EU AI Act i praksis: Hvad betyder lovgivningen for hvem og hvornår?

EU AI Act er ikke én stor knap, der bliver trykket på én dato. Lovgivningen ruller ud i faser, og hver fase rammer forskellige typer AI og forskellige aktører.

Din virksomhed bruger sandsynligvis allerede AI. Måske til at sortere ansøgninger, besvare kundehenvendelser eller skrive udkast til interne dokumenter. Men ved du, hvornår EU's AI Act stiller konkrete krav til netop den brug? Mange ledere antager, at lovgivningen er noget, der "kommer på et tidspunkt." Sandheden er, at dele af den allerede gælder. Denne artikel giver dig den konkrete tidslinje og fortæller, hvem der skal gøre hvad og hvornår. Har du brug for det fulde juridiske overblik først, kan du starte med vores komplette guide til AI, jura og corporate compliance.

Indholdsfortegnelse

• Hvornår træder de forskellige krav i kraft?
• Hvad gælder allerede nu fra februar 2025?
• Hvad skal vi have på plads inden august 2026?
• Start med overblikket

Hvornår træder de forskellige krav i kraft?

Her er den fulde tidslinje:

Hvad betyder det konkret? Bruger du i dag AI til at screene jobansøgere, skal du inden august 2026 have dokumentation, menneskelig kontrol og informationspligt på plads. Bruger du en chatbot til kundeservice, skal du allerede nu oplyse brugeren om, at de taler med en AI. Og siden februar 2025 har du haft pligt til at sikre, at dine medarbejdere faktisk forstår, hvad de bruger.

Vil du forstå, hvad de enkelte risikokategorier dækker over, kan du læse vores artikel om risikoklassificering i praksis.

Hvad gælder allerede nu fra februar 2025?

To ting gælder allerede, og begge kræver handling.

Forbuddet mod uacceptabel risiko

Følgende AI-anvendelser er forbudt fra februar 2025:

• Social scoring: Systemer der tildeler medarbejdere eller borgere en løbende adfærdsscore og bruger den til beslutninger om dem. Herunder interne HR-systemer der rangerer medarbejdere på baggrund af adfærdsdata over tid.
• Manipulation af sårbare grupper: AI der udnytter psykologiske svagheder, alder eller handicap til at påvirke adfærd på en måde, der skader personen.
• Realtids biometrisk overvågning i det offentlige rum: Ansigtsgenkendelse via kameraer i gader, stationer eller butikker i realtid. Snævre politiundtagelser kræver forudgående tilladelse.
• Følelsesanalyse på arbejdspladsen og i uddannelsesinstitutioner: Systemer der forsøger at aflæse medarbejderes eller elevers følelsesmæssige tilstand via kamera, stemme eller adfærd.
• Forudsigelsesbaseret politiarbejde mod enkeltpersoner: AI der profilerer enkeltpersoner og forudsiger kriminalitet uden konkret adfærd som grundlag.

For de fleste danske SMV'er er dette ikke aktuel praksis. Men tjek særligt avancerede HR- og overvågningsværktøjer.

AI-kompetence (Artikel 4)

Det her er den, mange overser. Artikel 4 kræver, at alle medarbejdere der arbejder med AI, har "tilstrækkeligt niveau af AI-kompetence." Det er ikke et forslag. Det er et lovkrav, der gælder nu.

Loven definerer ikke et præcist pensum, men en medarbejder med tilstrækkelig AI-kompetence skal kunne svare ja til disse tre spørgsmål:

1. Forstår jeg, hvad AI-systemet kan og ikke kan? Herunder at det kan hallucere, og at output altid skal vurderes kritisk.
2. Ved jeg, hvad jeg ikke må putte ind i systemet? Fortrolige persondata, forretningshemmeligheder og følsomme oplysninger hører ikke hjemme i et eksternt AI-værktøj uden databehandleraftale.
3. Ved jeg, hvornår jeg skal stoppe op? Kan jeg genkende situationer, hvor AI-output ikke bør bruges uden menneskelig vurdering?

Et konkret eksempel: En kommune har 45 medarbejdere der bruger ChatGPT dagligt til sagsforberedelse. Ingen har fået en introduktion til, hvad de må og ikke må. Det er ikke lovligt. Uanset om nogen klager eller ej.

