EU's AI-lov er trådt i kraft: Det betyder den for danske virksomheder og borgere

Den 2. august 2024 trådte EU’s AI Act i kraft – verdens første omfattende lovgivning for kunstig intelligens. For danske virksomheder, offentlige institutioner og borgere markerer det begyndelsen på en ny æra, hvor AI ikke længere er et ureguleret vildnis, men et område med klare juridiske rammer. Loven indfases dog trinvist, og de mest vidtrækkende krav til højrisiko-AI er først fuldt gældende i december 2027 og august 2028. Alligevel er signalet utvetydigt: EU vil sætte dagsordenen for, hvordan kunstig intelligens udvikles og bruges – med konsekvenser for alt fra rekrutteringssoftware til chatbots i danske kommuner.

Hvorfor er det vigtigt? Fordi AI-teknologier i stigende grad træffer beslutninger, der påvirker menneskers hverdag: hvem der indkaldes til jobsamtale, hvilken rente man får på lånet, eller hvordan patientdata analyseres på sygehuset. Uden fælles regler risikerer man en fragmenteret og uigennemsigtig brug af teknologien. AI Act skal skabe tillid og ensartede konkurrencevilkår i hele EU – men den stiller også store krav til danske ledere og iværksættere, der nu skal navigere i et komplekst regelsæt med bøder på op til 30 millioner euro eller 6 procent af den globale årsomsætning.

Fire risikokategorier: Fra forbud til fri leg

AI Act er bygget op som en risikobaseret model, der inddeler AI-systemer i fire kategorier. I bunden finder man minimal risiko, som omfatter stavekontrol og simple anbefalingsalgoritmer. Disse systemer er stort set uberørte af lovgivningen. Næste trin er begrænset risiko, hvor chatbots og AI-genereret indhold falder. Her stilles der krav om transparens: Brugere skal tydeligt informeres om, at de interagerer med en maskine og ikke et menneske. Det betyder konkret, at en dansk kommune, der implementerer en chatbot på sin hjemmeside, skal sikre, at borgerne ved, at de taler med et AI-system – ikke en sagsbehandler.

Mere vidtgående er kravene til højrisiko-AI. Det dækker systemer, der anvendes i rekruttering, kreditvurdering, sundhedsvæsen og andre følsomme områder. Virksomheder, der udvikler eller bruger sådanne systemer, skal gennemføre risikovurderinger, sikre datakvalitet, etablere menneskeligt tilsyn og opnå CE-mærkning. Det betyder konkret, at en dansk HR-afdeling, der bruger AI til at screene jobansøgninger, skal kunne dokumentere, at systemet ikke diskriminerer på baggrund af køn, alder eller etnicitet – og at der er en person, som kan gribe ind, hvis algoritmen træffer urimelige beslutninger. Kravene omfatter også løbende overvågning af systemets præstationer og tydelig teknisk dokumentation, som myndighederne kan kræve indsigt i.

Øverst i hierarkiet er uacceptabel risiko, som er direkte forbudt. Det omfatter social scoring, realtids biometrisk masseovervågning og AI, der udnytter sårbare grupper. Forbuddet trådte i kraft allerede i februar 2025 og sender et klart signal om, at visse anvendelser af AI ikke hører hjemme i et demokratisk samfund. For danske virksomheder betyder det, at systemer, der for eksempel vurderer borgeres adfærd for at tildele en social score, er ulovlige – uanset om de anvendes af private aktører eller offentlige myndigheder.

Generelle AI-modeller: ChatGPT og Gemini under lup

En særlig nyskabelse i AI Act er reguleringen af generelle AI-modeller – også kaldet GPAI – som ChatGPT, Gemini og lignende systemer. Fra den 2. august 2025 gælder der specifikke krav til udviklerne af disse modeller. De skal blandt andet levere omfattende teknisk dokumentation og overholde ophavsretsregler, når modellerne trænes på store mængder tekst og billeder fra internettet. Det betyder, at virksomheder bag GPAI skal kunne redegøre for, hvilke data der er brugt til træning, og hvordan de håndterer rettighedshavernes interesser.

