AI-forordningen artikel for artikel, for jer der bruger AI uden at bygge det

Bruger I ChatGPT, Copilot eller et AI-værktøj, I har købt, er I det, AI-forordningen (EU AI Act) kalder idriftsætter. For jer er det især fire artikler, der tæller: artikel 4 om AI-færdigheder, artikel 5 om forbud, artikel 26 om brug af højrisiko-AI og artikel 50 om mærkning. Resten af loven handler mest om dem, der bygger AI. Her er de artikler, der rammer jer, med datoerne.

Hovedpointer

• De fleste danske virksomheder er idriftsættere. Deres pligter er færre og lettere end udbydernes, altså dem, der bygger AI.
• Artikel 4 (AI-færdigheder) og artikel 5 (forbud) gælder fra 2. februar 2025. Artikel 50 (gennemsigtighed og mærkning) gælder fra 2. august 2026.
• Kravene til højrisiko-AI gælder fra 2. december 2027 (bilag III) og 2. august 2028 (bilag I). Om jeres brug er højrisiko, afgøres af formålet, fx at sortere jobansøgere.
• Tabellen nedenfor viser alle datoerne med en kolonne om, hvad hver dato betyder for en virksomhed på 20 mand, der bruger AI uden at bygge det.

Indholdsfortegnelse

• Er I udbyder eller idriftsætter?
• Hvornår gælder hvad? Tidslinjen for AI-forordningen (EU AI Act)
• Artikel for artikel: de bestemmelser, der rammer jer
• Hvilke dele af loven kan I springe over?
• Hvem fører tilsyn i Danmark?
• Hvad gør en virksomhed på 20 mand mandag morgen?

Er I udbyder eller idriftsætter?

AI-forordningen fordeler pligterne efter rolle. En udbyder udvikler et AI-system eller sætter det på markedet under eget navn. En idriftsætter bruger et AI-system i sit arbejde (artikel 3, nr. 3 og 4). Begge ord er de officielle danske betegnelser; på engelsk hedder de provider og deployer.

Køber I adgang til ChatGPT, Copilot, Claude eller et HR-system med AI indbygget, er I idriftsætter. Det gælder også, når I skriver jeres egne prompts, opsætter en assistent i Copilot eller kobler værktøjet på jeres egne dokumenter.

Artikel 25 nævner tre situationer, hvor en idriftsætter bliver udbyder af et højrisiko-system og overtager udbyderens pligter: I sætter jeres eget navn eller varemærke på et højrisiko-system, I ændrer et højrisiko-system væsentligt, eller I tager et almindeligt AI-system i brug til et formål, der gør det til højrisiko. Det sidste er det, en lille virksomhed skal holde øje med. Bruger I en generel chatbot til at score jobansøgere, har I selv flyttet den ind i højrisiko.

Rent privat brug er uden for loven (artikel 2, stk. 10).

Hvornår gælder hvad? Tidslinjen for AI-forordningen (EU AI Act)

AI-forordningen er forordning (EU) 2024/1689 og gælder i etaper. Datoerne nedenfor er hentet hos Digitaliseringsstyrelsen og på styrelsens side om AI-omnibussen, som ændrede flere af datoerne med forordning (EU) 2026/1744 (EUR-Lex).

Vi har skrevet sidste kolonne for en tænkt virksomhed: 20 ansatte, bruger Copilot og ChatGPT til tekst og mails, har en chatbot på hjemmesiden og et rekrutteringsværktøj med AI. Den bygger ingen AI selv.

Kopiér tabellen ind i jeres AI-politik eller jeres årshjul, og tilføj en kolonne med navnet på den, der er ansvarlig.

Artikel for artikel: de bestemmelser, der rammer jer

Artikel 4: AI-færdigheder

Udbydere og idriftsættere skal træffe foranstaltninger, der understøtter AI-færdighederne hos deres personale og andre, der bruger AI på deres vegne. Kravet gælder fra 2. februar 2025, og fra 27. juli 2026 er det et indsatskrav: I skal kunne vise, hvad I har gjort, og der kræves ikke et bestemt niveau hos den enkelte medarbejder (Digitaliseringsstyrelsen om AI-omnibussen).

