EU’s AI Act halter ét år efter ikrafttræden

Et år efter at EU’s Artificial Intelligence Act trådte i kraft den 1. august 2024, tegner der sig et billede af en lovgivning, der er banebrydende på papiret, men halter markant i den praktiske implementering. Mens forordningen – den første af sin slags i verden – skulle sætte en global standard for ansvarlig udvikling og brug af kunstig intelligens, kæmper EU med ressourcemangel, langsom rekruttering og en fragmenteret håndhævelse, der truer lovens legitimitet og effektivitet. Ifølge analyser fra blandt andet Transformer News er svaghederne så udtalte, at de risikerer at underminere det forudsigelige rammeværk, som både virksomheder og borgere har brug for.

AI Act er mere end blot en lov. Den er et centralt strategisk redskab for Europa i kampen om at definere fremtidens AI-landskab. Med fire tydelige risikokategorier – uacceptabel risiko (forbudte systemer som sociale scoringssystemer), høj risiko (strikte compliance-krav for blandt andet sundheds- og rekrutteringsværktøjer), begrænset risiko (transparenskrav, fx for chatbots) og minimal risiko (ureguleret) – samt bøder på op til 7% af den globale årsomsætning eller 35 millioner euro for alvorlige overtrædelser, skal reguleringen balancere innovation med beskyttelse af borgere og grundlæggende rettigheder. Men uden en effektiv håndhævelse risikerer EU at miste grebet om AI-udviklingen til USA og Asien, hvor reguleringen er mere fleksibel og tilpasset de hurtige markedsbevægelser. For danske virksomheder, investorer og offentlige myndigheder skaber dette usikkerhed om compliance, konkurrenceevne og fremtidige investeringsmuligheder.

En lov med store ambitioner – og en svag start

AI Act’s vej til vedtagelse har været præget af dramatiske forhandlinger og politiske spændinger. Forordningen blev først foreslået af Europa-Kommissionen den 21. april 2021, men det var først i december 2023, at den politiske enighed faldt på plads. Undervejs truede blandt andet Frankrig under præsident Emmanuel Macron med at blokere loven af frygt for, at den ville hæmme europæisk innovation og konkurrenceevne. Den endelige version blev godkendt af EU-Rådet den 21. maj 2024, publiceret i EU-Tidende den 12. juli 2024 og trådte endeligt i kraft den 1. august 2024. De første konkrete forpligtelser, herunder krav om AI-litteraci for medarbejdere i virksomheder, der udvikler eller bruger højrisiko-AI, blev gældende den 2. februar 2025. Reglerne for general-purpose AI-modeller som ChatGPT og den tilhørende Code of Practice fulgte senere, den 2. august 2025.

Men lovens kerne – den praktiske håndhævelse – er blevet en klar flaskehals. EU’s nye AI Office, som skal overvåge, vejlede og håndhæve forordningen, stod fra starten med ambitiøse mål. Enheden, der er placeret under Europa-Kommissionen, skulle ifølge de oprindelige planer have 85 ansatte for at kunne håndtere opgaven effektivt. Alligevel var der per december 2024 kun 30 medarbejdere på plads – et tal, der vakte bekymring blandt eksperter og politiske aktører. Per september 2025 var antallet steget til over 125, med planer om at ansætte yderligere 35 inden udgangen af 2025. Til sammenligning har Storbritanniens AI Safety Institute (AISI), der blev oprettet som et direkte modstykke til EU’s initiativer, allerede ca. 250 ansatte og startede med et budget på £100 millioner – mere end det dobbelte af EU’s AI Office, hvis budget ligger på €46,5 millioner.

Problemet er imidlertid ikke kun antallet af medarbejdere, men også deres kvalifikationer og evne til at konkurrere med den private sektor. AI Office har haft betydelige udfordringer med at rekruttere de nødvendige eksperter, blandt andet fordi lønningerne – på mellem $55.000 og $120.000 – ikke kan matche de syvcifrede lønpakker, som private tech-virksomheder som Google, Meta og OpenAI tilbyder. Nøglestillinger, herunder lederen af den kritiske sikkerhedsenhed, stod i lang tid ubesatte, hvilket har forsinket udviklingen af centrale retningslinjer og vejledninger. Axel Voss (MEP, EPP) har kritiseret den langsomme rekruttering og advaret om risikoen for "lovsjusk", idet han mener, at sikkerhedsenheden alene bør have 200 ansatte for at kunne håndtere opgaven effektivt.

Kritikken kommer ikke kun fra EU’s egne rækker. Brando Benifei (MEP, S&D), der var medforhandler på AI Act, har advaret om, at grundlæggende rettigheder risikerer at blive ofret i den hastige implementering. Samtidig har kommissionsformand Ursula von der Leyen gjort lempelse af regelbyrden til et centralt mål, hvilket skaber en spænding mellem ambitionen om hurtig implementering og behovet for grundige, velovervejede retningslinjer.

Kompleks implementering og fragmenteret håndhævelse

En af de største udfordringer ved AI Act er dens komplekse implementering. Kommissionen har udskudt mange af de svære tekniske detaljer til sekundær lovgivning, hvilket har skabt betydelig usikkerhed blandt virksomheder og udviklere. Korte høringsfrister og utilstrækkelig inddragelse af interessenter – herunder virksomheder, forskningsinstitutioner og civile organisationer – har øget regelbyrden og skabt huller i lovgivningen. Dette står i direkte modstrid med von der Leyens mål om at reducere byrden for virksomheder og samtidig sikre en høj grad af beskyttelse.

