Hvem rammes af de nye regler?

Af Bruno Poulsen, underviser i AI & Digital Marketing, Poulsen & Vinding

Mange danske ledere tror, at den europæiske regulering af kunstig intelligens udelukkende rammer tech-giganter som Google og Microsoft. Virkeligheden er en helt anden. Da vi for nylig holdt workshop for en kommunal forvaltning, var det første spørgsmål fra salen: gælder den her lov overhovedet for os? Svaret er et rungende ja. Er I en styrelse, en kommune eller en SMV med 50 ansatte, vil lovgivningen påvirke, hvordan I må bruge kunstig intelligens i hverdagen. Denne artikel giver dig et klart overblik over reglerne, hvem der er omfattet, og hvad I konkret skal gøre for at blive compliant uden at drukne i juridisk jargon.

Indholdsfortegnelse

• Hvem rammes af de nye regler?
• Forstå risikoklasserne gennem trafiklysmodellen
• Hvornår gælder hvilke krav præcist?
• Konsekvenserne ved at ignorere compliance
• Fem næste skridt for jeres organisation
• Tryghed skaber de bedste resultater

Hvem rammes af de nye regler?

Loven skelner primært mellem to roller: udviklere (dem der bygger AI-systemerne) og anvendere (dem der tager dem i brug). Langt de fleste danske virksomheder og offentlige institutioner er anvendere.

Anvendere er enhver organisation, der bruger et AI-system i en professionel sammenhæng – uanset om I har udviklet det selv eller blot har købt adgang til et standardværktøj. Det betyder i praksis:

• En advokatvirksomhed der bruger ChatGPT til at opsummere kontrakter
• En kommune der bruger AI-software til at triagere borgerhenvendelser
• En rekrutteringsvirksomhed der bruger automatiseret CV-screening
• En webshop der bruger et anbefalingssystem til at personalisere produkter

Alle er omfattet. Tidspunktet er også værd at kende: Loven trådte formelt i kraft den 1. august 2024. Forbuddene mod uacceptable systemer gælder fra februar 2025, kravene til højrisiko-systemer indfases gradvist frem mod august 2026, og krav om AI-kompetencer hos medarbejdere gælder allerede fra februar 2025.

Forstå risikoklasserne gennem trafiklysmodellen

Hele fundamentet for reguleringen er bygget op omkring risiko. Jo større konsekvens teknologien har for menneskers rettigheder og dagligdag, desto skrappere er kravene. Trafiklysmodellen giver et hurtigt overblik.

🔴 Rødt lys – Uacceptabel risiko (forbudt)

Disse systemer må slet ikke bruges i EU. Eksempler:

• Ansigtsgenkendelse i realtid på offentlige steder
• Systemer der manipulerer adfærd ved at udnytte psykologiske svagheder
• Social scoring af borgere baseret på adfærd

For en almindelig dansk arbejdsplads er denne kategori sjældent relevant. Men en kommune der overvejer videoovervågning med automatisk identifikation af personer, skal her stoppe op.

🟡 Gult lys – Høj risiko (strenge krav)

Her finder vi de systemer, der kræver grundig kontrol, dokumentation og aktivt menneskeligt tilsyn. Konkrete eksempler fra en dansk hverdag:

• HR-software der automatisk rangerer jobansøgere – Bruger I et system der scorer CV'er og afgør, hvem der går videre til samtale, er I i højrisiko-kategorien. I skal kunne dokumentere, at systemet ikke diskriminerer, og at et menneske aktivt godkender beslutningen.
• Kommunal sagsbehandling af ydelser – Et system der afgør, om en borger har ret til kontanthjælp eller et botilbud, er høj risiko. Her kræves datasikkerhedsdokumentation, logning af beslutninger og menneskelig godkendelse.
• Medicinsk udstyr og diagnoseværktøjer – AI der assisterer i kliniske beslutninger, kræver CE-mærkning under den opdaterede medicinsk udstyr-forordning og opfyldelse af AI Act-kravene simultant.

Kravene til høj-risiko systemer inkluderer konkret: risikovurdering dokumenteret skriftligt, teknisk dokumentation af systemet, logføring af systemets beslutninger, instruks til brugerne, og menneskelig kontrol der reelt kan tilsidesætte systemets output.

