EU AI Act: Hvad betyder reglerne for din virksomhed? 

EU AI Act er EU’s nye regelsæt for kunstig intelligens. Den handler ikke kun om dem, der udvikler AI, men også om dem, der bruger AI i praksis. For virksomheder betyder det, at AI ikke længere kun er et spørgsmål om effektivitet og innovation. Det er også et spørgsmål om, hvilke AI-løsninger der er forbudte, hvilke der kræver dokumentation og kontrol, og hvornår man skal være åben om, at AI er involveret. AI Act trådte i kraft 1. august 2024, nogle regler gælder allerede, og den næste store milepæl er 2. august 2026. 

Hvad er EU AI Act? 

AI Act bygger på en risikobaseret model. Det betyder, at EU ikke behandler al AI ens. Nogle anvendelser er så problematiske, at de er forbudt. Andre må bruges, men kun hvis virksomheden kan dokumentere, at systemet er under kontrol. Og for andre typer AI er der især krav om gennemsigtighed. EU-Kommissionen beskriver modellen som forskellige risikoniveauer, hvor kravene skærpes, jo større risiko AI’en indebærer. 

I praksis kan man forstå AI Act gennem fire hovedspor: 

• Forbudte AI-praksisser  

• Højrisiko-AI  

• Transparenskrav  

• General-purpose AI-modeller 
  

Disse regler gælder allerede 

Fra 2. februar 2025 

Fra 2. februar 2025 begyndte reglerne om forbudte AI-praksisser og AI-literacy at gælde. Det betyder, at nogle AI-anvendelser allerede nu er direkte ulovlige, og at virksomheder samtidig skal sikre, at relevante medarbejdere har en tilstrækkelig forståelse for den AI, de bruger. 

Forbudte AI-praksisser er AI-anvendelser, som EU vurderer er uacceptable. Det gælder blandt andet visse manipulerende systemer, social scoring og nogle biometriske anvendelser. For virksomheder betyder det helt konkret, at nogle former for AI-brug ikke bare er risikable eller uheldige. De må slet ikke anvendes. 

AI-literacy betyder, at virksomheder, der udvikler eller bruger AI, skal sikre et tilstrækkeligt niveau af forståelse hos de medarbejdere og andre personer, der arbejder med AI på virksomhedens vegne. Det handler ikke bare om at kunne bruge et værktøj. Det handler også om at forstå systemets begrænsninger, risici og den konkrete kontekst, det bruges i. EU-Kommissionen understreger, at dette skal tilpasses personernes tekniske viden, erfaring, uddannelse og den måde, AI’en anvendes på.

Fra 2. august 2025 

Fra 2. august 2025 begyndte governance-reglerne og reglerne for general-purpose AI-modeller at gælde. Det er især vigtigt, fordi AI Act her begynder at handle mere om styring, ansvar og de brede modeller bag mange moderne AI-værktøjer. 

Governance kan bedst oversættes til styring og ansvar. Hvem ejer overblikket? Hvem vurderer risiko? Hvem beslutter, hvordan AI må bruges? Når governance-reglerne gælder, betyder det i praksis, at AI-brug ikke bør være noget, der opstår tilfældigt rundt omkring i organisationen uden ejerskab, rammer og opfølgning. For virksomheder handler det derfor om at få styr på roller, ansvar og interne processer omkring AI. 

General-purpose AI-modeller er brede AI-modeller, som kan bruges til mange forskellige opgaver, fx tekst, billeder, analyse eller kode. Mange generative AI-værktøjer bygger på netop disse modeller. Reglerne retter sig især mod dem, der stiller modellerne til rådighed, og de handler mere konkret om dokumentation, transparens og ophavsret. Udbydere skal blandt andet kunne beskrive modellen teknisk, stille relevant information til rådighed for dem, der bygger videre på den, have en politik for at overholde EU’s ophavsret og offentliggøre et tilstrækkeligt detaljeret resumé af det indhold, der er brugt til træning. For de mest avancerede modeller med systemisk risiko gælder der desuden skærpede krav om risikovurdering, testning, incident reporting og sikkerhedsforanstaltninger. For almindelige virksomheder betyder det ikke, at de får de samme pligter som modeludbyderne, men de bør vide, hvilke modeller og leverandører deres værktøjer bygger på. 

Hvad gælder fra 2. august 2026? 

2. august 2026 er den store milepæl, fordi AIAct her bliver bredt anvendelig, bortset fra visse højrisikosystemer i regulerede produkter, som først får frist 2. august 2027. For mange virksomheder er det her, AI Act for alvor går fra noget, man bør kende til, til noget man aktivt skal kunne forholde sig til i drift og ledelse.  

For det første bliver transparenskravene mere mærkbare. Hvis kunder eller andre interagerer med visse AI-systemer, skal det være tydeligt, at der er tale om AI. Det samme gælder visse former for AI-genereret eller manipuleret indhold, herunder deepfakes. Transparens handler derfor i praksis om, at man ikke må lade AI fremstå som noget andet, end det er. 

For det andet bliver kravene til højrisiko-AI mere konkrete. Hvis en virksomhed bruger AI i følsomme områder som rekruttering, kredit, uddannelse eller andre beslutninger med stor betydning for mennesker, skal systemerne leve op til strengere krav om dokumentation, kontrol, risikostyring og menneskeligt tilsyn. Det er den del af AI Act, der rammer hårdest, når AI bruges i forretningskritiske eller personfølsomme processer. 

For det tredje stiger kravet til internt overblik. Virksomheder bør derfor allerede nu få kortlagt, hvilke AI-værktøjer der bruges, hvem der bruger dem, hvad de bruges til, hvilke data der behandles, og hvem der har ansvaret for dem. Uden det overblik bliver det svært at vurdere, hvor der er risiko, hvor der kan opstå krav om transparens, og hvor AI bruges i processer, der kræver tættere kontrol. Det er grundlaget for at kunne bruge AI ansvarligt og med kontrol. 

Hvad betyder det konkret for virksomheder? 

For de fleste virksomheder betyder AI Act først og fremmest, at AI-brug skal vurderes mere bevidst end i dag. Det afgørende spørgsmål er ikke, om I “arbejder med AI” i bred forstand. Det afgørende er, om AI i jeres virksomhed påvirker mennesker, beslutninger eller indhold. Bruger I AI i HR, kundedialog, analyse, automatisering eller indholdsproduktion, er AI Act relevant at forholde sig til. Jo tættere AI kommer på vurderinger, prioriteringer eller kommunikation udadtil, desto vigtigere bliver det at have styr på reglerne. 

Det bedste sted at starte er derfor ikke jura, men overblik: 

• Hvilke AI-værktøjer bruger vi i dag?  

• Hvor påvirker de mennesker, kunder eller beslutninger?  

• Har vi forklaret medarbejderne, hvordan de må bruges?  

• Har vi et tilstrækkeligt niveau af AI-literacy?  

• Er det tydeligt, hvem der har ansvaret?  

Hvis de spørgsmål ikke kan besvares klart, er det dér arbejdet bør begynde. 

Har I ikke allerede overblik over, hvor AI bruges i virksomheden, er det et oplagt sted at starte. Det giver et stærkere udgangspunkt frem mod august 2026. Både i forhold til compliance, styring og tillid.