96% af store danske virksomheder bruger allerede AI. Alligevel har de færreste et klart billede af, hvilke regler der faktisk gælder for den brug.
EU har vedtaget en samlet lovgivning for kunstig intelligens, og den gælder også for jer. Ikke kun for tech-giganter i Silicon Valley. Denne artikel giver dig det overblik, du har brug for, uden jura-sprog og uden panik. Vil du se det fulde juridiske landskab for AI i danske organisationer, kan du starte med vores komplette guide til AI, jura og corporate compliance.
Indholdsfortegnelse
- Hvad er EU AI Act?
- Gælder EU AI Act for min virksomhed?
- Hvad er forskellen på provider og deployer?
- 3 konkrete skridt du kan tage nu
Hvad er EU AI Act?
EU AI Act er EU's samlede regelsæt for, hvordan kunstig intelligens må udvikles og bruges. Tænk på det som en slags færdselslov for AI. Ligesom færdselsloven ikke forbyder biler, men stiller krav til, hvordan de skal bygges og køres, stiller AI-forordningen krav til, hvordan AI-systemer skal designes, testes og anvendes.
Loven er bygget op omkring én central idé: Jo større risiko et AI-system udgør for mennesker, jo strengere regler gælder der. Det kaldes "risikotrappen", og den har fire trin:
Trin 1 – Uacceptabel risiko: Forbudt
AI-systemer, der er direkte forbudte. Det gælder bl.a.:
- Social scoring, hvor borgere rangeres efter adfærd, som myndighederne derefter bruger til at begrænse rettigheder
- Ansigtsgenkendelses-databaser opbygget ved masseovervågning af offentlige rum
- AI, der manipulerer menneskers adfærd via ubevidste teknikker, fx ved at udnytte psykologiske svagheder
Bruger I systemer i denne kategori, er det ikke et compliance-spørgsmål. Det er et forbud.
Trin 2 – Højrisiko: Skrappe krav
AI-systemer, der bruges i sammenhænge, der kan påvirke menneskers liv, rettigheder eller sikkerhed væsentligt. Eksempler der er direkte relevante for danske virksomheder:
- CV-screening og rekrutteringssystemer
- Kreditvurdering og lånebeslutninger
- Medicinsk diagnostik og triagering
- AI brugt i uddannelse til at vurdere elever
- AI i kritisk infrastruktur som energi og transport
Her gælder krav om: teknisk dokumentation, risikovurdering inden ibrugtagning, menneskelig kontrol med afgørelser, registrering i en EU-database og løbende overvågning efter udrulning.
Trin 3 – Begrænset risiko: Gennemsigtighedskrav
AI-systemer, der interagerer med mennesker, men ikke træffer indgribende beslutninger. Eksempler:
- Chatbots på jeres hjemmeside eller i kundeservice
- AI, der genererer tekst, billeder eller video, som præsenteres for brugere
Her er kravet primært, at brugeren skal informeres om, at de interagerer med AI. En chatbot skal altså identificere sig selv. Deepfake-indhold skal mærkes.
Trin 4 – Minimal risiko: Ingen særlige krav
AI-systemer med meget begrænset påvirkning på mennesker. Eksempler:
- Spamfiltre i jeres mailsystem
- AI, der sorterer og prioriterer interne dokumenter
- Anbefalingsalgoritmer i interne systemer uden konsekvenser for enkeltpersoner
Her gælder ingen obligatoriske krav, men god praksis anbefales stadig.
De fleste danske virksomheder vil have AI-systemer, der lander på trin 2, 3 eller 4. Vil du have en dybere gennemgang af, præcis hvordan man vurderer sit eget system, har vi skrevet en separat artikel om risikoklassificering i praksis.
Gælder EU AI Act for min virksomhed?
Sandsynligvis ja. Hvis jeres virksomhed bruger AI-værktøjer til at træffe beslutninger, sortere ansøgninger, betjene kunder eller blot skrive tekster, falder I ind under forordningen.
En udbredt misforståelse er, at loven kun rammer dem, der bygger AI. Det gør den ikke. Den rammer også dem, der bruger AI.
Forestil dig en HR-chef i en mellemstor virksomhed i Odense, der bruger et AI-baseret screeningsystem til at sortere blandt 400 ansøgere til 12 nye stillinger. Før AI-forordningen var det en praktisk genvej. Nu er det et højrisiko-system, der kræver dokumentation for, at systemet ikke diskriminerer, og at der er et menneske med i beslutningsprocessen. Det er her, I skal være særligt opmærksomme på risikoen for algoritmisk bias og diskrimination i jeres data og systemer.
Det betyder ikke, at HR-chefen skal stoppe med at bruge AI. Det betyder, at hun skal vide, hvilke krav der gælder, og kunne dokumentere, at de er opfyldt.
