EU’s AI-forordning træder i kraft: Danske virksomheder skal handle nu

Den 1. august 2024 trådte EU’s AI-forordning (EU AI Act) i kraft som det første omfattende lovgivningsramme for kunstig intelligens i Europa. Forordningen gælder direkte i Danmark og indfører en række bindende, tidsbestemte krav, der træder i kraft trinvist frem mod 2028. Allerede den 2. februar 2025 skal danske virksomheder overholde forbud mod skadelig AI-praksis – herunder systemer, der manipulerer menneskers adfærd på en måde, der kan skade fysisk eller psykisk helbred, samt realtids-biometrisk identifikation i det offentlige rum (med undtagelse af specifikke retshåndhævelsessituationer). Samtidig skal virksomhederne sikre, at alt personale, der håndterer AI, opfylder kompetencekravene i artikel 4, der kræver et "tilstrækkeligt niveau af AI-kompetence".

Forordningen repræsenterer ikke blot endnu et sæt administrative regler, men en fundamental omstilling af, hvordan AI udvikles, implementeres og overvåges i Europa. Med potentielle bøder på op til 35 millioner euro eller 7 % af den globale årlige omsætning – alt afhængigt af hvad der er højst – udgør overtrædelser en betydelig juridisk og økonomisk risiko for virksomheder. Samtidig åbner de nye regler mulighed for, at virksomheder kan differentiere sig på markedet ved at positionere sig som leverandører af lovlydig, gennemsigtig og ansvarlig AI. For iværksættere kan compliance blive en konkurrencefordel, mens etablerede virksomheder må investere i at opfylde kravene for at undgå sanktioner og bevare markedsadgang.

Fire risikokategorier og konkrete tidsfristen

AI-forordningen opdeler AI-systemer i fire risikokategorier, hver med sine specifikke krav:

• Uacceptabel risiko: Forbudte praksisser, herunder manipulation af sårbare grupper (fx børn), social bedømmelse (social scoring) og visse former for biometrisk kategorisering. Disse forbud træder i kraft den 2. februar 2025.
• Høj risiko: Systemer, der kan påvirke sikkerhed, grundlæggende rettigheder eller samfundsmæssige interesser. Eksempler omfatter AI anvendt til rekruttering, uddannelse, kritisk infrastruktur, medicinsk udstyr, legetøj og offentlige afgørelser. Kravene til disse systemer – herunder dokumentation, risikostyring, datakvalitetssikring og løbende overvågning – træder i kraft i to omgange: den 2. december 2027 for generelle højrisiko-systemer og den 2. august 2028 for højrisiko-AI i regulerede produkter som medicinsk udstyr.
• Begrænset risiko: Systemer, der interagerer med mennesker, fx chatbots eller deepfakes. Her gælder gennemsigtighedskrav, der træder i kraft den 2. august 2026, hvor brugere skal informeres om, at de kommunikerer med AI-genereret indhold. Fra den 2. december 2026 skal ældre AI-systemer desuden mærkes maskinlæsbart for at kunne genkendes som AI-genererede.
• Minimal risiko: Systemer med lav risiko, fx simple chatbots eller spil, hvor der ikke stilles særlige krav ud over frivillige etiske retningslinjer.

En central udfordring for virksomhederne er at navigere i disse kategorier og forstå, hvilke krav der gælder for deres specifikke AI-løsninger. Ifølge en undersøgelse fra DI Digital (2025) har kun 28 % af danske virksomheder en klar plan for at overholde AI-forordningen, mens 72 % endnu mangler at iværksætte de nødvendige tiltag. Det understreger, at der er et betydeligt gap mellem lovgivningens krav og virksomhedernes aktuelle beredskab – især blandt mindre virksomheder, der måske mangler ressourcerne til at implementere de komplekse regler.

Tilsyn, sanktioner og danske myndigheder

I Danmark er ansvaret for tilsynet med AI-forordningen fordelt på flere myndigheder, hvilket afspejler forordningens brede anvendelsesområde:

• Digitaliseringsstyrelsen koordinerer det overordnede tilsyn og fører specifikt tilsyn med forbudt AI-praksis som defineret i forordningen.
• Datatilsynet håndterer tilsynet med visse forbudte praksisser, herunder overtrædelser af artikel 5, stk. 1, litra d og g – blandt andet systemer, der udnytter sårbarheder hos fysiske personer for at påvirke deres adfærd på en skadelig måde.
• Domstolsstyrelsen har ansvaret for at overvåge domstolenes anvendelse af AI, herunder systemer, der kan påvirke retsafgørelser.

