EU's AI-forordning: Nye danske frister udskyder højrisiko-krav til december 2027

Den 2. august 2026 trådte EU's AI-forordnings gennemsigtighedsforpligtelser i kraft, og for danske virksomheder markerede datoen samtidig begyndelsen på en ny, forskudt tidsplan for resten af lovens krav. Efter et politisk forlig om den såkaldte Digital Omnibus-pakke i juli 2026 er flere frister blevet rykket, og det skaber både lettelse og ny usikkerhed hos ledere og specialister, der arbejder med kunstig intelligens.

AI-loven gælder direkte i Danmark og rammer alle virksomheder, der udvikler eller bruger AI-systemer. For de alvorligste overtrædelser – de forbudte praksisser – kan bøden nå op på 7 procent af den globale omsætning eller ca. 35 mio. euro, alt efter hvad der er højest. Derfor er det afgørende at kende de præcise datoer og forstå, hvilke krav der gælder for ens systemer – især fordi flere virksomheder havde forberedt sig på en frist, der nu er udskudt med halvandet år.

Tidsplanen: Fra forbud til højrisiko i 2028

EU's AI-forordning træder i kraft i flere trin. De første krav er allerede gældende, mens de tungeste forpligtelser for højrisikosystemer først rammer i 2027 og 2028.

• 2. februar 2025: Forbud mod uacceptabel risiko, herunder social scoring, manipulerende AI og følelsesgenkendelse på arbejdspladsen, trådte i kraft.
• 2. august 2025: Leverandører af generelle AI-modeller (GPAI) fik pligt til dokumentation og gennemsigtighed.
• 2. august 2026: Gennemsigtighedspligterne i artikel 50 trådte i kraft, herunder krav om at informere brugere om AI-interaktion og mærkning af dybfake-indhold.
• 2. december 2026: Sidste frist for maskinlæselig mærkning af AI-genereret indhold for systemer, der var på markedet før 2. august 2026.
• 2. december 2027: Ny frist for overholdelse af krav til højrisikosystemer som rekruttering og kreditvurdering – udskudt fra 2. august 2026.
• 2. august 2028: Frister for højrisiko-AI i produkter under EU's sikkerhedslovgivning, f.eks. medicinsk udstyr – udskudt fra 2027.

De fleste virksomheders AI-systemer falder i kategorien minimal risiko, hvor kravene er begrænsede. Men for systemer inden for rekruttering, kreditvurdering og kritisk infrastruktur gælder højere krav, og de har nu fået længere tid til at efterleve dem.

Gennemsigtighed: Artikel 50 stiller nye krav til chatbots og dybfakes

Den 2. august 2026 blev en skillelinje for mange danske virksomheder, der bruger generativ AI eller chatbots. Artikel 50 i forordningen stiller nu krav om, at brugere tydeligt informeres, når de interagerer med et AI-system, og at AI-genereret indhold som dybfakes mærkes.

Leverandører af chatbots og generativ AI skal tydeligt informere brugere. Brugere af dybfakes og AI-genereret nyhedsindhold skal mærke dette.

For en dansk virksomhed betyder det konkret, at en kundeservice-chatbot ikke må fremstå som et menneske uden tydelig markering, og at markedsføring eller nyhedsbreve, der indeholder AI-genereret billede eller video, skal bære en maskinlæselig mærkning. Systemer, der allerede var på markedet før 2. august 2026, har frist til 2. december 2026 med at efterleve mærkningskravet.

Leverandører af generelle AI-modeller har allerede siden 2. august 2025 skullet dokumentere deres modeller og sikre gennemsigtighed. De nye krav i artikel 50 rammer nu også brugere af disse modeller, for eksempel virksomheder der anvender chatbots eller generativ AI til indholdsproduktion. Ifølge RegulatoryAI falder de fleste virksomheders AI-systemer dog i kategorien minimal risiko, men netop chatbots og generativ AI er blandt de områder, hvor gennemsigtighedspligten rammer bredt, fordi teknologien er så udbredt.

Højrisikosystemer: Udskudt frist og grænse mellem leverandør og bruger

Den mest markante ændring i den nye tidsplan er udskydelsen af kravene til højrisikosystemer. Oprindeligt skulle systemer inden for områder som rekruttering, kreditvurdering og kritisk infrastruktur have været i overensstemmelse med loven den 2. august 2026. Den frist er nu rykket til 2. december 2027 – en udsættelse på næsten halvandet år.

For danske virksomheder, der havde budgetteret med at være klar i sommeren 2026, giver det luft til at færdiggøre teknisk dokumentation og risikovurderinger. Men ifølge Gavn Software er der fortsat betydelig usikkerhed om, hvornår en ændring af en AI-model gør en virksomhed til leverandør i stedet for bruger. Det har stor betydning, fordi leverandører af højrisikosystemer har langt flere forpligtelser end virksomheder, der blot anvender systemet.

Risikoklassifikationen deler systemer i fire kategorier: forbudt, højrisiko, begrænset og minimal risiko. De fleste virksomheders AI falder i minimalrisikokategorien, men netop rekrutteringsværktøjer og kreditvurderingsmodeller kan være højrisiko, hvis de træffer eller væsentligt påvirker beslutninger om personer. For højrisiko-AI, der indgår i produkter under EU's sikkerhedslovgivning – for eksempel medicinsk udstyr – er fristen udskudt til 2. august 2028.

Danske tilsynsmyndigheder og virksomhedernes næste skridt

I Danmark er ansvaret for håndhævelse og vejledning fordelt på flere myndigheder. Digitaliseringsstyrelsen fungerer som koordinator og EU-kontaktpunkt for AI-loven, mens Datatilsynet fører tilsyn med AI, der behandler personoplysninger, og med forbudte praksisser. Domstolsstyrelsen har tilsyn med AI i retsvæsenet. Dansk Industri rådgiver løbende danske virksomheder om overholdelse, og virksomheder kan henvende sig til disse myndigheder og organisationer for vejledning.

For ledere og iværksættere er det vigtigste skridt nu at kortlægge virksomhedens AI-systemer og vurdere, om nogen falder i højrisikokategorien. Derefter bør man begynde at opbygge den tekniske dokumentation, som loven kræver – også selvom fristen for højrisikosystemer først er i december 2027. Erfaringen fra tidligere EU-regulering viser, at dokumentationsarbejde ofte tager længere tid end forventet, og at tilsynsmyndighederne lægger vægt på sporbarhed.

Især virksomheder, der anvender chatbots, rekrutteringsværktøjer eller generativ AI, bør handle nu. Gennemsigtighedskravene er allerede trådt i kraft, og manglende mærkning kan i princippet føre til sanktioner. Dansk Industri og Digitaliseringsstyrelsen tilbyder vejledning, men mange detaljer i fortolkningen er endnu ikke afklaret.

Den forskudte tidsplan giver danske virksomheder mere tid, men den fjerner ikke behovet for handling. De næste 12 til 18 måneder vil vise, hvordan Datatilsynet og Digitaliseringsstyrelsen konkret prioriterer tilsynet, og om EU-Kommissionen udsteder yderligere retningslinjer for grænsen mellem leverandør og bruger. Indtil da er det klogeste, virksomheder kan gøre, at dokumentere deres AI-anvendelse, sikre gennemsigtighed over for kunder og brugere, og følge udviklingen i de danske myndigheders vejledning tæt. For selvom de tungeste krav er rykket, er lovens princip klart: Den, der sætter AI i verden, har ansvaret for, at den kan forstås og kontrolleres.