EU's AI-forordning: Ændringer udskyder og præciserer krav – virksomheder skal handle nu

EU's AI-forordning – verdens første omfattende, bindende lovramme for kunstig intelligens – er trådt i kraft, men implementeringen sker i etaper frem mod august 2028. En ny analyse fra advokatfirmaet Akin Gump peger på, at ændringer har udskudt og præciseret visse forpligtelser, hvilket giver virksomheder mere tid til at tilpasse sig – men også stiller krav om, at de handler nu. For danske ledere, specialister og iværksættere er det afgørende at forstå de konkrete frister og krav, da overtrædelser kan koste op til 7 procent af den globale årsomsætning.

AI Act påvirker hele værdikæden – fra udviklere af AI-modeller til slutbrugere i virksomheder. Lovgivningen indfører ikke kun forbud mod de farligste anvendelser, men også omfattende dokumentations-, risikovurderings- og gennemsigtighedskrav. For danske virksomheder betyder det, at compliance ikke længere er en mulighed, men en nødvendighed. Manglende forberedelse kan føre til betydelige bøder og skade på omdømmet, mens korrekt implementering kan styrke tilliden til AI og skabe klare spilleregler for innovation.

Baggrund: risikobaseret tilgang og trinvis implementering

EU's AI-forordning bygger på en risikobaseret tilgang, hvor systemer inddeles i kategorier efter deres potentielle skadevirkninger. Systemer med uacceptabel risiko – såsom social scoring, udnyttelse af sårbarheder eller biometrisk profilering – er forbudt fra den 2. februar 2025. Det betyder, at virksomheder ikke må udvikle eller anvende sådanne systemer, og overtrædelser kan medføre de højeste bøder. Højrisikosystemer, der anvendes inden for eksempelvis rekruttering, asyl eller kritisk infrastruktur, skal overholde strenge krav, som træder i kraft i løbet af 2027–2028. Disse krav omfatter blandt andet risikostyring, datakvalitet, teknisk dokumentation og menneskeligt tilsyn. Fra den 2. august 2025 gælder særlige krav for udbydere af generelle AI-modeller (GPAI), herunder dokumentationspligt og ophavsretsbeskyttelse. Det rammer udbydere af store sprogmodeller og andre fundamentale modeller, som danner grundlag for mange AI-applikationer. Gennemsigtighed er også centralt: fra den 2. august 2026 skal brugere informeres, når de interagerer med AI, og fra den 2. december 2026 skal AI-genereret indhold mærkes maskinlæsbart, hvilket især er relevant i forhold til deepfakes og desinformation.

Ændringer og præciseringer: hvad er nyt?

Ifølge Akin Gump-analysen har ændringerne til AI-forordningen udskudt visse forpligtelser og præciseret andre, hvilket skaber større klarhed for virksomheder. Mens forbuddet mod uacceptabel risiko allerede er trådt i kraft, har højrisikokravene fået en længere implementeringsperiode, der strækker sig til 2027–2028. Det giver virksomheder tid til at tilpasse deres processer og dokumentation, men det betyder ikke, at de kan vente. Samtidig er der kommet præciseringer omkring, hvilke systemer der falder ind under de forskellige risikokategorier, og hvilke forpligtelser der gælder for udbydere af generelle AI-modeller. For danske virksomheder er det vigtigt at forstå, at selvom nogle krav er udskudt, så gælder andre allerede nu – eksempelvis forbuddet mod uacceptabel risiko og kravene til GPAI-udbydere fra august 2025. Virksomheder bør derfor ikke udskyde deres compliance-arbejde, men bruge den ekstra tid til at kortlægge deres AI-anvendelser og etablere de nødvendige processer.

Konsekvenser for danske virksomheder

For danske ledere, specialister og iværksættere er AI Act ikke en fjern EU-regulering, men en konkret forpligtelse, der påvirker dagligdagen. Virksomheder skal aktivt arbejde med medarbejderes AI-færdigheder og sikre compliance med krav til dokumentation, risikovurdering og gennemsigtighed. Håndhævelsen foregår på to planer: nationale myndigheder – i Danmark Digitaliseringsstyrelsen – fører tilsyn med højrisikosystemer, mens EU's nyoprettede AI Office har ansvaret for generelle AI-modeller og store onlineplatforme. Det betyder, at danske virksomheder skal forholde sig til både nationale og europæiske tilsynsmyndigheder. Dansk Industri og Dansk Erhverv understreger, at reglerne skal være fleksible og innovationsvenlige, og advarer mod en for stor byrde for virksomheder, især SMV'er. For mindre virksomheder kan kravene til dokumentation og risikovurdering være ressourcekrævende, og der er behov for klar vejledning og støtte. Manglende forberedelse kan medføre bøder på op til 7 procent af den globale årsomsætning, hvilket for selv mellemstore virksomheder kan være ødelæggende. Samtidig skaber loven klare spilleregler, der kan styrke tilliden til AI og fremme innovation inden for et etisk og juridisk sikkert rammeværk.

Overtrædelser kan straffes med bøder op til 7 % af den globale årsomsætning.

Reaktioner og perspektiver

Dansk Industri og Dansk Erhverv har begge fremhævet behovet for balance mellem sikkerhed og innovation. De advarer mod, at for omfattende krav kan kvæle udviklingen og lægge en uforholdsmæssig stor byrde på mindre virksomheder, der ikke har samme ressourcer som store tech-giganter. Samtidig anerkender de, at klare spilleregler kan styrke tilliden til AI og skabe et etisk og juridisk sikkert rammeværk, der fremmer innovation på lang sigt. For danske virksomheder handler det derfor om at finde en pragmatisk tilgang, hvor compliance integreres i forretningsprocesserne uden at bremse udviklingen. Der er også en geopolitisk dimension: EU's regulering kan blive en global standard, som andre markeder vil følge, og danske virksomheder, der er tidligt ude med compliance, kan opnå en konkurrencefordel. Omvendt kan for strenge krav drive innovation til USA eller Kina, hvilket vil svække Europas position.

EU's AI-forordning er ikke en statisk lov, men en ramme, der vil blive justeret og præciseret i takt med teknologiens udvikling. De kommende år vil byde på yderligere vejledninger og standarder, som virksomheder skal holde sig opdateret på. For danske ledere og iværksættere er budskabet klart: Begynd forberedelserne nu, kortlæg jeres AI-anvendelser, og sørg for, at medarbejderne har de nødvendige kompetencer. De virksomheder, der handler proaktivt, vil ikke kun undgå bøder, men også stå stærkere i en fremtid, hvor tillid til AI bliver et konkurrenceparameter. Samtidig bør danske virksomheder følge arbejdet i Digitaliseringsstyrelsen og EU's AI Office tæt, da der løbende vil komme præciseringer og vejledninger, som kan få betydning for deres forpligtelser.