EU udskyder AI-regler: Virksomheder får mere tid til compliance

EU har politisk vedtaget en såkaldt AI-omnibus, der udskyder ikrafttrædelsen af centrale dele af den europæiske AI-forordning. Beslutningen, der faldt på plads den 7. maj 2026 efter måneders intensive forhandlinger, giver virksomheder mere tid til at forberede sig, men afslører samtidig, at de nødvendige tekniske standarder og vejledninger endnu ikke er udviklet. Udskydelsen rammer især reglerne for højrisiko-AI-systemer, der nu først træder i kraft den 2. december 2027 – over et år senere end den oprindelige deadline på 2. august 2026. Aftalen skal formelt godkendes af Europa-Parlamentet og Rådet inden 2. august 2026, inden den træder i kraft.

For danske ledere, specialister og iværksættere betyder beslutningen, at der er tid til at justere strategier og compliance-forberedelser, men også at usikkerheden om konkrete krav forbliver en udfordring. Natasha Friis Saxberg, CEO i IT-Branchen, har været en af de centrale aktører bag presset for udskydelsen. Hun understreger, at det "ikke er fair over for vores virksomheder" at skulle navigere i lovgivningen uden klare retningslinjer. "Vi kan ikke forvente, at virksomhederne skal gætte sig frem til, hvordan de overholder reglerne, når de nødvendige standarder mangler," lyder hendes kritiske pointer, der afspejler en bred frustration i branchen over den manglende klarhed.

Nye deadlines og de konkrete ændringer

Baggrunden for udskydelsen er, at EU endnu ikke har udviklet de tekniske standarder og vejledninger, som virksomhederne skal bruge for at implementere AI-forordningen korrekt. Uden disse rammer ville mange virksomheder stå over for en nærmest umulig opgave: at overholde lovkrav, der er for vagt formulerede til at blive sat i praksis. Udskydelsen gælder for flere centrale områder, men nogle regler er samtidig blevet rykket frem.

Her er de reviderede ikrafttrædelsesdatoer:

• 2. december 2026: Forbud mod AI-systemer, der genererer seksualiserende deepfakes uden samtykke samt materiale med overgreb mod børn. Samme dato træder mærkningskravet til AI-genereret indhold i kraft – en regel, der oprindeligt var planlagt til februar 2027, men nu er rykket frem for at sikre hurtigere gennemsigtighed.
• 2. december 2027 (tidligere 2. august 2026): Regler for højrisiko-AI-systemer, herunder systemer inden for kritisk infrastruktur, uddannelse, retshåndhævelse og biometri. Disse systemer skal opfylde strenge krav til sikkerhed, transparens og menneskelig kontrol.
• 2. august 2028 (tidligere 2. august 2027): Regler for AI-systemer, der indgår som sikkerhedselementer i sektorspecifik lovgivning. Dette omfatter blandt andet systemer, der integreres i eksisterende lovgivning om fx produkt- eller tjenestesikkerhed.

Udskydelserne afspejler en erkendelse af, at implementeringen af AI-forordningen kræver mere tid end oprindeligt antaget. Samtidig viser fremrykningen af mærkningskravet og forbuddet mod visse deepfakes, at EU prioriterer at få de mest akutte etiske og samfundsmæssige risici på plads hurtigst muligt.

Roller, ansvar og de manglende standarder

En af de største udfordringer for virksomhederne er at forstå, hvilken rolle de spiller i forhold til AI-forordningen. Organisationer som DI (Dansk Industri) og Dansk Erhverv har allerede påbegyndt rådgivning af virksomheder om, hvordan de skal definere sig som enten udbyder eller idriftsætter af AI-systemer. Skellet er afgørende, da det bestemmer, hvilke lovkrav der gælder for den enkelte virksomhed:

• Udbyder: En virksomhed, der udvikler, producerer eller markedsfører et AI-system under eget navn eller mærke. Udbydere har det primære ansvar for at sikre, at systemet overholder AI-forordningens krav, herunder risikovurderinger, dokumentation og overholdelse af tekniske standarder.
• Idriftsætter: En virksomhed, der bruger et AI-system i sin forretning, men ikke selv udvikler det. Idriftsættere skal sikre, at systemet bruges i overensstemmelse med udbyderens instruktioner og at eventuelle risici håndteres korrekt.

Ifølge Jakob Ellemann-Jensen, vicedirektør i Dansk Erhverv, og Sara Amini, group CIO i Atea, er den afgørende opgave for danske virksomheder dog ikke primært teknologisk, men ledelsesmæssig. I et synspunkt i Berlingske påpeger de, at "AI-feberen har ramt dansk erhvervsliv, men værdien ser ud til at udeblive". Deres budskab er klart: AI skal forankres i ledelsen og knyttes til konkrete forretningsopgaver, ikke blot overlades til it-afdelingerne. "Det handler om at identificere, hvor AI kan skabe reel værdi, og sikre, at implementeringen sker strategisk og med de rette kompetencer," lyder deres anbefaling.