🟢 Grønt lys – Begrænset og minimal risiko (få krav)

Dette er den kategori, langt de fleste medarbejdere befinder sig i til daglig:

• En projektleder der bruger ChatGPT til at opsummere mødereferater
• En marketingmedarbejder der bruger AI til at skrive udkast til nyhedsbreve
• En økonom der bruger AI til at lave en første analyse af regneark

Her er hovedkravet gennemsigtighed: Hvis borgere eller kunder interagerer med en AI-chatbot, skal de informeres om, at de taler med en maskine. Det skal ske, inden interaktionen starter – ikke gemt i en fodnote i privatlivspolitikken.

Hvornår gælder hvilke krav præcist?

Et spørgsmål vi ofte får er: hvornår skal vi egentlig have styr på det her? Her er den praktiske tidslinje:

Det betyder, at kravet om, at jeres medarbejdere har grundlæggende AI-kompetencer (Article 4), allerede er gældende nu. Det er ikke valgfrit.

Konsekvenserne ved at ignorere compliance

Ligesom vi så det med GDPR, har man fra centralt hold skabt en lovgivning med reelle muskler. Bøderne er struktureret i tre niveauer:

• Op til 35 mio. euro eller 7 % af global omsætning for brug af forbudte systemer (det højeste af de to beløb anvendes)
• Op til 15 mio. euro eller 3 % for overtrædelse af krav til højrisiko-systemer
• Op til 7,5 mio. euro eller 1 % for at give forkerte oplysninger til tilsynsmyndighederne

Selv for en mellemstor dansk virksomhed med 80 ansatte kan et bødeniveau på 1-3 % af omsætningen udgøre et eksistentielt slag. Ud over bøderne risikerer I tab af offentlige udbud, da offentlige indkøbere i stigende grad stiller krav om dokumenteret compliance.

Fem næste skridt for jeres organisation

Der er ingen grund til panik. Det vigtigste er at begynde at handle frem for at vente.

1. Kortlæg jeres nuværende brug
Lav en simpel liste over alle digitale værktøjer, der bruger AI – også dem medarbejderne bruger på eget initiativ. Spørg direkte i afdelingerne: bruger du AI-værktøjer i dit arbejde? Erfaringen viser, at langt mere bruges i det skjulte end ledelsen ved.

2. Kategoriser jeres risiko
Tag jeres liste og placer hvert system i trafiklyset. Nøglespørgsmålet er: træffer dette system beslutninger, der påvirker menneskers rettigheder, økonomi, helbred eller adgang til ydelser? Hvis ja, er I sandsynligvis i gult lys.

3. Uddan medarbejderne
Article 4 kræver, at alle der arbejder med AI-systemer, har passende AI-kompetencer. Det behøver ikke være et dyrt kursusforløb. Minimum er, at medarbejderne forstår: hvad systemet kan og ikke kan, hvilke oplysninger der ikke må tastes ind (fx CPR-numre i offentlige sprogmodeller), og hvornår de skal eskalere til en menneskelig beslutning.

4. Udarbejd en intern politik
En intern AI-politik behøver ikke fylde 30 sider. Den skal besvare tre spørgsmål klart: hvilke systemer må vi bruge, hvad må vi ikke putte ind i dem, og hvem har det endelige ansvar for beslutninger? Gør den tilgængelig og nem at forstå uden paragraffer.

5. Indfør dokumenteret menneskeligt tilsyn for højrisiko-systemer
For enhver arbejdsproces der falder i gult lys, skal I fastslå skriftligt, at et menneske aktivt gennemgår og godkender AI-systemets output, inden det får konsekvenser. Det er ikke nok at have muligheden – I skal kunne dokumentere, at det sker.

Tryghed skaber de bedste resultater

Når medarbejderne ved præcist, hvilke værktøjer de må bruge og hvordan, forsvinder frygten for at begå fejl – og brugen stiger. Det er her I reelt frigiver tid fra tunge, administrative rutineopgaver.

Det bedste udgangspunkt er kortlægningen: hvilke AI-værktøjer bruges allerede i organisationen, og hvilken risikokategori falder de i? Med det overblik på plads har I fundamentet for en intern politik, en uddannelsesindsats og en dokumentationspraksis der holder – både over for jeres medarbejdere og over for tilsynsmyndighederne.

Bruno Poulsen underviser i AI & Digital Marketing hos Poulsen & Vinding og rådgiver virksomheder og offentlige institutioner om ansvarlig AI-implementering.

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han er senior underviser hos Bigum&Co gennem 10+ år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.