EU's AI-regulering tvinger danske virksomheder til hurtig compliance

Danske virksomheder står over for et markant skifte i måden, de må udvikle og anvende kunstig intelligens på. EU’s AI-forordning – den såkaldte AI Act – træder gradvist i kraft frem mod 2027, og den vil få direkte betydning for alt fra HR-afdelingers brug af automatiseret kandidatscreening til produktudvikling i danske tech-virksomheder. Mens nogle brancheorganisationer kalder den kommende regulering for et nødvendigt værn mod uigennemsigtige algoritmer, ser andre den som en potentiel hæmsko for innovation og konkurrenceevne. Fælles for begge positioner er, at reguleringen ikke længere kan ignoreres: Den er en konkret compliance-opgave, som danske virksomheder skal forberede sig på allerede nu.

Et risikobaseret system med direkte konsekvenser for HR

AI Act indfører et risikobaseret system, hvor visse anvendelser af kunstig intelligens bliver forbudt, andre underlægges strenge krav til gennemsigtighed, dokumentation og menneskeligt tilsyn, og en tredje kategori får begrænsede forpligtelser. For danske virksomheder – særligt SMV’er, der udgør rygraden i dansk erhvervsliv – kan det betyde nye administrative byrder, men også en chance for at opbygge troværdighed hos kunder og samarbejdspartnere.

Dansk Industri har i sine vejledninger til HR-området understreget, at virksomheder, der bruger AI til rekruttering, performancevurdering eller medarbejderovervågning, skal være særligt opmærksomme, fordi disse anvendelser falder i kategorien “høj risiko”. Det betyder konkret, at HR-afdelinger, der bruger AI til at screene jobansøgninger eller vurdere medarbejderes præstationer, skal leve op til særlige krav om datakvalitet, dokumentation, menneskeligt tilsyn og gennemsigtighed over for de berørte personer. Dansk Industri har i sine nyhedsbreve om personalejura fremhævet, at virksomheder bør kortlægge deres AI-systemer nu for at identificere, hvilke der falder i højrisikokategorien. Det gælder ikke kun store koncerner; også mindre virksomheder, der køber AI-løsninger fra tredjepartsleverandører, kan blive omfattet, hvis de anvender systemerne i højrisikosammenhænge.

Baggrund: Fra danske anbefalinger til bindende EU-lovgivning

Allerede i februar 2024 præsenterede en dansk ekspertgruppe en række anbefalinger til regulering af kunstig intelligens, men regeringen gjorde det klart, at det egentlige lovarbejde skulle ske i EU-regi. Denne tilgang har præget den danske debat lige siden: Danmark har valgt at lægge sig tæt op ad EU’s linje frem for at udvikle en særskilt national AI-lovgivning. Det betyder, at danske virksomheder i praksis skal navigere efter den samme forordning som deres europæiske konkurrenter, hvilket skaber ensartede vilkår, men også begrænser muligheden for nationale særregler.

AI Act blev vedtaget i EU i 2024 og indeholder en trinvis implementeringsplan. Forbud mod uacceptabel AI-praksis – eksempelvis social scoring og manipulerende systemer – træder i kraft først, mens kravene til højrisiko-systemer følger senere. I maj 2026 indgik EU’s medlemslande en ny aftale, som Dansk Erhverv beskrev som “et vigtigt pusterum for erhvervslivet”. Aftalen indebar justeringer af implementeringsfristerne og en præcisering af, hvilke virksomheder der falder ind under de strengeste krav. For mange danske virksomheder betyder det, at de får længere tid til at tilpasse sig, men også at de skal følge udviklingen tæt, da detaljerne i forordningen stadig bliver fortolket og udmøntet i praksis.

Krav til udviklere og reaktioner fra erhvervslivet

For udviklere af AI-systemer – herunder danske startups og scaleups – stiller forordningen krav om teknisk dokumentation, risikostyring og overvågning efter markedslancering. Det kan øge omkostningerne ved at bringe nye AI-produkter på markedet, men det kan også fungere som et kvalitetsstempel, der adskiller seriøse aktører fra useriøse. Radner, en dansk rådgivningsvirksomhed med fokus på forretningsinnovation, har påpeget, at reguleringen ikke nødvendigvis er en bremseklods for innovation, men snarere en ramme, der tvinger virksomheder til at tænke etik, sikkerhed og ansvarlighed ind i produktudviklingen fra starten. Det kan i sidste ende styrke tilliden til danske AI-løsninger på det europæiske marked.

Reaktionerne på EU’s AI-regulering spænder vidt blandt danske interesseorganisationer. Dansk Erhverv har været blandt de mest markante stemmer i debatten og kaldte maj-aftalen i EU for et nødvendigt pusterum. Organisationen har argumenteret for, at alt for stramme og hurtigt implementerede krav ville ramme danske virksomheders konkurrenceevne, særligt i forhold til aktører uden for EU, der ikke er underlagt de samme regler. Dansk Industri har indtaget en mere pragmatisk position og fokuseret på at vejlede medlemsvirksomhederne om, hvordan de konkret skal forberede sig på de nye krav, især inden for HR-området, hvor konsekvenserne for den enkelte medarbejder kan være store.

På den anden side har flere eksperter og debattører peget på, at den danske regerings linje – at overlade reguleringen til EU – kan efterlade et hul i forhold til nationale særhensyn. Jannik Hansen, der følger AI-området tæt, har noteret sig, at danskernes krav om regulering af generativ AI – eksempelvis chatbots og billedgeneratorer – ikke nødvendigvis bliver fuldt ud imødekommet af EU-forordningen, fordi den primært fokuserer på risikobaserede anvendelser snarere end på teknologien i sig selv. Det rejser spørgsmålet, om danske virksomheder kan forvente yderligere nationale krav i fremtiden, eller om EU-lovgivningen vil stå alene som det primære regulatoriske værktøj.

Fremtidsudsigt: Forberedelse er en konkurrencefordel

For danske virksomheder er det afgørende at begynde forberedelserne nu, selvom de strengeste krav først træder i kraft om flere år. Det indebærer først og fremmest en kortlægning af, hvor og hvordan kunstig intelligens anvendes i organisationen. Dernæst bør virksomheder vurdere, hvilke systemer der falder i højrisikokategorien, og hvilke dokumentations- og tilsynskrav der følger med. Dansk Industri anbefaler, at HR-afdelinger etablerer klare retningslinjer for brugen af AI i personalesager, herunder hvordan beslutninger træffes, og hvordan medarbejdere informeres om automatiseret behandling.

Samtidig bør danske virksomheder følge den løbende fortolkning af AI Act tæt. EU’s medlemslande arbejder fortsat på at præcisere, hvordan forordningen skal håndhæves, og hvilke nationale myndigheder der får ansvaret for tilsynet. I Danmark er det endnu ikke endeligt afklaret, hvilken myndighed der skal føre tilsyn med AI-systemer, men det forventes at blive en opgave for flere eksisterende tilsynsorganer snarere end en ny dedikeret AI-myndighed. Det kan skabe en fragmenteret tilsynsstruktur, som virksomheder skal navigere i.

Det mest sandsynlige scenarie er, at dansk AI-regulering i al væsentlighed vil følge EU’s linje, og at virksomheder, der forbereder sig på AI Act, samtidig forbereder sig på de nationale krav, der måtte følge. For dem, der formår at integrere compliance i deres innovationsprocesser, kan reguleringen blive en konkurrencefordel snarere end en byrde. Men det kræver, at ledelsen prioriterer området nu – ikke når de første bøder eller påbud begynder at dukke op.