EU’s AI-forordning: Trinvise regler og danske virksomheders udfordringer

EU’s AI-forordning, forordning (EU) 2024/1689, er verdens første samlede lovgivning om kunstig intelligens, og den trådte i kraft 1. august 2024. Men implementeringen sker trinvist frem mod 2027, og de første konkrete krav gælder allerede fra 2. februar 2025. Fra denne dato er forbud mod visse AI-praksisser – herunder skadelig manipulation, følelsesgenkendelse på arbejdspladser og i uddannelsesinstitutioner samt biometrisk kategorisering til retshåndhævelse – trådt i kraft. Samtidig stilles der krav om AI-kompetence (artikel 4), der forpligter virksomheder og organisationer til at sikre, at medarbejdere har den nødvendige viden om AI-systemer. Alligevel viser en undersøgelse fra DI Digital (2025), at kun 28% af danske virksomheder har en klar plan for at overholde reglerne, mens hele 72% stadig mangler en compliance-strategi.

Forordningens trinvise implementering betyder, at reglerne for AI-modeller til almen brug (general purpose AI) træder i kraft 2. august 2025. Herefter følger hovedparten af kravene, herunder gennemsigtighedskrav og mærkning af AI-indhold, der skal være på plads 2. august 2026. Dog udskød EU-medlemslandene i maj 2026 implementeringen for visse syntetiske indholdstyper (Art. 50, stk. 2) til 2. december 2026, hvis systemet allerede var i omsætning før august 2026. Endelig træder reglerne for højrisiko-AI-systemer indlejret i regulerede produkter, såsom medicinsk udstyr, i kraft 2. august 2027. For eksisterende store IT-systemer, herunder Eurodac og Visuminformationssystemet, er fristen for fuld compliance sat til 31. december 2030.

Risikobaseret tilgang: Forbud, højrisiko og gennemsigtighed

AI-forordningen opererer med en risikobaseret tilgang, der opdeler AI-systemer i tre hovedkategorier, hver med sine specifikke krav og tidsfrister. Den første kategori omfatter forbudte AI-praksisser (artikel 5). Herunder falder blandt andet social scoring – altså systemer, der vurderer borgere baseret på deres adfærd – samt følelsesgenkendelse på arbejdspladser og i uddannelsesinstitutioner. Derudover er biometrisk kategorisering til retshåndhævelse forbudt, med snævre undtagelser. Disse forbud gælder allerede fra 2. februar 2025.

Den anden kategori, højrisiko-AI-systemer, dækker systemer, der anvendes i kritisk infrastruktur, sundhedssektoren, ansættelsesprocesser, uddannelse og kreditvurdering. For disse systemer kræves omfattende dokumentation, risikostyring, løbende overvågning og registrering i en central EU-database. Reglerne for højrisiko-AI træder fuldt i kraft 2. august 2026, dog med en undtagelse for systemer, der er indlejret i regulerede produkter, såsom medicinsk udstyr. For disse gælder fristen først 2. august 2027.

Den tredje kategori omfatter gennemsigtighedsforpligtelser. Her skal chatbots tydeligt informere brugere om, at de kommunikerer med en AI, og AI-genereret indhold – herunder tekst, lyd, billeder og video, inklusive deepfakes – skal mærkes, når det offentliggøres i forbindelse med spørgsmål af offentlig interesse. Disse krav træder i kraft 2. august 2026, med den tidligere nævnte udsættelse for visse syntetiske indholdstyper til 2. december 2026.

Roller, ansvar og sanktioner: Hvad skal danske virksomheder vide?

AI-forordningen definerer klart to centrale roller: udbydere og idriftsættere. En udbyder er en virksomhed eller organisation, der udvikler eller får udviklet et AI-system og bringer det i omsætning under eget navn eller varemærke. Et eksempel kunne være en dansk virksomhed, der lancerer en chatbot baseret på modeller som GPT, Claude eller Gemini. En idriftsætter er derimod en aktør, der anvender AI-systemet i sine daglige arbejdsgange, f.eks. en kommune, der bruger AI til sagsbehandling.

