AI-forordningen i danske virksomheder: Risikoniveauer, roller og tidsfrister

AI-forordningen i dansk virksomhedskontekst

Forordning (EU) 2024/1689 om harmoniserede regler for kunstig intelligens trådte i kraft 1. august 2024. Den gælder direkte i Danmark og resten af EU og er verdens første omfattende retlige ramme for AI.

Formålet er klare rammer for udviklere, distributører og brugere. Samtidig skal sundhed, sikkerhed og borgernes grundlæggende rettigheder beskyttes.

Forordningen er risikobaseret. Jo større risiko en AI-løsning udgør for sundhed, sikkerhed og grundlæggende rettigheder, desto flere krav.

Den skelner mellem AI-systemer og AI-modeller til almen brug. De reguleres gennem forskellige regelsæt.

For en dansk virksomhed følger forpligtelserne ikke først og fremmest af branchen. De afhænger af risikokategorien for den konkrete AI-løsning og af virksomhedens rolle i værdikæden: udvikler, udbyder, idriftsætter, distributør, forhandler eller importør.

Reglerne dækker hele AI-værdikæden. De gælder for enhver virksomhed inden for og uden for EU, hvis AI-systemet bringes i omsætning på EU's marked, eller hvis dets anvendelse påvirker personer i EU.

De centrale juridiske krav findes bl.a. i artikel 4 om AI-færdigheder og artikel 5 om forbudte AI-praksisser. For AI-modeller til almen brug gælder særlige forvaltningsregler og forpligtelser. For højrisiko-AI gælder krav om dokumentation, risikostyring, overvågning og ansvarlighed.

Artikel 4 og artikel 5 har været gældende siden 2. februar 2025. Det betyder, at AI-færdighedskrav og forbudsregler allerede nu skal håndteres i danske virksomheder.

For AI-modeller til almen brug begyndte forvaltningsreglerne og forpligtelserne at gælde 2. august 2025. Artikel 101 om bøder til udbydere af sådanne modeller er undtaget.

For danske virksomheder betyder det bl.a. krav som artikel 4 om AI-færdigheder, artikel 5 om forbudte AI-praksisser, gennemsigtighedskrav ved begrænset risiko og dokumentation, risikostyring, overvågning og ansvarlighed ved høj risiko. Kravene afhænger af AI-løsningens risikokategori og af virksomhedens rolle.

AI-forordningen erstatter ikke andre former for regulering. Når AI-systemer behandler personoplysninger, gælder databeskyttelsesreglerne fortsat side om side med forordningen.

Tidsfrister: Hvornår begynder kravene at gælde?

AI-forordningen trådte i kraft 1. august 2024, men anvendes trinvist frem mod 2027. Størstedelen af reglerne har virkning fra 2. august 2026.

Danske virksomheder har reelle forberedelsesfrister. Flere krav er dog allerede gældende.

Artikel 4 om AI-færdigheder og artikel 5 om forbudte AI-praksisser har været gældende siden 2. februar 2025.

Forvaltningsreglerne og pligterne for generelle AI-modeller begyndte at gælde 2. august 2025. Det dækker kapitel III, afdeling 4, kapitel V, VII og XII samt artikel 78, men ikke artikel 101 om bøder til udbydere af disse modeller.

Kapitel III, afdeling 4, kapitel V, VII og XII samt artikel 78 vedrører forvaltningsreglerne og forpligtelserne for AI-modeller til almen brug. Artikel 101 om bøder til udbydere af disse modeller er undtaget fra den dato.

Højrisiko-AI-systemer, der indgår i regulerede produkter på AI-forordningens bilag I, er først omfattet 2. august 2027. Bilag I er listen over EU-harmoniseringslovgivning.

For højrisiko-AI-systemer, der ikke er omfattet af bilag I, gælder kravene fra 2. august 2026.

Forbudsreglerne og AI-færdighedskravene skal derfor håndteres nu. Virksomheder, der stiller generelle AI-modeller til rådighed, er allerede omfattet af forpligtelser. Krav til dokumentation, risikostyring og overvågning for højrisiko-systemer skal være på plads inden 2. august 2026.

For systemer, der allerede er i brug, findes der enkelte længere overgangsordninger. Det er et af de første spørgsmål, danske virksomheder bør afklare.

