AI-forordningen gælder nu: Hvad skal en almindelig dansk organisation faktisk gøre?

Den 2. august 2026 blev EU’s AI-forordning generelt anvendelig. For mange danske organisationer udløser det to modsatrettede reaktioner.

Den ene er panik: “Skal vi stoppe alt med AI?” Den anden er skuldertræk: “Det er leverandørens problem.”

Begge reaktioner rammer ved siden af.

Forordningen er risikobaseret og fordeler pligter efter både systemtype og organisationens rolle. En skole, der bruger en skriveassistent til interne udkast, står ikke nødvendigvis samme sted som en virksomhed, der udvikler et system til rekruttering. Men begge bør vide, hvad de bruger, hvorfor de bruger det, og hvem der har ansvaret.

Denne artikel er en praktisk start, ikke juridisk rådgivning. Den vigtigste pointe er, at arbejdet kan brydes ned i almindelige ledelsesopgaver.

Først: Tidslinjen er ikke én enkelt dato

AI-forordningen trådte i kraft i 2024, men kravene er blevet anvendelige i etaper. Forbud mod visse AI-praksisser og kravet om AI-færdigheder begyndte at gælde 2. februar 2025. Regler for udbydere af generelle AI-modeller fulgte i 2025. Fra 2. august 2026 gælder forordningen bredt, og Kommissionen begyndte håndhævelsen af de relevante regler.

Nogle bestemmelser har fortsat særlige overgangsdatoer. EU’s arbejde med gennemførelsen har desuden udviklet sig, herunder omkring bestemte højrisikosystemer. Derfor bør man bruge den konsoliderede lovtekst og aktuelle vejledninger – ikke en tilfældig tidslinje fra et gammelt blogindlæg eller en præsentation fra 2024.

Det praktiske råd er: Sæt en dato på jeres juridiske vurdering, og planlæg en ny kontrol. “Vi læste om reglerne engang” er ikke en varig compliance-aktivitet.

Trin 1: Find den AI, I allerede bruger

Mange organisationer har ikke ét AI-projekt. De har 30 små anvendelser:

• tekstudkast i en offentlig chatbot
• mødeopsummering i kontorpakken
• automatisk sortering i et fagsystem
• billedgenerering i kommunikationsafdelingen
• en leverandørs nye “copilot”, som blev slået til ved en opdatering
• medarbejdernes egne gratis værktøjer
• en model, der indgår skjult i en allerede købt tjeneste

Lav et enkelt register. Det kan begynde som et regneark med:

• løsning og leverandør
• formål og konkret arbejdsopgave
• afdeling og ansvarlig ejer
• brugere og berørte personer
• datatyper og datakilder
• om systemet kun foreslår eller også træffer/udfører handlinger
• menneskelig kontrol
• kontrakt, version og næste vurderingsdato

Målet er ikke at beskrive hver knap. Målet er at kunne se forskel på en ufarlig stavehjælp og et system, der påvirker menneskers muligheder, rettigheder eller sikkerhed.

Trin 2: Find jeres rolle – den kan skifte fra løsning til løsning

Forordningen bruger bestemte roller. En udbyder udvikler eller får udviklet et AI-system og bringer det på markedet eller tager det i brug under eget navn. En idriftsætter bruger et AI-system under sin myndighed som led i sin virksomhed eller organisation. Der findes også importører, distributører og andre aktører.

Mange danske organisationer vil ofte være idriftsættere, men man bør ikke gætte. Hvis I bygger væsentligt oven på en model, ændrer formålet eller markedsfører løsningen som jeres egen, kan vurderingen blive en anden.

Skriv rollen ind i registret for hver løsning. Bed leverandøren forklare sin rolle og levere den relevante dokumentation. Hvis svaret kun er “vi er AI Act compliant”, har I ikke fået nok til at forstå jeres egen position.

Trin 3: Sortér efter risiko uden at opfinde jeres egen lovtekst

AI-forordningen arbejder blandt andet med forbudte praksisser, højrisikosystemer, gennemsigtighedskrav og systemer, der ikke falder i disse kategorier.

“Høj risiko” er ikke blot et synonym for “vigtigt”. Det er en juridisk klassifikation med konkrete kriterier og anvendelsesområder. Systemer i forbindelse med eksempelvis ansættelse, uddannelsesadgang, kreditværdighed, visse offentlige ydelser eller kritisk infrastruktur kan kræve særlig opmærksomhed, men detaljerne afhænger af systemets tilsigtede formål og reglernes præcise anvendelse.

Brug en indledende triage:

1. Kan anvendelsen ligne en forbudt praksis?
2. Kan den høre til et højrisikoområde eller være sikkerhedskomponent i et reguleret produkt?
3. Interagerer systemet direkte med mennesker eller genererer det indhold, der skal mærkes?
4. Påvirker det ansættelse, uddannelse, adgang til ydelser, økonomi, rettigheder eller fysisk sikkerhed?
5. Er der børn, sårbare grupper, biometriske data eller overvågning involveret?

Hvis svaret på de sidste spørgsmål er ja, bør fagpersoner inden for jura, databeskyttelse, sikkerhed og det konkrete domæne ind i vurderingen. En farvekode i et internt skema er nyttig til prioritering, men den afgør ikke den juridiske kategori.

Trin 4: Gør AI-færdigheder til en del af arbejdet

Forordningens krav om AI-færdigheder har været gældende siden februar 2025. Organisationer, der udbyder eller tager AI-systemer i brug, skal efter bedste evne sikre et tilstrækkeligt niveau hos medarbejdere og andre, der arbejder med systemerne, under hensyn til deres baggrund, erfaring, uddannelse og den konkrete brug.