Et naturligt første skridt er at formulere en intern AI-politik og koble den til et kortfattet kompetenceforløb, der dokumenterer, at medarbejderne har modtaget og forstået den.

Hvad skal vi have på plads inden august 2026?

Før du kan svare på det, skal du vide, hvilken rolle din organisation spiller.

Provider eller deployer. Hvad er du?

Provider (udbyder): Den der udvikler eller træner et AI-system og sætter det på markedet. Kravene er tungere: registrering, teknisk dokumentation, conformity assessment og løbende overvågning efter lancering.

Deployer (bruger): Den der tager et eksisterende AI-system i brug. De fleste danske virksomheder er deployers. Kravene er lettere, men du er ikke fritaget.

Tommelfingerregel: Har I tilpasset eller finjusteret et AI-system til jeres specifikke formål, nærmer I jer provider-rollen, selv om I startede som deployer.

Konkrete krav til deployers af højrisiko AI inden august 2026

Højrisiko AI dækker systemer der bruges til beslutninger med stor indvirkning på mennesker. Herunder:

• AI til rekruttering og CV-screening
• AI til kreditvurdering
• AI til tildeling af sociale ydelser
• AI i uddannelsesinstitutioner til vurdering af elever
• AI brugt af politiet eller retsvæsenet

Forestil dig dette: Du er HR-chef i en mellemstor virksomhed i Odense. I bruger et AI-værktøj til at sortere de første 200 ansøgninger, inden I overhovedet læser dem. Det er højrisiko. Inden august 2026 skal du have følgende på plads:

1. Menneskeligt opsyn
En navngivet person skal kunne gribe ind i og tilsidesætte AI-systemets beslutninger. Dokumentér hvem der har ansvaret, og sørg for at de faktisk har adgang til at overrule systemet. Ikke kun i teorien.

2. Datakvalitet
Sikr at data er relevante, repræsentative og ikke systematisk diskriminerende. Har I konfigureret systemet på historiske data fra en mandsdomineret branche, kan det reproducere bias. Læs mere om algoritmisk bias og de juridiske konsekvenser.

3. Logning og dokumentation
Systemets beslutninger skal kunne spores bagud. Hvis en ansøger spørger, hvorfor hun blev sorteret fra, skal du kunne give et konkret, forståeligt svar. Det kræver at systemet logger sine outputs og at du opbevarer dem i en defineret periode.

4. Informationspligt og gennemsigtighed
Berørte personer skal vide, at AI indgår i en beslutning der vedrører dem. Det er ikke nok at nævne det i en privatlivspolitik på side 14. det skal fremgå tydeligt i den kontekst, hvor beslutningen træffes, f.eks. i en afvisningsmail. Læs mere om gennemsigtighed og black box-problematikken.

5. Konsekvensanalyse for grundlæggende rettigheder
Offentlige myndigheder og visse private aktører der bruger højrisiko AI til beslutninger om borgere, skal gennemføre en vurdering af, hvordan systemet kan påvirke grundlæggende rettigheder. Det ligner en DPIA, men med bredere fokus end blot persondata.

Hvad med begrænset risiko?

Bruger du en chatbot til kundeservice, falder den typisk i kategorien "begrænset risiko." Kravet er enkelt: oplys brugeren om at vedkommende kommunikerer med en AI. Inden interaktionen begynder, ikke i en fodnote bagefter.

Start med overblikket

De tre vigtigste skridt er enkle:

1. Kortlæg, hvilke AI-systemer I bruger i dag.
Husk også de værktøjer medarbejderne selv har fundet og taget i brug uden IT-afdelingens godkendelse. Shadow AI er udbredt og udgør en reel compliance-risiko.

2. Placér hvert system i den rigtige risikokategori.
Uacceptabel risiko → stop brugen. Højrisiko → kravene fra august 2026 gælder. Begrænset risiko → oplysningspligt nu. Minimal risiko → ingen specifikke krav, men god praksis anbefales.

3. Prioritér indsatsen.
Højrisiko-systemer kræver mest arbejde og har den hårdeste deadline. Kompetenceløftet (Artikel 4) gælder allerede og bør køre parallelt. Det er hurtigt at sætte i gang og viser god tro over for tilsynsmyndigheder.

Har du brug for det fulde roadmap med prioriteringsrækkefølge, har vi skrevet en artikel om det strategiske compliance-roadmap for virksomhedsledere.

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han er senior underviser hos Bigum&Co gennem 10+ år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.