Kun 28 procent af danske virksomheder klar til EU's AI-regler

Den 2. august 2026 træder de mest omfattende krav i EU's AI-forordning i kraft for højrisiko-AI-systemer. Men allerede nu er flere centrale forpligtelser gældende, og en ny undersøgelse fra DI Digital viser, at kun 28 procent af danske virksomheder har en compliance-plan. Det efterlader et stort flertal i en risikabel position, hvor bøder på op til 35 millioner euro eller syv procent af den globale omsætning kan blive realiteten.

AI-forordningen, der trådte i kraft 1. august 2024, er verdens første omfattende lovgivning om kunstig intelligens. Den gælder direkte i Danmark og omfatter alle virksomheder, der bruger eller udbyder AI-systemer i EU – ikke kun tech-giganter. For danske ledere, specialister og iværksættere betyder det, at AI ikke længere er et rent teknologisk anliggende, men et juridisk og organisatorisk ansvar, der kræver handling nu.

Risikobaseret ramme: Fra forbud til højrisiko

Forordningen inddeler AI-systemer i fire risikokategorier: uacceptabel risiko, høj risiko, begrænset risiko og minimal risiko. Forbuddet mod uacceptabel risiko, som omfatter social scoring og visse former for biometrisk overvågning, trådte i kraft 2. februar 2025. Det betyder, at sådanne systemer allerede er ulovlige at markedsføre, tage i brug eller anvende i EU.

Artikel 4 om AI-kompetence har været gældende siden 2. august 2025, og kravene til højrisiko-AI-systemer træder i kraft 2. august 2026. Højrisikoanvendelser omfatter blandt andet AI-systemer inden for rekruttering, kreditvurdering og sundhed. Virksomheder med sådanne systemer skal foretage en konformitetsvurdering, registrere systemet i EU's database, sikre menneskeligt opsyn og etablere løbende overvågning. Det er en markant skærpelse i forhold til hidtidig praksis, hvor mange AI-løsninger blev implementeret uden systematisk risikovurdering.

Danske tilsyn og sanktioner: Hvad står på spil?

I Danmark koordinerer Datatilsynet og Erhvervsstyrelsen tilsynet med AI-forordningen. Datatilsynet har ansvaret for AI-systemer, der behandler persondata, hvilket dækker en meget stor del af de anvendelser, danske virksomheder benytter. Det betyder, at den eksisterende GDPR-infrastruktur og de databeskyttelsesansvarlige får en central rolle i den nye regulering.

Sanktionerne er markante. Overtrædelse af forbuddet mod uacceptabel AI kan medføre bøder på op til 35 millioner euro eller syv procent af den globale årsomsætning. Overtrædelse af kravene til højrisiko-AI eller Artikel 4 kan udløse bøder på op til 15 millioner euro eller tre procent af omsætningen. DI Digitals undersøgelse fra 2025 viser, at kun 28 procent af danske virksomheder har en compliance-plan. Det skaber ikke blot en betydelig økonomisk risiko, men også en risiko for tab af tillid hos kunder, samarbejdspartnere og myndigheder.

AI-kompetence: Artikel 4 er allerede i kraft

En af de mest oversete forpligtelser er Artikel 4, som har været gældende siden 2. august 2025. Den kræver, at alle virksomheder, der bruger AI-systemer, sikrer, at deres personale har tilstrækkelig AI-kompetence. Det omfatter teknisk forståelse, praktisk anvendelse og etisk bevidsthed om AI-systemernes muligheder og begrænsninger.

Kravet gælder uanset risikoniveau – også for virksomheder, der kun anvender AI i begrænset omfang. Mange danske organisationer har endnu ikke forholdt sig til dette, fordi fokus har været på de kommende højrisiko-krav. Men Artikel 4 er en selvstændig forpligtelse, der kan udløse bøder på op til 15 millioner euro eller tre procent af omsætningen ved overtrædelse. Det er derfor ikke længere nok at have en AI-politik på papiret; medarbejderne skal reelt kunne forstå og håndtere de AI-systemer, de arbejder med.

Handlingsplan for danske virksomheder

For danske ledere, specialister og iværksættere er det afgørende at handle nu. AI-forordningen supplerer GDPR, og virksomheder bør integrere AI-compliance i deres eksisterende databeskyttelsesrammer frem for at opbygge parallelle systemer. En konkret handlingsplan bør omfatte følgende trin:

• Kortlægning af AI-brug: Identificer alle AI-systemer, virksomheden anvender eller udbyder, og vurder deres risikokategori.
• Etablering af AI-politik: Formuler klare retningslinjer for ansvarlig brug, datahåndtering og menneskeligt opsyn.
• Gennemførelse af uddannelse: Sørg for, at alle relevante medarbejdere opfylder kravene i Artikel 4 om AI-kompetence.
• Løbende governance: Etabler processer for overvågning, opdatering og dokumentation af AI-systemer, så compliance ikke bliver en engangsøvelse.

Virksomheder, der allerede har et modent GDPR-setup, kan genbruge mange elementer: datastrømskortlægning, risikovurderinger og dokumentationspraksis. Men AI-forordningen stiller skærpede krav til teknisk forståelse og løbende kontrol, som kræver dedikerede ressourcer og ledelsesmæssig opbakning.

Med 2. august 2026 i horisonten er der ingen tid at spilde. Virksomheder, der handler nu, kan ikke blot undgå bøder, men også opbygge tillid hos kunder og partnere. AI-forordningen er ikke en teknisk detalje, men en strategisk nødvendighed for enhver organisation, der ønsker at bruge AI ansvarligt i EU.