AI-forordningen – hvad betyder den for danske virksomheder efter AI-omnibussen?

Kort fortalt

• AI-forordningen – forordning (EU) 2024/1689 – trådte i kraft 1. august 2024 og finder anvendelse trinvist frem mod 2028 (Digitaliseringsstyrelsen).
• AI-omnibussen, forordning (EU) 2026/1744, trådte i kraft 27. juli 2026 og udskød højrisiko-kravene til 2. december 2027 (bilag III) og 2. august 2028 (bilag I) (Europa-Kommissionen).
• Gennemsigtighedskravene i artikel 50 gælder fra 2. august 2026; fx skal en chatbot som udgangspunkt oplyse, at brugeren interagerer med et AI-system.
• Pligt til synlig mærkning af AI-genereret tekst gælder kun tekst, der offentliggøres for at informere offentligheden om samfundsanliggender, og ikke hvis et menneske har redigeret den og har det redaktionelle ansvar.
• Digitaliseringsstyrelsen er national koordinerende tilsynsmyndighed i Danmark; Datatilsynet og Domstolsstyrelsen fører tilsyn med dele af forbuddene (Digitaliseringsstyrelsen).

AI-forordningen i korte træk – forbud, højrisiko og gennemsigtighedskrav

Et AI-system er i forordningens forstand et maskinbaseret system, der ud fra input udleder, hvordan det skal generere output som forudsigelser, indhold, anbefalinger eller beslutninger. Kravene skalerer med risikoen:

Ved intern vidensøgning, e-mailudkast og opsummering afhænger pligterne af systemets konkrete anvendelse og virksomhedens rolle; vurder også GDPR og eventuelle gennemsigtighedskrav.

Maskiner er et særtilfælde. Med omnibussen er maskinforordningen flyttet fra bilag I, afsnit A, til afsnit B og er dermed indtil videre undtaget fra AI-forordningens højrisikokrav. Kommissionen skal i stedet senest 2. august 2028 vedtage delegerede retsakter under maskinforordningen med krav til AI-systemer (Digitaliseringsstyrelsens omnibus-oversigt).

Tidslinjen efter AI-omnibussen

• 1. august 2024: AI-forordningen træder i kraft.
• 2. februar 2025: Forbuddene i artikel 5 og kravet om AI-færdigheder i artikel 4 gælder.
• 2. august 2025: Regler for udbydere af AI-modeller til almen brug – store modeller, der kan bruges til mange formål, fx sprogmodellerne bag ChatGPT – gælder.
• 27. juli 2026: AI-omnibussen træder i kraft.
• 2. august 2026: Gennemsigtighedskravene i artikel 50 gælder, sammen med en række øvrige regler.
• 2. december 2026: To nye forbud mod AI-systemer, der genererer seksualiserende deepfakes af identificerbare personer eller materiale med seksuelt misbrug af børn. Samme dato er fristen for maskinlæsbar mærkning for generative systemer, der var på markedet før 2. august 2026.
• 2. december 2027: Krav til selvstændige højrisiko-systemer i bilag III.
• 2. august 2028: Krav til højrisiko-AI i produkter under bilag I, afsnit A.

Omnibussen ændrede også kravet om AI-færdigheder: Udbydere og idriftsættere skal træffe foranstaltninger, der understøtter personalets AI-færdigheder, men skal ikke garantere et bestemt niveau hos den enkelte. Lempelserne for SMV'er – fx forenklet teknisk dokumentation – gælder nu også små midcap-virksomheder.

Hvad gennemsigtighedskravene faktisk kræver

Artikel 50 bliver ofte gengivet som "alt AI-indhold skal mærkes". Det er ikke korrekt. Ifølge Kommissionens vejledning er der fire forskellige pligter:

1. Chatbots og anden direkte interaktion (udbyderen): Systemet skal udformes, så brugeren fra første interaktion ved, at det er AI – medmindre det er åbenlyst.
2. Generativ AI (udbyderen): Genereret lyd, billeder, video og tekst skal have en maskinlæsbar markering, så det kan opdages som AI-genereret.
3. Følelsesgenkendelse og biometrisk kategorisering (idriftsætteren): De berørte skal informeres om, at systemet bruges.
4. Deepfakes og visse tekster (idriftsætteren): Deepfakes skal tydeligt oplyses. AI-genereret tekst skal kun mærkes, hvis den offentliggøres for at informere offentligheden om samfundsanliggender og ikke har været gennem reel menneskelig redigering med redaktionelt ansvar.

En dansk virksomhed, der bruger AI til at skrive udkast til nyhedsbreve eller produkttekster, som en medarbejder gennemgår, er altså ikke omfattet af mærkningspligten for tekst.

Udbyder eller idriftsætter – hvilken rolle har I?

