EU's AI-forordning: Transparenskrav rammer danske udviklingsteams nu

Fra 2. august 2026 er det ikke længere nok at have en dygtig AI-model. EU's AI-forordning kræver nu, at virksomheder afslører, når brugere interagerer med kunstig intelligens, og at AI-genereret indhold mærkes med maskinlæsbare metadata. For udviklingsteams i danske virksomheder betyder det, at transparens ikke er en fremtidig opgave, men en aktuel complianceforpligtelse. De højrisikokrav, mange har frygtet, er udskudt til december 2027 og august 2028, men bøderne for selv de nuværende regler kan nå op på 35 millioner euro eller 7 procent af den globale omsætning.

For danske ledere og udviklere er det afgørende at forstå, hvorfor dette haster. Mange virksomheder har allerede integreret AI i produkter og processer uden at have taget stilling til deres juridiske rolle. Ifølge Gavn Software og danske myndigheder er sondringen mellem "udbyder" og "bruger" afgørende, og den kan udløse betydelige dokumentationskrav. Samtidig viser nye eksempler som Factorial, at AI-agenter kan effektivisere forretningen, men også at sikkerhed og ansvar skal bygges ind fra start. Og når AI-agenter begynder at foretage betalinger, opstår et juridisk tomrum, som danske virksomheder bør kende.

Transparenskrav er nu en realitet

Transparensreglerne i EU's AI-forordning trådte i kraft 2. august 2026. Virksomheder skal nu afsløre, når brugere interagerer med AI, og mærke AI-genereret indhold – billeder, lyd og tekst – med maskinlæsbare metadata. Det gælder også AI-produceret tekst om offentlige anliggender. Kravene er ikke begrænset til bestemte brancher; de rammer alle, der anvender eller udbyder AI-systemer i EU.

De højrisikofulde krav er til gengæld udskudt. Statiske systemer skal først opfylde dem 2. december 2027, mens produkter under EU-sikkerhedslovgivning har frist til 2. august 2028. Men straffen for overtrædelser af de allerede gældende regler kan nå op til 35 millioner euro eller 7 procent af den globale omsætning – det højeste beløb gælder. For udviklingsteams betyder det konkret: implementer metadata i AI-output, sørg for tydelig brugerinformation i grænseflader, og dokumentér hvordan systemet fungerer. Det er ikke længere valgfrit.

Udbyder eller bruger: En juridisk skillelinje

En af de mest oversete faldgruber er sondringen mellem "udbyder" og "bruger". En udbyder er den, der udvikler eller sælger et AI-system under sit eget navn. En bruger anvender systemet.

Hvis et firma integrerer en tredjeparts model – for eksempel GPT – i sit produkt og sælger det videre, er det selv udbyder, ikke blot bruger, og bærer fuld ansvar for compliance.

Dansk Industri og Digitaliseringsstyrelsen understreger, at dette ikke er et gråzoneområde. Det betyder, at mange danske SaaS-virksomheder, der bygger på OpenAI, Anthropic eller Google-modeller, skal overholde alle forpligtelser som udbyder: risikovurdering, dokumentation, transparens og senere højrisikokrav, hvis de er relevante. Det kan være en betydelig byrde, men det er afgørende at afklare nu – ikke mindst fordi manglende overholdelse kan koste milliarder.

Factorial viser, hvordan agenter kan bygges sikkert

Det spanske selskab Factorial, nu vurderet til 2,5 milliarder USD efter en ny investering, udvider sin AI-platform til at dække HR, økonomi og IT. Med sin "Factorial One"-arkitektur bruger de to agenter: én for organisationen, der håndterer ansættelsesbetingelser og politikker, og én for medarbejderen. Denne opdeling sikrer, at AI-handlinger respekterer eksisterende adgangsrettigheder – en central sikkerhedsmekanisme, når agenter skal agere på vegne af brugere.

Factorial fokuserer især på Sydøsteuropa og samarbejder med Microsoft Azure for hurtig lokal implementering. For danske udviklingsteams er lektionen klar: Byg rollebaseret adgangskontrol ind i agenter fra start, så AI ikke overskrider brugerens rettigheder. Det er både en sikkerheds- og compliancefordel, især når EU's højrisikokrav træder i kraft. Samtidig viser eksemplet, at AI-agenter kan effektivisere mellemstore virksomheder markant – men kun hvis sikkerhed og ansvar er tænkt ind fra første linje kode.

AI-agenter og betalinger: Juridisk usikkerhed

Verdensøkonomiske Forum (WEF) og Worldpay peger på, at eksisterende betalingsregler bygger på menneskelig godkendelse. Når AI-agenter træffer betalingsbeslutninger, opstår spørgsmål om ansvar og gyldig samtykke. EU's AI-forordning og britiske myndigheder kræver ganske vist, at organisationer forbliver ansvarlige for deres agenter, men der mangler klare regler for, hvem der betaler, når en AI fejlgodkender en transaktion.

For danske virksomheder betyder det en advarsel mod fuld automatisering af betalinger uden menneskelig oversight. Indfør human-in-the-loop, særligt for transaktioner over en vis størrelse, og dokumentér beslutningsprocesserne. Det reducerer juridisk risiko, indtil lovgivningen indhenter teknologien. Denne usikkerhed understreger, at AI-agenter ikke bør gives frie tøjler til finansielle dispositioner – heller ikke selvom de teknisk set kan.

Hvad bør danske udviklingsteams gøre nu?

EU's AI-forordning er ikke længere et fremtidsscenarie. Transparenskravene er i kraft, og selvom højrisikodelen er udskudt, er bøderne allerede markante. Danske virksomheder, der handler nu, kan undgå dyre fejl og samtidig udnytte AI-agenter sikkert. Konkret bør udviklingsteams og ledelse tage følgende skridt:

• Kortlæg alle AI-systemer og afgør, om virksomheden er udbyder eller bruger – det afgør omfanget af complianceforpligtelser.
• Implementer transparenskrav med metadata på AI-genereret indhold og tydelig brugerinformation i alle grænseflader.
• Byg sikkerhed ind i agenter med rollebaseret adgangskontrol, som Factorial demonstrerer.
• Hold menneskelig kontrol med betalinger og andre højrisikobeslutninger, indtil reglerne er klarere.
• Forbered dokumentation til de kommende højrisikokrav i 2027 og 2028, så overgangen bliver glidende.

Det kræver, at udviklingsteams og ledelse arbejder sammen om compliance fra start. De virksomheder, der gør det, står ikke blot bedre rustet til EU's krav – de kan også høste gevinsterne ved AI-agenter uden at løbe unødige juridiske risici.