Derudover risikerer EU at gentage fejlene fra GDPR. Som med databeskyttelsesforordningen kan AI Act ende med at blive håndhævet forskelligt fra land til land, hvilket skaber et "kludetæppe" af nationale fortolkninger. Dette underminerer det digitale indre marked og gør det væsentligt sværere for virksomheder – herunder danske – at navigere i reglerne. Et konkret eksempel på denne fragmentering er den irske datastyrelsens håndhævelse af GDPR, der allerede har blokeret flere nye AI-produkter med henvisning til databeskyttelsesreglerne. Kommissionen planlægger at lancere en Data Union Strategy senere i 2025 eller 2026 for at facilitere sikker datadeling, men indtil da forbliver usikkerheden om, hvordan AI Act og GDPR spiller sammen.

Yderligere kompliceres billedet af den løbende debat om, hvordan AI Act forholder sig til andre EU-reguleringer. Michael McGrath, EU-kommissær, har afvist, at der er en direkte sammenhæng mellem GDPR og hæmmet konkurrenceevne, mens den tidligere italienske statsminister Mario Draghi i sin rapport har kritiseret GDPR for netop at hæmme innovation. Denne uenighed afspejler de bredere udfordringer, som EU står over for i forsøget på at skabe en kohærent og effektiv regulering af AI.

Et andet centralt element i implementeringen er Code of Practice for general-purpose AI-modeller, som trådte i kraft den 2. august 2025. Per midt-september 2025 havde kun 27 AI-virksomheder – herunder store aktører som OpenAI, Google og Anthropic – signeret koden. Dette lavt tal afspejler en bred skepsis blandt tech-virksomhederne, der blandt andet kritiserer EU for at lægge for store restriktioner på AI-udviklingen.

Global konkurrence og den omvendte "Bruxelles-effekt"

EU håbede oprindeligt, at AI Act ville skabe en såkaldt "Bruxelles-effekt" – et fænomen, hvor lovens standarder ville blive adopteret globalt, ligesom det skete med GDPR. Realiteten ser imidlertid anderledes ud. I USA har præsident Donald Trump som en af sine første handlinger i 2025 skrottet store dele af Joe Bidens AI-regulering, hvilket har øget det regulatoriske skel mellem EU og USA. Amerikanske tech-virksomheder kritiserer nu EU’s tilgang som for restriktiv og byrdefuld, hvilket gør det sværere for europæiske virksomheder at konkurrere på det globale marked. Denne udvikling markerer en klar afvigelse fra den ønskede "Bruxelles-effekt" og risikerer i stedet at skabe en omvendt effekt, hvor EU’s strenge reguleringer afskrækker internationale aktører.

For Danmark betyder denne udvikling, at lokale virksomheder og startups, der opererer i højrisiko-sektorer som sundhed, rekruttering, uddannelse eller kritisk infrastruktur, står over for konkrete compliance-udfordringer. Usikkerhed om fortolkning af reglerne og den langsomme håndhævelse skaber planlægningsproblemer, mens investorer kan blive afskrækt af EU’s svage start. Offentlige myndigheder, herunder kommuner og regioner, skal desuden navigere i kravene til Fundamental Rights Impact Assessments (FRIA) for AI-løsninger, hvilket stiller store krav til deres interne kapaciteter og ekspertise.

Digitaliseringsstyrelsen fungerer som national tilsynsmyndighed for AI Act i Danmark, men dens evne til at håndhæve forordningen afhænger i høj grad af, hvor godt den kan samarbejde med EU’s AI Office. Hvis ressourcerne og retningslinjerne ikke kommer på plads, kan det betyde, at danske virksomheder og offentlige aktører bliver efterladt i en gråzone mellem ambition og realitet. Dette er særligt problematisk for mindre virksomheder, der ikke har de nødvendige ressourcer til at navigere i et komplekst og usikkert regulatorisk landskab.

Fremtiden: Kan EU rette op på kursen?

Et år inde i AI Act’s levetid står EU ved et afgørende skillevej. Lovens succes afhænger i høj grad af, om Kommissionen kan accelerere rekrutteringen af eksperter, klargøre de sekundære retningslinjer og sikre en koordineret håndhævelse på tværs af medlemsstaterne. Uden disse tiltag risikerer AI Act at miste legitimitet – både over for virksomheder, der skal overholde reglerne, og borgere, der forventer beskyttelse mod farlige eller diskriminerende AI-systemer.

For Danmark er udfordringen dobbelt: På den ene side skal landet sikre, at danske virksomheder og myndigheder overholder de nye regler uden at kvæle innovation og konkurrenceevne. På den anden side skal Danmark presse på for en mere effektiv EU-koordinering, der kan sikre en ensartet håndhævelse og undgå det "kludetæppe" af nationale fortolkninger, der truede med at underminere GDPR. Digitaliseringsstyrelsen spiller her en central rolle, men dens arbejde afhænger af, at EU’s AI Office leverer de nødvendige ressourcer og retningslinjer.

AI Act var ment som et flagskib for europæisk lederskab inden for kunstig intelligens. Men et år efter vedtagelsen viser det sig, at lovens styrke afhænger mindre af dens indhold og mere af EU’s evne til at levere på sine løfter. Indtil videre ser det ud til, at EU kommer svagt fra start – og at vejen frem kræver hurtige, konkrete og velkoordinerede handlinger for at redde lovens ambitioner og legitimitet.