For begge roller er der klare forpligtelser, og manglende overholdelse kan få alvorlige konsekvenser. Sanktionerne for overtrædelse af AI-forordningen er blandt de strengeste i EU-lovgivningen. For forbudte AI-praksisser kan bøderne løbe op på 35 millioner euro eller 7% af den globale årsomsætning – alt efter, hvad der er højst. For manglende overholdelse af kravene til højrisiko-AI-systemer er bøden 15 millioner euro eller 3% af den globale årsomsætning. Endelig kan forkerte oplysninger udløse bøder på 7,5 millioner euro eller 1% af den globale årsomsætning.

For danske startups kan sådanne bøder være eksistentielle, mens store virksomheder risikerer betydelige økonomiske tab og skader på deres omdømme. Det understreger vigtigheden af at have en solid compliance-strategi på plads, inden reglerne træder fuldt i kraft.

Chat Control-debatten: Et sideløbende stridspunkt i EU

Mens AI-forordningen sætter rammerne for udvikling og brug af kunstig intelligens, har en separat, men relateret debat om "Chat Control" – screening af private beskeder for billeder af seksuelle overgreb mod børn (CSAM) – splittet EU-Parlamentet. Kritikere, herunder medlemmer fra De Grønne og dele af Renew-gruppen (hvor danske partier som Radikale Venstre og Moderaterne er repræsenteret), har advaret mod, at en sådan ordning kunne føre til "masseovervågning" af borgere.

I juli 2026 lykkedes det dog at vedtage et ændringsforslag, der begrænser ordningens rækkevidde. Ifølge dette forslag skal Chat Control ikke gælde ende-til-ende-krypteret kommunikation, hvilket har beroliget nogle af kritikerne. Alligevel har debatten været præget af uenighed. Næstformand i EU-Parlamentet, Christel Schaldemose (S), udtrykte bekymring for, at en manglende regulering på dette område kunne efterlade et "tomrum" i beskyttelsen af børn mod online-overgreb. Debatten om Chat Control illustrerer, hvordan regulering af AI og digital kommunikation ikke kun handler om tekniske standarder, men også om grundlæggende rettigheder, etik og balancegangen mellem sikkerhed og privatliv.

Hvad betyder AI-forordningen for danske aktører?

For danske virksomheder, organisationer og iværksættere er AI-forordningen en øjeblikkelig udfordring, der kræver handling nu. Med mindre end et år til, at hovedparten af reglerne træder i kraft, er der behov for at kortlægge og tilpasse eksisterende AI-systemer. For ledere betyder det, at de skal identificere, hvilke AI-systemer virksomheden anvender, og om den fungerer som udbyder, idriftsætter eller begge dele. Dernæst skal de sikre, at alle systemer overholder de gældende krav, herunder dokumentation, risikostyring og mærkning.

For specialister – herunder IT-medarbejdere, jurister og compliance-ansvarlige – betyder forordningen, at de skal forstå de tekniske og juridiske krav til mærkning af AI-genereret indhold, dokumentationsbyrden for højrisiko-systemer og de løbende overvågningsforpligtelser. Der er behov for konkrete værktøjer til teknisk mærkning, og mange virksomheder søger stadig vejledning om, hvordan de praktisk kan overholde reglerne.

For iværksættere – især inden for AI-startups – er det afgørende at designe compliance ind fra starten. Bøderne for overtrædelse er så høje, at de kan true en lille virksomheds eksistens. Derfor bør startups allerede i udviklingsfasen sikre, at deres systemer lever op til forordningens krav, herunder gennemsigtighed, dokumentation og risikostyring.

Med den trinvise implementering frem mod 2027 er der stadig tid til at tilpasse sig, men for de mange virksomheder, der endnu ikke har en plan, er det afgørende at handle hurtigt. AI-forordningen er ikke blot en lovgivning; den er en nødvendig ramme for at sikre ansvarlig, transparent og etisk brug af AI i Europa. For danske aktører betyder det, at compliance ikke længere er en mulighed, men en forudsætning for at operere på det europæiske marked.