Rollen følger af fakta, ikke af kontrakten:

• Udbyder er den, der udvikler et AI-system – eller får det udviklet – og bringer det i omsætning eller ibrugtager det under eget navn eller varemærke. Udbydere af højrisiko-systemer har de tungeste krav: risikostyring, teknisk dokumentation, overensstemmelsesvurdering, CE-mærkning og registrering.
• Idriftsætter er den, der anvender et AI-system i en erhvervsmæssig sammenhæng. Ved højrisiko-systemer skal idriftsætteren bl.a. følge brugsanvisningen, sikre kompetent menneskeligt tilsyn og overvåge driften.

Får I et system specialudviklet og tager det i brug under eget navn, kan I selv blive udbyder – ikke jeres udviklingspartner. Og forordningen gælder for systemer, der bringes i omsætning eller bruges i EU, uanset hvor koden er skrevet.

Hvor en grænse kan gå, viser en offentliggjort case fra NKKTech Global, en AI-udviklingsvirksomhed med base i Hanoi, Vietnam: en AI-rekrutteringschatbot for AWING Technologies, en teknologivirksomhed i Hanoi, Vietnam. Chatbotten svarer på kandidaters spørgsmål, booker samtaler og forscreener CV'er; kunden rapporterer 80 % kortere svartid. Kunden er vietnamesisk, men skulle løsningen bruges i EU, ville FAQ- og bookingdelen primært udløse gennemsigtighedskrav, mens CV-screeningen som udgangspunkt ville være højrisiko efter bilag III. Byggeklodserne i sådanne løsninger er beskrevet på siden om AI til rekruttering.

Hvem fører tilsyn i Danmark?

Digitaliseringsstyrelsen er national koordinerende tilsynsmyndighed og centralt kontaktpunkt. Ifølge styrelsens hovedvejledning om forbudte former for AI-praksis fører Digitaliseringsstyrelsen tilsyn med forbuddene i artikel 5, stk. 1, litra a–c, e og f, Datatilsynet med litra d og g, og Domstolsstyrelsen med domstolenes administrative brug af AI. Tilsynet er i øvrigt sektorbaseret, og ansvarsfordelingen for højrisiko-systemer bør følges på styrelsens side, der løbende opdateres.

Har I et nyt og komplekst projekt, kan I søge om plads i den regulatoriske sandkasse for AI, som Datatilsynet og Digitaliseringsstyrelsen driver sammen og som giver gratis vejledning i GDPR og risikoklassifikation.

Hvad en SMV bør gøre nu

1. Lav en liste over jeres AI-brug – indkøbte værktøjer, AI-funktioner i eksisterende systemer og egne løsninger som fx en intern dokumentsøgning – med formål, leverandør og brugere.
2. Placér hver anvendelse i forhold til forbud, højrisiko og gennemsigtighedskrav. Vær særligt opmærksom på HR, kreditvurdering og alt med biometri.
3. Understøt AI-færdigheder. Et kort internt kursus, en skriftlig AI-politik og en kontaktperson for spørgsmål kan være et fornuftigt niveau.
4. Tjek gennemsigtigheden, fx at chatbotten på hjemmesiden siger, at den er AI.
5. Stil krav til leverandørerne: deres risikovurdering, brugsanvisninger og – ved specialudvikling – hvem der er udbyder.

Bruger jeres medarbejdere ChatGPT eller Copilot, bliver I ikke udbyder af en AI-model til almen brug; de regler rammer dem, der udvikler og udbyder modellerne.

Ofte stillede spørgsmål

Gælder AI-forordningen for små virksomheder? Ja, forordningen gælder uanset størrelse, men pligterne afhænger af rolle og anvendelse. SMV'er kan bl.a. udarbejde teknisk dokumentation i forenklet form, og AI-omnibussen har udvidet flere lempelser til små midcap-virksomheder. For mange små virksomheder handler det i praksis om at undgå forbudt AI, oplyse om chatbots og understøtte medarbejdernes AI-færdigheder.

Hvornår træder AI-forordningen i kraft? Den trådte i kraft 1. august 2024 og gælder trinvist. Forbuddene har gældt siden 2. februar 2025, gennemsigtighedskravene siden 2. august 2026, og efter AI-omnibussen gælder højrisiko-kravene fra 2. december 2027 (bilag III) og 2. august 2028 (bilag I).

Skal al AI-genereret tekst mærkes efter AI-forordningen? Nej. Synlig mærkning af tekst gælder kun tekst, der offentliggøres for at informere offentligheden om samfundsanliggender, og ikke hvis et menneske har gennemgået den og har det redaktionelle ansvar. Udbydere af generativ AI skal dog give genereret indhold en maskinlæsbar markering.