 2. august 2026. Det betyder, at virksomheder, der udvikler eller anvender AI-genereret indhold, skal have systemer på plads til at mærke dette indhold. Manglende forberedelse kan få store økonomiske konsekvenser.

Den danske tilsynsmodel: tre myndigheder deler ansvaret

Den danske implementeringslov bygger på en centraliseret model, hvor tre eksisterende myndigheder får tilsynsopgaver. Digitaliseringsstyrelsen fungerer som notifikations- og markedsovervågningsmyndighed samt som den centrale koordinerende myndighed og én kontakt for virksomheder og borgere. Datatilsynet og Domstolsstyrelsen er udpeget som markedsovervågningsmyndigheder. Dette betyder, at Danmark har valgt at lægge tilsynet hos eksisterende institutioner frem for at oprette en ny styrelse, hvilket kan give hurtigere opstart og lavere administrative omkostninger.

Ifølge advokatfirmaet Plesner mangler Danmark dog stadig at udpege sektorbestemte tilsynsmyndigheder for højrisiko-AI-systemer. Det er en væsentlig brik, fordi højrisiko-AI-systemer netop er kernen i AI-forordningens krav. Samtidig har den generelle valgperiode i marts 2026 forsinket lovgivningsarbejdet, hvilket betyder, at de nødvendige sektorudpegninger kan trække ud. Det efterlader et hul i den danske håndhævelsesstruktur, som virksomheder skal være opmærksomme på.

Forsinkede højrisikokrav og EU's Digital Omnibus

Selvom AI-forordningen formelt trådte i kraft i august 2024, er flere centrale krav endnu ikke gældende. EU-Kommissionen har foreslået en såkaldt Digital Omnibus on AI (COM(2025) 836), der vil udskyde ikrafttrædelsen af højrisikokravene. Ifølge forslaget skal kravene for systemer omfattet af bilag III først gælde fra 2. december 2027, mens systemer i bilag I først omfattes fra 2. august 2028. Forslaget er dog endnu ikke vedtaget og befinder sig i den almindelige lovgivningsprocedure i EU.

Forsinkelsen skyldes blandt andet, at harmoniserede standarder og retningslinjer fra EU-Kommissionen er forsinkede. Uden klare standarder er det vanskeligt for virksomheder at vurdere, om deres AI-systemer lever op til kravene. Plesner påpeger, at denne usikkerhed gør det nødvendigt for virksomheder at opbygge en fleksibel AI-kompliancestrategi, der kan tilpasses, efterhånden som reglerne bliver konkrete. Den danske lovgivning afventer også udpegningen af sektortilsyn, hvilket yderligere komplicerer billedet.

Gennemsigtighedskrav træder i kraft i august 2026

Mens højrisikokravene er forsinkede, er der ingen udsættelse for gennemsigtighedskravene i artikel 50 i AI-forordningen. Disse krav træder i kraft 2. august 2026 og gælder for alle generative AI-systemer. Det indebærer en pligt til at mærke AI-genereret indhold, så brugere kan se, at tekst, billeder, lyd eller video er skabt af kunstig intelligens. Udbydere, der allerede har deres systemer på markedet, får en overgangsperiode på seks måneder.

For danske virksomheder betyder det, at de skal forberede sig på gennemsigtighedskravene nu. Det er ikke længere et spørgsmål om, hvorvidt reglerne kommer, men hvornår. Virksomheder, der udvikler eller anvender generative AI-værktøjer, bør gennemgå deres produkter og processer for at sikre, at AI-genereret indhold kan identificeres tydeligt. Det kan kræve tekniske løsninger, ændrede arbejdsgange og opdaterede brugerinformationer.

Konsekvenser for danske virksomheder

Manglende overholdelse af AI-forordningen kan medføre bøder på op til 35 millioner euro eller 7 procent af den globale årsomsætning