Forordningen gælder bredt: offentlige styrelser, kommuner, SMV'er med 10 ansatte og koncerner med 2.000. Hvis I opererer i EU eller tilbyder services til EU-borgere, er I omfattet. For et mere detaljeret billede af, hvad loven konkret betyder for danske virksomheder, og hvornår de forskellige krav træder i kraft, har vi en dedikeret artikel.
Hvad er forskellen på provider og deployer?
Her introducerer forordningen to roller, som det er vigtigt at forstå.
Provider er den, der udvikler eller sælger AI-systemet. Tænk på det som bilproducenten. Hvis en dansk softwarevirksomhed bygger et AI-værktøj til rekruttering, er de provider. De har ansvar for, at "bilen" er sikker, testet og opfylder alle krav, før den forlader fabrikken. Konkret betyder det: teknisk dokumentation, CE-mærkning af højrisiko-systemer og registrering i EU's database.
Deployer er den, der bruger AI-systemet i sin daglige drift. Den HR-afdeling, der køber rekrutteringsværktøjet og bruger det til at screene ansøgere, er deployer. De har ansvar for, at "bilen" bruges forsvarligt, at der er tilsyn med resultaterne, og at de berørte mennesker informeres. Dette kræver i høj grad gennemsigtighed og overholdelse af informationspligten, så brugerne forstår, hvordan AI-systemet træffer beslutninger.
Mange danske virksomheder er deployere uden at vide det. Hver gang I bruger ChatGPT, Copilot eller et andet AI-værktøj i jeres arbejdsprocesser, er I deployere i forordningens forstand.
Deployere har selvstændige forpligtelser. I kan ikke blot pege på leverandøren og sige "det er deres ansvar". Som deployer skal I konkret:
- Sikre, at der er et menneske, der kan gribe ind og tilsidesætte AI-systemets beslutninger i højrisiko-sammenhænge
- Informere medarbejdere og berørte parter om, at AI anvendes
- Dokumentere, hvordan systemet bruges, og føre logbog over kritiske beslutninger
- Løbende overvåge, om systemet fungerer efter hensigten, og indberette alvorlige hændelser
- Sikre, at jeres medarbejdere har tilstrækkelig AI-kompetence – det kræver forordningens Artikel 4 faktisk eksplicit
Det sidste punkt er ikke en blød anbefaling. Artikel 4 pålægger deployere at sikre, at alle medarbejdere, der arbejder med AI-systemer, har tilstrækkelig viden til at gøre det forsvarligt. Det gælder ikke kun IT-afdelingen. Det gælder den medarbejder, der bruger et AI-screeningsværktøj til at vurdere kreditansøgninger, og den leder, der godkender en AI-genereret rapport uden at kende systemets begrænsninger.
Sørg desuden for at have styr på jeres databehandleraftaler med AI-leverandører, så ansvarsfordelingen mellem jer og leverandøren er klar.
3 konkrete skridt du kan tage nu
Skridt 1 – Lav et overblik over jeres AI-brug
Spørg ledere og medarbejdere direkte: Hvilke AI-værktøjer bruger du i din arbejdsdag? Inkludér værktøjer taget i brug uden om IT-afdelingen. Det fænomen hedder Skygge-AI, og det er mere udbredt, end de fleste tror. Resultatet er en simpel liste. Den behøver ikke være perfekt, men I skal vide, hvad I arbejder med, før I kan vurdere, hvad I er ansvarlige for.
Skridt 2 – Placér hvert system på risikotrappen
For hvert værktøj på listen: stil disse tre spørgsmål:
- Bruges det til at træffe eller understøtte beslutninger, der påvirker enkeltpersoner direkte? (ansættelse, kredit, sundhed, uddannelse)
- Interagerer det med kunder eller borgere uden at identificere sig som AI?
- Behandler det personoplysninger som grundlag for rangering eller profilering?
Svarer I ja til det første spørgsmål, er I sandsynligvis i højrisiko-kategorien. Svarer I ja til det andet, gælder gennemsigtighedskravene. Svarer I nej til alle tre, er I formentlig i minimal risiko.
Skridt 3 – Skriv en intern AI-politik
Den behøver ikke være 40 sider. Men den skal som minimum beskrive:
- Hvilke AI-værktøjer er godkendt til brug i organisationen
- Hvem der må bruge dem, og til hvilke formål
- Hvem der er ansvarlig for tilsyn med højrisiko-systemer
- Hvad medarbejdere skal gøre, hvis de opdager fejl eller utilsigtede resultater
Vi har lavet en praktisk guide til den interne AI-politik, som er et godt sted at starte. For ledelsen handler det desuden om at forstå både juridiske faldgruber og muligheder med AI for at kunne træffe informerede strategiske beslutninger.
For de konkrete GDPR-regler ved AI-brug, se vores tryghedsguide om AI og GDPR.
Ofte stillede spørgsmål
Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har været underviser hos Bigum i mere end 10 år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.