Fire risikoniveauer – og hvad de betyder for jeres AI

Forordningen opdeler AI-systemer i fire risikokategorier: minimal, begrænset, høj og uacceptabel risiko. Klassifikationen afhænger af AI-systemets funktion, formål og metoder.

For danske virksomheder er klassifikationen det første praktiske arbejde. Den afgør, hvilke forpligtelser der er relevante.

Uacceptabel risiko: AI-systemer, der udgør en klar trussel mod menneskers sikkerhed, levebrød og rettigheder, er forbudte. De truer sikkerheden, borgernes rettigheder eller værdighed.

Forordningen forbyder ni praksisser. Det omfatter bl.a. skadelig AI-baseret manipulation og bedrag, social scoring til offentlige og private formål, udnyttelse af sårbarheder hos personer og biometrisk profilering af personer.

Høj risiko: Her gælder særlige krav om risikostyring, overvågning, ansvarlighed og grundig dokumentation. Kategorien omfatter bl.a. AI-systemer, der vedrører kritisk infrastruktur og påvirker grundlæggende rettigheder.

Høj risiko omfatter bl.a. AI-systemer, der har med kritisk infrastruktur og påvirkning af grundlæggende rettigheder at gøre, fx når AI anvendes til at udpege bestemte individer. Her gælder særlige krav til detaljeret dokumentation, risikostyring, overvågning og ansvarlighed.

Bilag I er listen over EU-harmoniseringslovgivning. Højrisiko-AI-systemer, der er indlejret i regulerede produkter opført i bilag I, er først omfattet 2. august 2027.

Begrænset risiko: AI-systemerne skal overholde specifikke gennemsigtighedskrav, fx transparens om AI-genereret indhold. Minimal risiko: Der gælder ingen særlige krav.

En løsning, der i dag anvendes uden særlig opmærksomhed, kan skifte kategori, hvis anvendelsen ændres. Det gælder fx, hvis samme model bruges til at træffe eller understøtte afgørelser om personer.

Er I udbyder, idriftsætter eller importør?

AI-forordningen påvirker hele værdikæden og indeholder individuelle regler for forskellige roller og sektorer. Reglerne omfatter udviklere, distributører, forhandlere og brugere.

Forordningen definerer to former for AI-løsninger: AI-modeller til almen brug og AI-systemer. Rollerne og kravene følger af, hvilken form der er tale om.

Virksomheder og organisationer skal vurdere deres rolle, fx som udbyder eller idriftsætter. De skal sikre overholdelse af de krav, der knytter sig til rollen. Samme virksomhed kan være udbyder i ét projekt og idriftsætter i et andet.

Importører har en selvstændig pligt. De skal sikre, at den udenlandske udbyder allerede har gennemført passende procedurer, og at systemet ledsages af nødvendig dokumentation og brugsanvisning. For en dansk importør betyder det, at importøren skal sikre dette.

Rolleafklaringen betyder først og fremmest to ting. Forpligtelserne skal placeres rigtigt internt. De kontraktuelle forhold til leverandører og kunder skal afspejle, hvem der leverer hvilken dokumentation.

Manglende afklaring er et typisk hul. Pligterne forsvinder ikke, blot fordi de ikke er tildelt nogen.

Kommuner bruger AI til bl.a. administrative opgaver, intelligent klimastyring og ruteplanlægning. De skal derfor følge forordningen og vurdere deres rolle som udbyder eller idriftsætter. De skal også sikre overholdelse af de tilhørende krav.

Konkrete juridiske krav til danske virksomheder

Artikel 4 handler om AI-færdigheder. Kravene har været gældende siden 2. februar 2025 og retter sig mod medarbejdere, der arbejder med eller stiller AI til rådighed.

Artikel 5 indeholder forbuddet mod bestemte former for AI-praksis. Også denne bestemmelse har været gældende siden 2. februar 2025.

For generelle AI-modeller begyndte forvaltningsreglerne og forpligtelserne at gælde 2. august 2025. Det er relevant for danske virksomheder, der selv udvikler eller videreudbyder modeller. Det bør indgå i vurderingen af leverandørkæden, når man køber modelbaserede løsninger.