For 20 mand er det typisk en indføring på en time eller to: hvad værktøjerne kan og ikke kan, hvilke data der ikke må lægges ind, og hvem man spørger. Skriv dato og deltagere ned. Hvordan I dokumenterer det, står i artiklen om AI-færdigheder efter artikel 4.

Artikel 5: forbudte former for AI-praksis

Forbuddene gælder fra 2. februar 2025 og omfatter blandt andet social scoring, manipulation, der udnytter sårbarhed, og følelsesgenkendelse på arbejdspladser og uddannelsesinstitutioner (undtaget er medicinske og sikkerhedsmæssige formål). To nye forbud mod AI, der laver seksualiserende deepfakes eller materiale med seksuelt misbrug af børn, gælder fra 2. december 2026 (Digitaliseringsstyrelsen).

Det punkt, en almindelig virksomhed kan ramme ved et uheld, er følelsesgenkendelse. Nogle værktøjer til kundeservice og møder tilbyder at analysere stemning i stemme eller ansigt. Bruges det på jeres egne medarbejdere, er det forbudt.

Artikel 6 og bilag III: hvornår bliver jeres brug højrisiko?

Et AI-system er højrisiko efter bilag III, når det bruges på bestemte områder, blandt andet ansættelse og forvaltning af medarbejdere, adgang til uddannelse, kreditvurdering af privatpersoner og adgang til offentlige ydelser. Det er formålet, der afgør det: et værktøj, der sorterer ansøgere fra, før et menneske har læst dem, er højrisiko, mens ChatGPT, der hjælper med at skrive jobopslaget, falder uden for bilag III.

Kravene gælder fra 2. december 2027 for bilag III og 2. august 2028 for bilag I (Digitaliseringsstyrelsen). Vil I placere jeres egne værktøjer, så brug risikoklassificering i praksis.

Artikel 26: idriftsætterens pligter ved højrisiko-AI

Det er den artikel, der er skrevet til jer. Bruger I et højrisiko-system, skal I efter artikel 26:

• bruge systemet efter udbyderens brugsanvisning
• give tilsynet til medarbejdere, der har kompetencen, oplæringen og myndigheden til at gribe ind
• sørge for, at de data, I selv lægger ind, er relevante for formålet
• holde øje med, at systemet virker efter hensigten, og give udbyderen besked, hvis det ikke gør
• gemme de logfiler, systemet laver, i mindst seks måneder, i det omfang I har adgang til dem
• informere medarbejderrepræsentanter og de berørte medarbejdere, før et højrisiko-system tages i brug på arbejdspladsen
• informere de personer, der får en afgørelse, som systemet har været med til, fx ansøgere

Pligterne gælder sammen med højrisiko-kravene fra 2. december 2027. Meget af det er dokumentation, I skal have fra leverandøren, og den samtale er beskrevet i artiklen om krav til leverandører, der bruger AI.

Artikel 27: konsekvensanalyse for grundlæggende rettigheder

Analysen gælder for offentlige myndigheder, private, der leverer offentlige ydelser, og dem, der bruger højrisiko-AI til kreditvurdering eller prisfastsættelse af livs- og sygeforsikring. Kommuner, regioner og styrelser er altså omfattet, når de bruger højrisiko-AI, mens en privat virksomhed på 20 mand uden for de områder ikke er. Har I allerede lavet en konsekvensanalyse efter GDPR, kan I henvise til den (artikel 27, stk. 4, som ændret ved forordning (EU) 2026/1744).

Artikel 50: gennemsigtighed og mærkning

Artiklen gælder fra 2. august 2026 og har fire situationer:

1. Et AI-system, der taler med mennesker, skal fortælle, at det er en maskine. Pligten ligger formelt hos udbyderen, men det er jeres hjemmeside, og det er jer, der ser, om chatbotten gør det.
2. Udbydere af AI, der laver billeder, lyd, video eller tekst, skal mærke resultatet maskinlæsbart. For systemer, der var på markedet før 2. august 2026, gælder det fra 2. december 2026.
3. Bruger I følelsesgenkendelse eller biometrisk kategorisering, skal de berørte informeres.
4. Udgiver I deepfakes, altså billeder, lyd eller video, der ligner virkelige personer, steder eller begivenheder, skal det fremgå, at de er lavet med AI. Det samme gælder AI-genereret tekst, der udgives for at informere offentligheden om forhold af offentlig interesse, medmindre et menneske har gennemgået den og har det redaktionelle ansvar.

