EU’s AI Act træder i kraft: Danske virksomheder skal handle nu

Den 1. august 2024 trådte EU’s AI Act officielt i kraft som verdens første omfattende lovgivning for kunstig intelligens. For danske ledere, specialister og iværksættere betyder det, at tidslinjen for compliance allerede er i gang – med de første forbud mod AI-systemer med "uacceptabel risiko" og krav om AI-literacy, der gælder fra 2. februar 2025. Loven indfører en risikobaseret tilgang, hvor systemer inden for kritisk infrastruktur, uddannelse og retshåndhævelse skal opfylde strenge krav, mens leverandører af generelle AI-modeller (GPAI) skal dokumentere transparens omkring træningsdata og teknisk opbygning.

At forstå og forberede sig på AI Act er ikke kun et juridisk spørgsmål, men en strategisk nødvendighed for danske virksomheder, der opererer på det europæiske marked. Manglende overholdelse kan resultere i bøder på op til €35 millioner eller 7 % af den globale omsætning – et beløb, der kan være eksistentielt for mange, især SMV’er. Samtidig advarer branchen mod, at for strenge eller uklare regler kan bremse innovationen og skabe unødvendige handelsbarrierer, hvilket understreger behovet for en afbalanceret tilgang til regulering og konkurrenceevne.

Tidslinjen: Hvornår gælder hvad?

AI Act ruller ud i faser, og danske virksomheder må holde sig ajour med de specifikke frister for at undgå at blive overrasket. Allerede fra 2. februar 2025 gælder forbuddet mod AI-systemer med "uacceptabel risiko" – herunder social scoring og biometrisk kategorisering baseret på følsomme egenskaber som etnicitet, religiøs overbevisning eller seksuel orientering. Samtidig er kravet om AI-literacy blevet obligatorisk for alle virksomheder, der udvikler, udbyder eller importerer AI til EU-markedet. Det betyder, at medarbejdere, der arbejder med AI, skal have dokumenteret viden om lovgivning, etik og ansvar for at minimere juridiske og operationelle risici.

Den 2. august 2025 træder reglerne for generelle AI-modeller (GPAI) i kraft. Her skal leverandører af store modeller – defineret som modeller med mere end 1025 FLOPs (floating point operations) – offentliggøre teknisk dokumentation, herunder oplysninger om ophavsretligt beskyttet træningsdata. Dette krav sigter mod at øge transparensen og reducere risikoen for misbrug af beskyttede data i træningsprocessen. Endelig, den 2. august 2026, gælder de fulde compliance-krav for højrisiko-AI-systemer. Disse systemer omfatter blandt andet AI anvendt i kritisk infrastruktur, retshåndhævelse, uddannelse, beskæftigelse og sundhedssektoren. Kravene inkluderer conformity assessments, hvor uafhængige tredjeparter skal verificere, at systemerne lever op til lovens sikkerheds- og ydeevnestandarder, samt registrering i en central EU-database.

Tidslinjen understreger, at virksomheder ikke kan vente med at handle. De første frister er allerede her, og de mest omfattende krav træder i kraft om knap to år. For danske virksomheder, der ønsker at bevare markedsadgang til EU, er det afgørende at påbegynde forberedelserne nu – især for dem, der opererer inden for de regulerede højrisikoområder.

Håndhævelse og nationale myndigheder

Europa-Kommissionen har etableret et EU AI Office til at håndhæve reglerne og udarbejde retningslinjer, herunder præciseringen af definitionen af AI-systemer og forbudte praksisser. Kontoret spiller en central rolle i at sikre en ensartet implementering af loven på tværs af medlemsstaterne. Medlemsstaterne skal på deres side udpege nationale myndigheder til markedsovervågning og håndhævelse. Fristen for at offentliggøre disse myndigheder var 2. november 2024, hvilket betyder, at de fleste lande – herunder Danmark – nu har disse strukturer på plads. I Danmark er det forventet, at Erhvervsstyrelsen og Datatilsynet vil spille en central rolle i håndhævelsen, dog er de præcise ansvarsfordelinger endnu ikke fuldt ud klargjort.

For danske virksomheder betyder det, at de skal forholde sig til både europæiske og nationale retningslinjer. IT-Branchen, der fungerer som videnspartner for danske it-virksomheder, understreger, at loven gælder alle, der udvikler, udbyder eller importerer AI til det europæiske marked – uanset virksomhedens størrelse eller geografiske placering. Det betyder, at selv virksomheder, der ikke er baseret i EU, men som tilbyder AI-løsninger til europæiske kunder, skal overholde lovens krav. Dette gælder eksempelvis amerikanske tech-giganter som Google og Microsoft, der allerede har påbegyndt tilpasninger af deres AI-modeller for at sikre compliance.

Håndhævelsen af AI Act forventes at blive streng, med mulighed for sanktioner, der kan have alvorlige økonomiske konsekvenser. Ud over de nævnte bøder på op til €35 millioner eller 7 % af den globale omsætning kan overtrædelser også føre til tvungne tilbagekaldelser af produkter fra markedet. For danske virksomheder, der opererer i højrisikosektorer, er det derfor afgørende at etablere interne processer, der sikrer løbende overholdelse af lovens krav.