For højrisiko-AI-systemer er omfattende dokumentationskrav, risikostyring, overvågning og ansvarlighed centrale. De gælder fra 2. august 2026; for højrisiko-AI i regulerede produkter på bilag I fra 2. august 2027. Virksomheden skal samtidig kunne dokumentere over for myndighederne, hvilke foranstaltninger der er truffet.

Forbudsreglerne i artikel 5 omfatter ni praksisser. Blandt de nævnte er skadelig AI-baseret manipulation og bedrag, social scoring til offentlige og private formål, udnyttelse af sårbarheder hos personer og biometrisk profilering af personer.

Artikel 5 forbyder ni praksisser. Forordningen nævner bl.a. skadelig AI-baseret manipulation og bedrag, social scoring til offentlige og private formål, udnyttelse af sårbarheder hos personer og biometrisk profilering af personer. Kommissionens retningslinjer nævner desuden biometrisk fjernidentifikation i realtid.

For AI-systemer med begrænset risiko gælder gennemsigtighedskrav, fx transparens om AI-genereret indhold. For AI-systemer med minimal risiko gælder ingen særlige krav. For højrisiko-AI gælder krav om detaljeret dokumentation, risikostyring, overvågning og ansvarlighed.

Digitaliseringsstyrelsen fører tilsyn med en række af forbuddene, herunder skadelig manipulation og vildledning samt social scoring/bedømmelse.

Digitaliseringsstyrelsen har udstedt en hovedvejledning og fem specifikke vejledninger om forbudte AI-praksisser. De fem vedrører AI-systemer, der anvender skadelige, manipulerende teknikker; udnytter sårbarheder; foretager social scoring/bedømmelse; foretager ikke-målrettet indsamling af ansigtsbilleder; udleder følelser på arbejdspladser og uddannelsesinstitutioner.

Digitaliseringsstyrelsens hovedvejledning giver en indføring i AI Act's anvendelsesområde, definitionen af et AI-system og hvornår reglerne om forbudt praksis finder anvendelse.

EU-Kommissionen har udarbejdet retningslinjer for bl.a. reglerne om forbudt praksis. Retningslinjerne er 146 sider og omfatter bl.a. skadelig manipulation, social scoring og biometrisk fjernidentifikation i realtid. De er ikke bindende, og autoritative fortolkninger er forbeholdt EU-Domstolen.

Kommissionens retningslinjer har titlen Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act). De findes også på dansk.

Retningslinjerne skal sikre en konsekvent, effektiv og ensartet anvendelse af AI-forordningen i hele EU. De indeholder juridiske forklaringer og praktiske eksempler.

Retningslinjerne giver et overblik over AI-praksisser, der anses for uacceptable på grund af deres potentielle risici for europæiske værdier og grundlæggende rettigheder.

Tilsyn og håndhævelse i Danmark

Digitaliseringsstyrelsen koordinerer implementeringen af AI-forordningens regler. Sammen med andre myndigheder fører styrelsen tilsyn med, at reglerne overholdes.

Styrelsen har igangsat indsatser for at informere og vejlede om AI-forordningen. Dens hjemmeside er det centrale danske sted at følge udmeldinger.

Tilsynet er delt mellem flere myndigheder. Man kan ikke nøjes med at orientere sig mod én sektormyndighed.

Europa-Kommissionen etablerede i maj 2024 et europæisk AI-kontor, AI-Office. Kontoret er ansvarligt for håndhævelsen af AI-forordningen sammen med medlemsstaterne.

Kommissionen har desuden oprettet en fælles informationsplatform og en servicedeske. De giver oplysninger og støtte til en gnidningsløs og effektiv gennemførelse af forordningen i hele EU.

Kommissionen har også en FAQ om AI-forordningen. Den supplerer den fælles informationsplatform og servicedesken.

AI-pagten er et frivilligt initiativ fra Kommissionen. Den skal lette overgangen til den nye ramme ved at samarbejde med interessenter og opfordre AI-udbydere og -idriftsættere fra og uden for Europa til at overholde de centrale forpligtelser i AI-forordningen.