Sanktionerne for overtrædelser er blandt de strengeste i europæisk lovgivning. For forbudt AI-praksis kan bøderne nå op på 35 millioner euro eller 7 % af den globale årlige omsætning – alt afhængigt af, hvilket beløb der er højst. For andre overtrædelser, fx manglende overholdelse af kravene til højrisiko-systemer, kan bøderne udgøre op til 15 millioner euro eller 3 % af den globale omsætning. Disse beløb gør det klart, at AI-forordningen ikke blot er en formel lovgivning, men en regulering med reelle økonomiske konsekvenser for virksomheder, der ikke lever op til kravene.

Der er dog fortsat usikkerhed om, hvordan Danmark fuldt ud har implementeret alle forbud grundet landets retsforbehold. Det betyder, at nogle af forordningens bestemmelser muligvis ikke gælder fuldt ud i dansk ret, indtil yderligere national lovgivning er vedtaget. Denne usikkerhed skaber en udfordring for virksomheder, der skal navigere i et komplekst juridisk landskab, hvor tolkningen af reglerne kan variere mellem medlemslandene.

Nordisk samarbejde og erhvervslivets udfordringer

I Sverige har Integritetsskyddsmyndigheten (IMY) fået rollen som markedskontrollmyndighed for AI-forordningen, med ansvar for tilsyn inden for områder som kreditvurdering og brottsbekæmpning (brottsbekämpning). IMY samarbejder tæt med Post- och telestyrelsen (PTS) og Finansinspektionen om implementeringen af forordningen. Denne nordiske model, hvor flere myndigheder samarbejder om tilsynet, kunne inspirere til lignende tilgange i Danmark, hvor ansvaret i dag er spredt på flere aktører.

Fra erhvervslivets side har organisationer som DI udtrykt bekymring for, at AI-forordningen er for kompleks og ressourcekrævende, især for mindre virksomheder. Kravene til dokumentation, risikostyring og kompetenceudvikling stiller store krav til virksomhedernes kapacitet og ekspertise. En af de mest presserende udfordringer er manglen på klarhed om, hvad der konkret kræves for at opfylde kompetencekravene i artikel 4. Mens nogle virksomheder allerede har iværksat uddannelsesprogrammer for medarbejderne, mangler mange stadig en klar strategi for, hvordan de skal sikre, at deres personale har det nødvendige niveau af AI-kompetence inden den 2. februar 2025.

Derudover er der usikkerhed om, hvordan gennemsigtighedskravene til AI-mærkning praktisk skal implementeres. Virksomhederne skal fx sikre, at brugere tydeligt kan genkende AI-genereret indhold, herunder deepfakes, men der er endnu ikke etableret fælles standarder for, hvordan denne mærkning skal se ud eller fungere i praksis. Det skaber en udfordring for virksomheder, der skal udvikle løsninger, der både overholder lovgivningen og er brugervenlige.

For startups og mindre virksomheder kan de strenge regler udgøre en barriere for markedsadgang, da omkostningerne ved at overholde kravene kan være forbudt høje. På den anden side åbner forordningen også mulighed for, at virksomheder, der formår at overholde reglerne, kan differentiere sig på markedet. Ved at tilbyde lovlydige, gennemsigtige og ansvarlige AI-løsninger kan de opnå en konkurrencefordel og tiltrække kunder, der prioriterer tillid og compliance.

AI-forordningen markerer starten på en ny æra for AI i Europa, hvor lovgivning og innovation skal gå hånd i hånd. For danske virksomheder, myndigheder og iværksættere betyder det, at de skal handle hurtigt for at sikre compliance, udvikle de nødvendige kompetencer og navigere i et komplekst reguleringslandskab. De kommende år vil vise, om forordningen formår at balancere behovet for innovation med beskyttelsen af borgere, forbrugerrettigheder og samfundsmæssige interesser mod de potentielle risici ved AI. En ting er dog sikkert: AI-forordningen er kommet for at blive, og dens indflydelse på den europæiske tech-sektor vil kun vokse i årene fremover.