Manglende standarder er fortsat en central barriere. For højrisiko-AI-systemer skal der udvikles detaljerede tekniske specifikationer for, hvordan systemerne skal designes, testes og dokumenteres. Uden disse specifikationer kan virksomhederne ikke vide, om deres løsninger lever op til lovkravene – og risikerer dermed at investere i compliance, der alligevel ikke holder. IT-Branchen og andre brancheorganisationer har gentagne gange peget på, at dette er en af de største udfordringer for virksomhederne i dag.

Reaktioner: Fra lettelse til globale advarsler

Udskydelsen er blevet modtaget med lettelse i store dele af erhvervslivet. IT-Branchen hilser beslutningen velkommen som et nødvendigt skridt mod at styrke EU's konkurrenceevne og reducere overlap i reguleringen. "Det giver virksomhederne den nødvendige tid til at forberede sig ordentligt og undgå at blive straffet for manglende klarhed fra EU's side," lyder det fra organisationen. De ser udskydelsen som en mulighed for at sikre, at implementeringen sker korrekt og uden unødvendige omkostninger for virksomhederne.

Men ikke alle er lige optimistiske. Mens EU arbejder på at finjustere sine regler, peger internationale aktører på mere fundamentale udfordringer. Dario Amodei, topchef i det amerikanske AI-selskab Anthropic, har i en separat udtalelse advaret om, at udviklingen af AI går så hurtigt, at menneskeheden risikerer at miste kontrollen. Han argumenterer for en global pause i udviklingen af avancerede AI-systemer, indtil der er etableret tilstrækkelige sikkerhedsforanstaltninger. "Hvis AI kan forbedre sig selv uden menneskelig indblanding, kan vi komme til et punkt, hvor vi ikke længere kan styre retningen," siger han. Amodeis advarsler understreger, at EU's udskydelse af reglerne ikke kun handler om praktiske implementeringsudfordringer, men også om en bredere, global debat om, hvordan samfundet skal håndtere en teknologi, der udvikler sig eksponentielt.

For danske virksomheder betyder dette, at de ikke kun skal forholde sig til EU's regulering, men også til den internationale diskussion om AI's fremtid. Mens EU's udskydelse giver mere tid til forberedelse, understreger Amodeis udtalelser behovet for at tænke langsigtet og globalt om AI's udvikling og regulering.

Hvad betyder det konkret for danske virksomheder?

For ledere betyder udskydelsen, at der er mere tid til at udvikle en strategisk tilgang til AI. Men tid er ikke det samme som frihed: Compliance-forberedelserne bør startes nu, især fordi nogle regler – som mærkningskravet – træder i kraft allerede i december 2026. Ledelsen skal sikre, at AI integreres i forretningsmodellerne på en måde, der skaber værdi, snarere end at blive en isoleret it-opgave. Det kræver, at AI-projekter forankres i ledelsen og knyttes til konkrete forretningsmål, som fx effektivisering, innovation eller nye indtægtskilder.

For specialister – herunder jurister, compliance-medarbejdere og it-eksperter – er det afgørende at forstå de nye roller og ansvar. Virksomhederne skal klart definere, om de er udbydere eller idriftsættere, og sikre, at de overholder de respektive krav. Derudover skal de forberede sig på mærkningskravet, der snart bliver en realitet. Dette kræver blandt andet, at virksomhederne udvikler processer til at identificere og mærke AI-genereret indhold, så det er tydeligt for brugerne, når de interagerer med AI-systemer.

For iværksættere og SMV'er åbner udskydelsen muligheden for at udnytte regulatoriske sandkasser og udvidede undtagelser, der kan lette adgangen til markedet. Disse initiativer er designet til at give mindre virksomheder rum til at teste og udvikle AI-løsninger uden at blive overvældet af lovkrav. Sandkasserne giver virksomhederne mulighed for at eksperimentere med AI under kontrollerede forhold og dermed reducere risikoen for at overtræde reglerne, mens de stadig er i udviklingsfasen.

Uanset virksomhedstypen er budskabet klart: Udskydelsen er en midlertidig lettelse, men ikke en undskyldning for at udsætte forberedelserne. EU's AI-forordning vil komme – og når den gør, vil de virksomheder, der har brugt den ekstra tid fornuftigt, være bedst rustede til at navigere i det nye regulatoriske landskab. For danske virksomheder handler det om at balancere mellem at udnytte den ekstra tid til strategisk forberedelse og samtidig sikre, at de er klar til at overholde de første deadlines allerede i december 2026.