I Danmark er tilsynet med AI Act fordelt mellem Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen. Digitaliseringsstyrelsen dækker de forbudte praksisser i art. 5, stk. 1, litra a-c, e og f. Datatilsynet dækker litra d og g i samme stykke.

Domstolsstyrelsen fører tilsyn med domstolenes anvendelse af AI-systemer ved forbudt praksis, når domstolene ikke agerer i deres egenskab af domstol, dvs. i administrative forhold.

Digitaliseringsstyrelsen har udstedt danske vejledninger om forbudte AI-praksisser. Der er en hovedvejledning og fem specifikke vejledninger målrettet hver sin forbudte praksis blandt de nævnte forbud.

Sanktioner ved overtrædelser

Overtrædelser af AI-forordningen kan føre til alt fra advarsler og påbud til store bøder, afhængigt af lovbruddets alvor. Sanktionsniveauerne følger typen af overtrædelse.

Forbudte AI-systemer: Bøder kan være op til 35 millioner euro eller 7 % af den samlede globale omsætning – afhængigt af hvilket beløb der er højest.

Manglende overholdelse af krav til højrisiko-AI: Bøder op til 15 millioner euro eller 3 % af den globale omsætning.

Urigtige, ufuldstændige eller vildledende oplysninger til myndighederne kan straffes med op til 7,5 millioner euro eller 1 % af den globale omsætning.

Forpligtelserne for generelle AI-modeller, der blev gældende 2. august 2025, omfatter ikke artikel 101 om bøder til udbydere af sådanne modeller. I praksis gælder de øvrige forpligtelser, mens bødestraffen i artikel 101 ikke er omfattet. Sanktionsniveauet afhænger derfor af, om overtrædelsen vedrører et AI-system eller en generel AI-model.

Praktisk compliance: Sådan kommer danske virksomheder i gang

Kortlæg AI-systemer. Lav en liste over AI-løsninger, virksomheden udvikler, køber eller anvender. Tag generative værktøjer med, som den enkelte medarbejder tager i brug, og AI-funktionalitet indlejret i eksisterende systemer. Uden listen kan hverken risikoklassificering eller forbudsreglerne i artikel 5 håndteres.

Klassificér risiko og afklar rolle. Bestem for hvert system, om risikoen er minimal, begrænset, høj eller uacceptabel. Afklar, om virksomheden er udbyder, idriftsætter, distributør, forhandler eller importør. Rollen afgør, hvem der skal levere dokumentation og brugsanvisning.

Importører skal blandt andet sikre, at den udenlandske udbyder har gennemført passende procedurer.

Sikr dokumentation og risikostyring. For højrisiko-systemer skal dokumentation, risikostyring, overvågning og ansvar være på plads inden 2. august 2026. For højrisiko-AI i regulerede produkter på bilag I er fristen 2. august 2027.

Opfyld AI-færdighedskravene. Artikel 4 og forbudsreglerne i artikel 5 har været gældende siden 2. februar 2025. Kompetencekrav og forbudsliste bør derfor håndteres i politikker, onboarding og leverandørstyring nu.

Sæt navn på de juridiske krav internt. Artiklerne 4 og 5 er gældende nu. For højrisiko-AI skal dokumentation, risikostyring, overvågning og ansvarlighed være på plads inden 2. august 2026; for højrisiko-AI i regulerede produkter på bilag I er fristen 2. august 2027.

Følg myndighedernes vejledning. Digitaliseringsstyrelsen koordinerer implementeringen og fører tilsyn sammen med andre myndigheder. Kommissionens informationsplatform, servicedeske og det europæiske AI-kontor supplerer de danske udmeldinger.

Brug Kommissionens retningslinjer for forbudte AI-praksisser, der findes på dansk. De er 146 sider og ikke bindende.

Tjek Kommissionens FAQ om AI-forordningen. Den supplerer den fælles informationsplatform og servicedesken.

Afklar samspillet med GDPR. AI-forordningen erstatter ikke andre former for regulering. Databeskyttelsesreglerne gælder fortsat, når AI-systemer behandler personoplysninger.

Følg de danske tilsynsmyndigheder. Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen fører tilsyn med AI Act på hver deres område.

Brug Digitaliseringsstyrelsens vejledninger. Der er en hovedvejledning og fem specifikke vejledninger om forbudte AI-praksisser.