Europa-Kommissionen har oprettet et nyt kontor, AI Office, som skal føre tilsyn med GPAI og de største platforme. Samtidig er det op til de nationale myndigheder at håndhæve reglerne lokalt. I Danmark er Digitaliseringsstyrelsen udpeget som koordinerende tilsynsmyndighed. Det betyder, at danske virksomheder, der bruger eller videreudvikler generelle AI-modeller, skal forholde sig til både EU-niveau og dansk praksis – en dobbelthed, der kan skabe udfordringer, hvis vejledningen ikke er præcis nok. For eksempel skal en dansk startup, der bygger en specialiseret sundhedsapp oven på en generel model som GPT-4, både forstå kravene til GPAI-udvikleren og de særlige højrisiko-krav, der gælder for sundhedssektoren.

Kritik og uklarheder: Bureaukrati eller nødvendig beskyttelse?

Loven er ikke kommet uden kritik. Brancheorganisationer og virksomheder peger især på uklarheder i lovgivningen, som skaber usikkerhed om, hvilke systemer der reelt er omfattet. Ifølge forsikrings- og pensionsbranchens interesseorganisation F&P er der en risiko for, at uklare regler fører til unødigt bureaukrati og administrative byrder for europæisk erhvervsliv – uden at det nødvendigvis øger beskyttelsen af borgerne. Kritikken går blandt andet på, at definitionen af højrisiko-AI er bred og åben for fortolkning, hvilket kan få virksomheder til at overimplementere compliance for at være på den sikre side.

For en dansk iværksætter, der udvikler et AI-baseret værktøj til sundhedssektoren, kan det være uklart, om produktet falder i højrisiko-kategorien eller ej. Skal man investere i omfattende compliance, eller er man fritaget? Den usikkerhed kan i værste fald bremse innovation og få virksomheder til at holde igen med at lancere nye løsninger. Omvendt argumenterer fortalere for, at klare regler – selv med indledende uklarheder – er bedre end slet ingen regler, fordi de skaber langsigtet tillid til teknologien. For danske virksomheder er det afgørende, at Digitaliseringsstyrelsen og EU’s AI Office hurtigt leverer konkrete fortolkningsbidrag og eksempler på, hvad der falder inden for og uden for lovens anvendelsesområde.

Konsekvenser for danske virksomheder: Compliance som konkurrenceparameter

For danske ledere og specialister er AI Act ikke blot et juridisk dokument – det er en strategisk udfordring. Virksomheder, der udvikler eller bruger højrisiko-AI, skal investere i risikovurderinger, dokumentation og medarbejdertræning. Faktisk er AI-færdigheder nu et lovkrav: Organisationer skal sikre, at medarbejdere, der arbejder med AI-systemer, har den nødvendige kompetence til at forstå og håndtere teknologien ansvarligt. Det gælder ikke kun tekniske specialister, men også ledere, HR-medarbejdere og andre, der træffer beslutninger baseret på AI-output.

Det betyder, at compliance ikke længere er en opgave for jurister alene. Det kræver tværfagligt samarbejde mellem tekniske teams, HR, ledelse og juridiske rådgivere. For mindre virksomheder kan det være en betydelig økonomisk byrde, mens større virksomheder kan have ressourcerne til at opbygge dedikerede compliance-funktioner. Uanset størrelse er konsekvensen den samme: AI-projekter skal fra starten tænke lovgivning ind i designet, ikke som en eftertanke. Det indebærer blandt andet, at man allerede i udviklingsfasen dokumenterer datakilder, risici og beslutningsprocesser, så systemet kan CE-mærkes og godkendes uden forsinkelser.

Set fra et dansk perspektiv er der dog også muligheder. Danmark har en stærk digital infrastruktur og en tradition for tillidsbaseret samarbejde mellem myndigheder og erhvervsliv. Hvis Digitaliseringsstyrelsen formår at levere klar og praktisk vejledning, kan danske virksomheder få en konkurrencefordel ved at være blandt de første til at implementere reglerne korrekt. Lovens succes afhænger i høj grad af, om tilsynsmyndighederne kan omsætte de overordnede principper til konkrete, anvendelige retningslinjer – uden at kvæle innovation i bureaukrati. For danske ledere, specialister og iværksættere handler det om at se AI Act som en ramme, der kan øge tilliden til deres produkter og dermed åbne nye markeder, frem for blot en byrde.

AI Act er ikke en statisk lov, men et rammeværk, der vil blive fortolket og justeret i de kommende år. For danske virksomheder gælder det om at følge udviklingen tæt, investere i kompetencer og indarbejde ansvarlig AI-praksis i forretningsmodellen. De, der formår at navigere i reglerne uden at miste innovationskraften, står bedst rustet til at udnytte teknologiens potentiale – inden for rammer, som både borgere og virksomheder kan have tillid til.