Kritik og usikkerheder i branchen

En central diskussion i Danmark og EU handler om balancen mellem sikkerhed og konkurrenceevne. Dansk Industri (DI) har i deres høringssvar fra juli 2026 påpeget, at krav til cloud og AI bør baseres på konkrete risici – såsom datasikkerhed og governance – snarere end geografisk oprindelse. Branchedirektør Andreas Holbak Espersen har fremhævet, at vejen til teknologisk suverænitet kræver investeringer og innovation frem for protektionisme. Ifølge DI risikerer for snævre "suverænitetskrav" at udelukke globale leverandører, hvilket kan fordyre offentlig digitalisering og hæmme innovationen for SMV’er, der i forvejen kæmper med begrænsede ressourcer.

DI advarer desuden mod, at nye regler som Cloud and AI Development Act (CADA) kan skabe dobbeltregulering, hvis de ikke harmoneres med eksisterende lovgivning. CADA, der forventes at blive fremlagt senere i 2026, har til formål at styrke EU’s digitale suverænitet ved at fastsætte krav til cloud-infrastruktur og AI-udvikling. Branchen frygter imidlertid, at disse krav kan komme i konflikt med AI Act’s eksisterende rammer, hvilket ville skabe en byrde for virksomhederne i form af ekstra administrative omkostninger og juridisk usikkerhed. En anden usikkerhed drejer sig om definitionen af begrebet "offentlig orden", da dette kan udløse de højeste sikkerhedskrav unødigt bredt. Hvis begrebet tolkes for vidt, risikerer det at omfatte en lang række AI-anvendelser, der ikke nødvendigvis udgør en reel risiko for samfundet, men som alligevel bliver underlagt de strengeste krav.

Ifølge DI bør fokus i stedet være på at udnytte offentlige indkøb strategisk til at skalere sikre, europæiske løsninger – uden at skabe nye handelsbarrierer. Branchen understreger, at det er afgørende at finde den rette balance mellem regulering og innovation for at sikre, at danske virksomheder forbliver konkurrencedygtige på det globale marked. Et konkret eksempel er behovet for at sikre, at europæiske virksomheder kan konkurrere med amerikanske og asiatiske aktører på lige vilkår, samtidig med at de overholder de nye europæiske standarder. DI anbefaler, at der etableres klare retningslinjer for, hvordan virksomheder kan dokumentere compliance, og at der skabes incitamenter til at udvikle innovative, lovlydige løsninger.

Hvorfor AI Act matters for danske ledere og iværksættere

For danske virksomheder er AI Act ikke blot en juridisk øvelse, men en strategisk nødvendighed med direkte konsekvenser for forretningsdrift, innovation og markedsadgang. Her er tre centrale områder, hvor loven vil have indflydelse:

• Kompetencekrav: Kravet om AI-literacy er allerede gældende fra 2. februar 2025. Ledere skal sikre, at medarbejdere, der arbejder med AI – uanset om det drejer sig om udviklere, implementeringspartnere eller slutbrugere – har den nødvendige viden om lovgivning, etik og ansvar for at minimere ansvarsrisici. Dette kræver investeringer i uddannelse og kompetenceudvikling, herunder kurser i AI-etik, databeskyttelse og compliance. For mange virksomheder betyder dette en omkostning, men også en mulighed for at styrke medarbejdernes kompetencer og dermed virksomhedens konkurrenceevne.
• Markedsadgang: Danske eksportvirksomheder skal kunne dokumentere compliance for at sælge AI-løsninger i hele EU. Manglende overholdelse kan betyde udelukkelse fra markedet eller massive bøder, hvilket kan have alvorlige konsekvenser for virksomhedens overlevelse. For virksomheder, der udvikler højrisiko-AI-systemer, indebærer dette blandt andet at gennemføre conformity assessments og registrere systemerne i EU’s database. For leverandører af GPAI-modeller kræver det offentliggørelse af teknisk dokumentation og oplysninger om træningsdata. Disse krav stiller store krav til virksomheders interne processer og dokumentation, men de skaber også en ramme for tillid og transparens, der kan være en konkurrencefordel på det europæiske marked.
• Innovation vs. regulering: Mens loven skaber tillid til AI ved at fastsætte klare rammer, advarer branchen om, at for bureaukratiske processer kan bremse danske startups. Fokus bør være på at udnytte de nye regler til at styrke konkurrenceevnen, frem for at se dem som en barriere. For danske iværksættere og startups, der opererer i et globalt marked, er det afgørende at finde måder at innovere på, der både overholder lovens krav og bevarer agilitet og fleksibilitet. Et eksempel er at udnytte de offentlige indkøb, som DI nævner, til at skalere europæiske løsninger, der kan konkurrere med internationale aktører.

Set fra et dansk og nordisk perspektiv understreger AI Act behovet for at tænke strategisk om, hvordan virksomhederne kan tilpasse sig de nye krav. Danske ledere og iværksættere må derfor prioritere at opbygge den nødvendige kompetence, sikre compliance og samtidig bevare innovationskraften for at forblive konkurrencedygtige i et globaliseret marked. Med de første frister allerede i kraft og de fulde krav på vej i 2026, er der ingen tid at spilde. AI Act er her for at blive, og de virksomheder, der formår at navigere i de nye regler, vil være bedst rustet til at udnytte de muligheder, som kunstig intelligens byder på – både i Danmark og på det europæiske marked.

For at lykkes med implementeringen af AI Act anbefales det, at danske virksomheder etablerer tværfaglige teams, der kan håndtere de juridiske, tekniske og etiske aspekter af lovgivningen. Samtidig bør de følge nøje med i de kommende retningslinjer fra EU AI Office og de nationale myndigheder for at sikre, at de forbliver opdaterede på eventuelle ændringer eller præciseringer af lovens krav. På denne måde kan danske virksomheder ikke blot overholde loven, men også udnytte den som et springbræt til vækst og innovation.