Punkt 1 og 4 er jeres. Punkt 2 er udbyderens, og det er den tekniske mærkning, der er forklaret i artiklen om AI-vandmærke, C2PA og SynthID. Hvordan I mærker i praksis, står i guiden til mærkning af AI-genereret indhold efter artikel 50, og chatbotten er gennemgået i artiklen om oplysningspligt, når AI møder kunden.

Artikel 99: bøder

Forordningen sætter tre lofter: op til 35 millioner euro eller 7 procent af den globale årsomsætning for at bruge forbudt AI, op til 15 millioner euro eller 3 procent for at overtræde blandt andet idriftsætterens pligter og artikel 50, og op til 7,5 millioner euro eller 1 procent for at give myndighederne forkerte oplysninger. For SMV'er gælder det laveste af de to beløb (forordning (EU) 2024/1689, artikel 99 på EUR-Lex). Beløbene er lofter, og bøden fastsættes i den konkrete sag.

Hvilke dele af loven kan I springe over?

Langt det meste af forordningen handler om udbydere, og det kan en virksomhed, der kun bruger AI, lade ligge:

• Artikel 8 til 22: udbyderens krav til højrisiko-systemer, blandt andet risikostyring, teknisk dokumentation og CE-mærkning.
• Kapitel V: regler for AI-modeller til almen brug. De gælder dem, der laver modellerne.
• Kapitel VI (artikel 57 til 63): regulatoriske sandkasser, afprøvning under faktiske forhold og støtte til innovation.
• Bilag I: produkter, der i forvejen er reguleret, fx maskiner og medicinsk udstyr.

Det ændrer sig kun, hvis artikel 25 gør jer til udbyder, se afsnittet om roller øverst.

Hvem fører tilsyn i Danmark?

Digitaliseringsstyrelsen er national koordinerende tilsynsmyndighed, og tilsynet er sektorbaseret, så det kan være en anden myndighed, der fører tilsyn på jeres område (Digitaliseringsstyrelsen om tilsyn). Reglerne for AI-modeller til almen brug håndhæves af Europa-Kommissionen og ikke nationalt.

Overlapper jeres AI-brug med persondata, og det gør den næsten altid, gælder GDPR ved siden af. Det er gennemgået i tryghedsguiden om AI og GDPR.

Hvad gør en virksomhed på 20 mand mandag morgen?

Tre ting dækker det meste af det, artiklerne ovenfor kræver af en idriftsætter:

1. Lav listen over jeres AI-værktøjer, også dem medarbejderne har fundet selv. Skriv for hvert værktøj, hvad det bruges til. Det er formålet, der afgør, om noget er højrisiko. En færdig opstilling findes i værktøjslisten med grøn, gul og rød.
2. Giv og dokumentér indføringen efter artikel 4, og tjek chatbot og billeder efter artikel 50.
3. Saml beslutningerne i én AI-politik, så de står ét sted og kan vises frem. Udgangspunktet kan være AI-politik: skabelon og eksempel, og har I allerede et udkast, gør vi AI-politikken færdig til fast pris.

Bruger I et rekrutteringsværktøj eller et andet system fra bilag III, så tag samtalen med leverandøren om dokumentation og logning i god tid før 2. december 2027.

Artiklen er et arbejdsredskab og ikke juridisk rådgivning. Datoerne er kontrolleret hos Digitaliseringsstyrelsen 30. oktober 2026 og afspejler forordning (EU) 2026/1744 (EUT L, 24. juli 2026).

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har undervist hos Bigum&Co i mere end 10 år og har siden 2024 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og SMV’er på Bornholm via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.