EU’s AI-Act træder i kraft: Sådan påvirker den danske virksomheder

EU’s AI-Act trådte formelt i kraft 1. august 2024, og med den satte Europa en global standard for regulering af kunstig intelligens. Forordningen, der blev foreslået af Europa-Kommissionen 21. april 2021, vedtaget af Europa-Parlamentet 13. marts 2024 med 523 stemmer for, 46 imod og 49 hverken-for-eller-imod og endeligt godkendt af EU-Rådet 21. maj 2024, er verdens første omfattende lovgivning på området. Den bredt anlagte politiske opbakning afspejler et fælles ønske om at skabe klare, fælles rammer for en teknologi, der i stigende grad former samfund og erhvervsliv.

For danske virksomheder, ledere og specialister er AI-Act af afgørende betydning, idet den definerer de spilleregler, der gælder for udvikling, implementering og brug af AI-systemer på det europæiske marked. Uden fælles standarder ville virksomhederne stå over for et fragmenteret lovlandskab med nationale regler, der komplicerer innovation, konkurrenceevne og markedsadgang. Ifølge Dansk Industri (DI) giver de fælles EU-regler netop den klarhed, der kan fremme tillid og innovation. Samtidig advarer DI mod, at for tunge byrder risikerer at hæmme danske virksomheders konkurrenceevne – særligt i forhold til aktører i USA og Kina, hvor reguleringen traditionelt har været mere lempelig.

Risikobaseret tilgang: Fra forbud til gennemsigtighed

AI-Act opererer med en tydelig risikobaseret model, der inddeler AI-systemer i fire kategorier med stigende krav. Den strengeste kategori, uacceptabel risiko, omfatter forbudte systemer som social scoring, biometrisk profilering med henblik på adfærdsmanipulation og udnyttelse af sårbarheder hos enkeltpersoner. Disse systemer er forbudt fra 2. februar 2025, og overtrædelse kan medføre de højeste bøder.

For højrisiko-systemer – herunder systemer inden for kritisk infrastruktur, rekruttering, asylbehandling og retshåndhævelse – gælder strenge krav til dokumentation, gennemsigtighed, risikostyring og løbende overvågning. Kravene træder i kraft i to faser: 2. august 2026 for systemer under annex III og 2. august 2027 for harmoniserede produkter under annex II. Dette giver virksomhederne tid til at tilpasse sig, men stiller også klare forventninger om, at overholdelse skal prioriteres.

Systemer med begrænset risiko, såsom chatbots, personlige assistenter og AI anvendt i reklame, skal kun opfylde gennemsigtighedskrav – fx ved at informere brugere om, at de interagerer med en AI. Endelig falder systemer med minimal risiko, herunder anbefalingsalgoritmer, autokorrektur og navigation, uden for forordningens nye krav. Denne differentierede tilgang sikrer, at reguleringen er proportionel og undgår at kvæle innovation i områder med lav risiko.

Generelle AI-modeller, håndhævelse og sanktioner

En central udfordring i AI-Act er reguleringen af generelle AI-modeller (GPAI), herunder store sproglige modeller som GPT og Llama. Fra 2. august 2025 skal udviklere af disse modeller opfylde specifikke krav om teknisk dokumentation, risikostyring og ophavsretspolitik. Kravene retter sig især mod modeller med "systemisk risiko" – en kategori, der endnu præcist defineres, men som forventes at omfatte de mest avancerede og indflydelsesrige modeller på markedet.

Håndhævelsen af AI-Act er fordelt mellem nationale myndigheder og EU-niveau. I Danmark er Digitaliseringsstyrelsen udpeget som den nationale koordinerende tilsynsmyndighed, mens EU-Kommissionen har oprettet et AI Office til at koordinere arbejdet på tværs af medlemslandene. Denne struktur skal sikre en ensartet og effektiv håndhævelse af reglerne.

Overtrædelser af AI-Act kan udløse betydelige sanktioner. For de groveste overtrædelser – fx brug af forbudte systemer – kan bøderne nå op på 35 millioner euro eller 7 % af den globale årsomsætning, alt afhængig af, hvilket beløb der er højst. For mindre alvorlige overtrædelser er bøderne lavere, men stadig af en størrelsesorden, der skal tages alvorligt. Sanktionerne understreger, at EU har til hensigt at gøre AI-Act til en lovgivning med tænder.