Det betyder ikke nødvendigvis, at alle skal på samme heldagskursus. En medarbejder, der bruger AI til sproglig hjælp, har andre behov end en HR-konsulent, der vurderer kandidater, eller en tekniker, der overvåger en agent med systemadgang.

Et brugbart program kombinerer:

• fælles grundforståelse af styrker, fejl og datarisici
• opgavespecifik træning i det faktiske værktøj
• klare grænser for data og handlinger
• øvelse i kontrol, eskalation og rapportering af fejl
• dokumentation for, hvad der er gennemført og hvornår det opdateres

Færdighed kan ses i adfærd. Kan medarbejderen opdage, når systemet mangler en kilde? Ved personen, hvornår et forslag skal afvises? Kan en leder forstå, hvilke kontroller der forsvinder, hvis processen automatiseres yderligere?

Trin 5: Få styr på gennemsigtighed og mærkning

Fra august 2026 gælder en række gennemsigtighedsforpligtelser. De afhænger af system og rolle, men kan blandt andet handle om at oplyse mennesker om, at de interagerer med AI, og om at mærke visse former for syntetisk eller manipuleret indhold.

Lav en konkret gennemgang af kontaktpunkter:

• Er det tydeligt, når en borger eller kunde møder en chatbot?
• Ved brugeren, hvornår et dokument eller en besked er AI-genereret eller væsentligt manipuleret, hvis reglerne kræver det?
• Hvem har ansvaret for mærkningen, hvis indholdet går gennem flere systemer?
• Bevares tekniske markeringer og metadata ved eksport og publicering?

Undgå den brede etikette “lavet med AI” på alt. God gennemsigtighed fortæller det relevante menneske det relevante på det relevante tidspunkt.

Trin 6: Stil leverandøren spørgsmål, I kan gemme svarene på

I kan købe et system, men ikke outsource hele ansvaret for jeres anvendelse.

Bed leverandøren om:

• tilsigtet formål og begrænsninger
• model- og versionsoplysninger i det omfang, de er relevante
• dokumentation for test, risici og menneskelig kontrol
• databehandling, opbevaring, træning og underleverandører
• sikkerhed, adgang og hændelsesrapportering
• hvordan væsentlige ændringer varsles
• hjælp til logs, eksport og dokumentation
• forklaring af, hvilke AI Act-roller leverandøren mener, parterne har

Gør svarene til en del af indkøbet. En salgssamtale er svær at revidere seks måneder senere.

Trin 7: Forbind AI-reglerne med det, I allerede gør

AI-forordningen står ikke alene. Databeskyttelse, cybersikkerhed, arbejdsmiljø, ophavsret, sektorregler og almindeligt ledelsesansvar kan stadig være relevante.

Byg derfor videre på eksisterende processer:

• informationssikkerhedens risikovurdering
• databeskyttelsens fortegnelse og konsekvensanalyse
• indkøbets leverandørkontrol
• HR’s oplæring og rollebeskrivelser
• kvalitetsstyringens hændelser og korrigerende handlinger
• ledelsens godkendelser og periodiske opfølgning

Et separat “AI-kontor” kan være nyttigt i en stor organisation, men det må ikke blive en ø, der ikke kender driften. Den faglige afdeling skal eje formålet og kvaliteten; specialisterne skal hjælpe med rammer og kontrol.

En 30-dages startplan

Hvis I er sent i gang, kan den første måned se sådan ud:

Uge 1: Udpeg en ansvarlig koordinator og saml repræsentanter fra drift, IT, jura/databeskyttelse, sikkerhed og HR. Aftal ét fælles register.

Uge 2: Kortlæg de vigtigste anvendelser. Start med dem, der behandler følsomme data, påvirker mennesker eller kan udføre handlinger.

Uge 3: Gennemfør en første rolle- og risikotriage. Stop eller begræns anvendelser, hvor formål, data eller ansvar ikke kan forklares.

Uge 4: Prioritér tre leverancer: en kort medarbejdervejledning, opgavespecifik træning til de mest berørte grupper og en liste over leverandørspørgsmål. Sæt dato for næste gennemgang.

Det er ikke det samme som at være færdig. Det er at skabe et arbejdsgrundlag, så de vigtigste risici ikke drukner i et stort compliance-projekt.

Målet er ikke papir – det er kontrol

En mappe med politikker gør ingen forskel, hvis medarbejderen ikke ved, om et referat må sendes til AI-assistenten. Et register gør ingen forskel, hvis nye funktioner kan aktiveres uden ejer. Et kursus gør ingen forskel, hvis tidspresset belønner blind godkendelse.

Den stærke gennemførelse af AI-forordningen kan mærkes i hverdagen:

• Organisationen ved, hvilke systemer der er i brug.
• En navngiven person ejer hver væsentlig anvendelse.
• Medarbejderen forstår sin opgave og sine stopregler.
• Leverandørens påstande kan kontrolleres.
• Væsentlige ændringer og hændelser fører til en ny vurdering.

Forordningen er omfattende. Starten behøver ikke være dramatisk. Begynd med overblik, ansvar og de mennesker, der faktisk arbejder med systemerne. Det er også dér, regler bliver til reel risikostyring.

Kilder og videre læsning

• EU-Kommissionen: AI Act – regulatory framework – officiel oversigt over forordningen og den trinvise anvendelse.
• EU-Kommissionen: Håndhævelse og transparenskrav fra 2. august 2026 – pressemeddelelse fra 31. juli 2026.
• EUR-Lex: Konsolideret tekst til forordning (EU) 2024/1689 – den officielle lovtekst i konsolideret version.
• Digitaliseringsstyrelsen: FAQ om AI-forordningen – dansk myndighedsvejledning.
• EU-Kommissionen: Questions and answers on AI literacy – officiel forklaring af kravet om AI-færdigheder.