EU AI Act timeline and planning dates

EU's AI-forordning, også kendt som AI Act, trådte i kraft 1. august 2024 og er verdens første omfattende lovgivning for kunstig intelligens. Forordningen indfases trinvist over flere år, og en række centrale datoer er blevet justeret efter den såkaldte "AI Digital Omnibus", der blev forhandlet på plads mellem EU-Parlamentet og Rådet. For danske virksomheder betyder ændringerne både nye krav, der allerede er trådt i kraft, og mere tid til at forberede sig på de tungeste forpligtelser. Lovgivningen inddeler AI-systemer i fire risikokategorier og fastsætter bøder på op til 7 procent af den globale omsætning eller 35 millioner euro – alt efter hvad der er højest – for overtrædelser.

Allerede nu er flere krav bindende. Forbuddet mod manipulerende AI og kravet om grundlæggende AI-læring for medarbejdere trådte i kraft 2. februar 2025. Dansk Industri har været en aktiv lobbyist for ændringerne i Digital Omnibus og kalder dem et "vigtigt politisk signal" for europæisk konkurrenceevne. Andreas Holbak Espersen, branchedirektør i DI Digital, understreger dog, at ændringerne kun er første skridt, og at virksomhederne fortsat skal forberede sig på de kommende krav.

Tidslinje: De vigtigste datoer i AI Act

AI Act indfases over flere år, og efter ændringerne i Digital Omnibus ser tidslinjen nu således ud:

• 2. februar 2025: Forbud mod manipulerende AI og krav om AI-læring trådte i kraft.
• 2. august 2025: Regler for generelle AI-modeller gælder fra denne dato.
• 2. august 2026: Transparensregler for chatbots og AI-genereret indhold, herunder deepfakes, træder i kraft.
• 2. december 2027: De mest omfattende krav til højrisiko-AI-systemer udskydes til denne dato.
• 2. august 2028: Regler for AI i produkter med sikkerhedskomponenter gælder fra denne dato.

De to første datoer er allerede passeret, hvilket betyder, at virksomheder ikke må anvende AI-systemer, der falder i kategorien uacceptabel risiko, og at medarbejdere skal have grundlæggende AI-læring. Fra august 2025 skal udbydere af generelle AI-modeller overholde nye forpligtelser, og fra august 2026 skal alle chatbots og syntetisk indhold være tydeligt mærket. De tungeste krav til højrisikosystemer er derimod rykket til december 2027, og for AI indlejret i produkter med sikkerhedskomponenter helt til august 2028. Denne udskydelse giver virksomheder mulighed for at afvente klare standarder og vejledning, før de investerer tungt i compliance.

Risikokategorier og bødeniveau

AI Act inddeler systemer i fire risikokategorier. Uacceptabel risiko omfatter blandt andet social scoring og såkaldte nudifier-apps, som nu er forbudt. Høj risiko dækker blandt andet rekruttering, kreditvurdering og kritisk infrastruktur. Begrænset risiko er underlagt transparenskrav, mens minimal risiko stort set ikke reguleres.

For højrisikosystemer gælder de strengeste krav, men de er altså udskudt til december 2027 for de fleste systemer og til august 2028 for AI i produkter med sikkerhedskomponenter. Bøderammen på op til 7 procent af den globale omsætning eller 35 millioner euro gælder for de alvorligste overtrædelser, hvilket gør compliance til et strategisk anliggende for både etablerede virksomheder og startups. Det er derfor afgørende, at virksomheder kortlægger deres AI-systemer og vurderer, hvilken kategori de falder i, så de kan prioritere indsatsen korrekt.

Digital Omnibus og Dansk Industris rolle

Ændringerne i "AI Digital Omnibus" er resultatet af forhandlinger mellem EU-Parlamentet og Rådet og har til formål at mindske bureaukrati og overlap med eksisterende lovgivning som maskinretningen. Dansk Industri har været en aktiv lobbyist for ændringerne. Andreas Holbak Espersen, branchedirektør i DI Digital, fremhæver, at virksomhederne nu får mere tid til at forberede sig, men understreger, at det er "kun første skridt".

"Virksomhederne får nu mere tid til at forberede sig, men det er kun første skridt," siger Andreas Holbak Espersen, branchedirektør i DI Digital.

For danske virksomheder betyder udskydelsen, at de kan afvente klare standarder og vejledning, før de investerer tungt i compliance. Især virksomheder i regulerede sektorer som sundheds- og maskinvirksomheder får gavn af de reducerede overlap mellem AI Act og eksisterende produktregulering. Det reducerer risikoen for dobbeltarbejde og modstridende krav, hvilket kan lette byrden for virksomheder, der allerede skal overholde detaljerede sikkerheds- og kvalitetskrav.

Konsekvenser for danske virksomheder

For danske ledere og specialister er det afgørende at kortlægge, hvilke AI-systemer virksomheden anvender eller udvikler, og hvilken risikokategori de falder i. Selv om de tungeste krav er udskudt, er transparenskravene og forbuddene allerede i kraft. Det betyder, at virksomheder skal sikre, at chatbots og AI-genereret indhold er mærket, og at ingen systemer falder i kategorien uacceptabel risiko.

Samtidig fastholdes kravene om transparens og etik, hvilket understreger behovet for ansvarlig AI-brug. For iværksættere kan den udskudte tidslinje give mulighed for at bygge compliance ind fra starten, mens etablerede virksomheder kan bruge tiden på at uddanne medarbejdere og etablere governance-strukturer. Det er især relevant for virksomheder, der udvikler eller anvender AI i rekruttering, kreditvurdering eller kritisk infrastruktur, hvor kravene bliver mest omfattende.

Selv om flere frister er rykket, er AI Act ikke sat på pause. Virksomheder bør bruge den ekstra tid til at kortlægge AI-porteføljen, følge udviklingen i standarder og vejledninger og forberede sig på de kommende krav. Ifølge Dansk Industri er ændringerne et vigtigt skridt, men der ventes yderligere justeringer. For danske virksomheder handler det om at sikre, at de overholder de allerede gældende krav og samtidig er klar til de næste deadlines, når de rammer.