Kompetencekrav og praktiske konsekvenser for virksomheder

Fra 2. februar 2025 skal virksomheder sikre, at medarbejdere har tilstrækkelige AI-færdigheder til at vurdere muligheder og risici ved brug af AI-systemer. Digitaliseringsstyrelsen har udgivet en vejledning, der konkret anbefaler initiativer som e-læring, udpegning af interne AI-ambassadører og oprettelse af fagfællesskaber. Kravene understreger, at AI-Act ikke kun handler om teknisk overholdelse, men også om at skabe en organisatorisk kultur, hvor medarbejderne forstår og kan navigere i de nye regler.

For danske virksomheder – uanset størrelse – betyder AI-Act, at de må kortlægge deres eksisterende og planlagte AI-systemer efter risikoklasse. Dernæst skal de planlægge kompetenceudvikling og sikre, at leverandører af generelle modeller kan dokumentere overholdelse af kravene. DI understreger, at reglerne også gælder for ikke-EU-virksomheder, der sælger til det europæiske marked. Dette skaber en ekstraterritorial effekt lignende GDPR, hvilket kan være en konkurrencefordel for europæiske virksomheder, der allerede overholder reglerne, men samtidig en udfordring for internationale aktører, der skal tilpasse sig.

Praktisk set bør virksomhederne starte med at identificere alle AI-systemer i brug, vurdere deres risikoniveau og sikre, at de nødvendige dokumentations- og overvågningsprocesser er på plads. For højrisiko-systemer kræves det eksempelvis, at virksomhederne kan fremvise detaljerede risikovurderinger, teknisk dokumentation og planer for løbende overvågning. For generelle AI-modeller skal udviklere og leverandører kunne dokumentere, at de overholder kravene til gennemsigtighed, risikostyring og ophavsret.

Kritik, fremtidige udfordringer og danske muligheder

AI-Act har ikke været uden kritik. Nogle frygter, at de strenge regler kan bremse europæisk AI-innovation i forhold til USA og Kina, hvor reguleringen traditionelt har været mere fleksibel. Kritikerne peger på, at de administrative byrder og omkostninger ved at overholde reglerne kan afskrække startups og mindre virksomheder fra at udvikle avancerede AI-løsninger. Fortalere for forordningen modargumenterer imidlertid, at tillid og sikkerhed er afgørende for langsigtet vækst og bred adoption af AI-teknologier. Uden klare regler risikerer man, at mistillid blandt forbrugere og virksomheder bremser udviklingen.

En ny udvikling i EU’s strategi er Cloud and AI Development Act, som Europa-Kommissionen fremlagde i juni 2026 for at styrke europæisk teknologisk suverænitet. Dette initiativ skal ses i forlængelse af AI-Act og understreger EU’s ambition om at være en global leder inden for ansvarlig og etisk AI. Målet er at reducere afhængigheden af udenlandske teknologileverandører og sikre, at europæiske virksomheder og borgere har adgang til pålidelige og sikre AI-løsninger.

For danske ledere og specialister betyder det, at de skal forberede sig på et dynamisk reguleringsmæssigt landskab, hvor kravene løbende kan blive skærpet eller udvidet. Samtidig åbner AI-Act muligheder for virksomheder, der kan positionere sig som pålidelige leverandører af AI-løsninger, der overholder de højeste standarder for etik, gennemsigtighed og sikkerhed. Danske virksomheder, der formår at tilpasse sig reglerne og udnytte de nye rammer, kan opnå en konkurrencemæssig fordel – både på det europæiske marked og globalt.

AI-Act markerer et vendepunkt i reguleringen af kunstig intelligens. Med sine klare, risikobaserede rammer, ambitiøse håndhævelsesmekanismer og fokus på kompetenceudvikling sætter den en ny standard for, hvordan samfundet kan balancere innovation og beskyttelse. For danske virksomheder handler det nu om at forstå kravene, tilpasse sig dem og udnytte de muligheder, der ligger i at være tidligt ude med ansvarlig og lovlydig AI. Fremtiden vil vise, om EU’s tilgang kan inspirere andre regioner – eller om den globale konkurrence om AI-dominans vil tvinge Europa til at justere kursen.