En praktisk introduktion til EU’s AI-forordning for mindre og mellemstore virksomheder.
EU AI Act regulerer brug og udvikling af kunstig intelligens efter risiko. For de fleste SMV’er handler det først om at vide, hvilke AI-værktøjer virksomheden bruger, hvem der har ansvaret, hvilke oplysninger der behandles, og om en løsning kan påvirke mennesker væsentligt.
Start med disse fem spørgsmål
- Hvor bruger vi AI i dag – også i standardsoftware og gratis tjenester?
- Er vi bruger, leverandør, importør eller distributør af løsningen?
- Kan AI’en påvirke ansatte, ansøgere, kunder, kredit, forsikring, sikkerhed eller adgang til vigtige ydelser?
- Indgår personoplysninger, fortrolige oplysninger eller ophavsretligt beskyttet materiale?
- Kan vi forklare, kontrollere og dokumentere brugen?
Risikomodellen i korte træk
Forbudt praksis
Visse anvendelser er forbudte. Hvis jeres brug nærmer sig manipulation, udnyttelse af sårbarheder, bestemte former for biometrisk kategorisering eller social scoring, skal arbejdet stoppes og vurderes fagligt.
Høj risiko
Systemer på bestemte områder – eksempelvis rekruttering, medarbejderstyring, uddannelse, kredit og kritisk infrastruktur – kan være højrisiko. Her gælder mere omfattende krav til blandt andet risikostyring, data, dokumentation, menneskeligt tilsyn og overvågning.
Gennemsigtighed og begrænset risiko
Ved blandt andet chatbots og syntetisk indhold kan der være krav om at gøre mennesker opmærksomme på, at de møder eller ser AI-genereret indhold.
Minimal risiko
Mange almindelige hjælpeværktøjer vil ikke være højrisiko. De bør stadig bruges med klare spilleregler, databeskyttelse, kvalitetstjek og ansvar.
Vigtige datoer
- 1. august 2024: Forordningen trådte i kraft.
- 2. februar 2025: Regler om forbudt AI-praksis og AI-færdigheder begyndte at gælde.
- 2. august 2025: Flere regler om generelle AI-modeller og governance begyndte at gælde.
- 2. august 2026: AI Act finder generelt anvendelse med undtagelser og særskilte overgangsfrister.
- 2. december 2026: De nye forbud mod bestemte systemer til seksualiserende deepfakes og materiale med seksuelt misbrug af børn begynder at gælde. Overgangsfristen for maskinlæsbar mærkning for systemer på markedet før 2. august 2026 udløber også denne dag.
- 2. december 2027: Højrisikokrav for bestemte anvendelser i bilag III.
- 2. august 2028: Højrisikokrav for regulerede produkter i bilag I, hvor reglerne finder anvendelse.
En realistisk første uge
- Udpeg én ansvarlig for virksomhedens AI-overblik.
- Opret et simpelt AI-register.
- Lav en første risikoscreening af hvert værktøj.
- Vedtag korte regler for data, kvalitetstjek og menneskelig kontrol.
- Planlæg relevant AI-oplæring for medarbejderne.
Kilder og status: Seneste tilføjelse: kvalitetsledelse den 22. oktober 2026. Øvrig gennemgang den 14. oktober 2026. Se Europa-Kommissionens AI Act-side og den konsoliderede forordning. Indholdet er generel vejledning og ikke juridisk rådgivning.
Hvad er et AI-system
AI Act bruger en specifik definition. Det er ikke nok, at en leverandør kalder software intelligent. Afklar, hvordan systemet udleder output fra input, og hvad det er beregnet til. AI kan være indbygget i almindelig software, og samme værktøj kan bruges til meget forskellige formål.
Hvilken rolle har virksomheden
En virksomhed, der bruger en eksisterende AI-løsning i sit arbejde, vil ofte være anvender, også kaldet idriftsætter. Udvikler eller markedsfører I systemer under eget navn, kan I være udbyder. Import, distribution og væsentlige ændringer kan medføre andre forpligtelser. Registrér rollen for hver konkret anvendelse og få tvivl afklaret.
Hvornår er AI højrisiko
Se på systemets tilsigtede formål og de kategorier og betingelser, loven fastlægger. Eksempelvis kan AI til at sortere ansøgninger være omfattet, mens en tekstassistent brugt til at formulere et stillingsopslag kræver en anden vurdering. En intern risikoscore afgør ikke den juridiske klassifikation. Undtagelser skal vurderes konkret og dokumenteres, hvor reglerne kræver det.
Kvalitetsledelse og EN 18286
Nyt fra 19. oktober 2026: Europa-Kommissionen har meddelt, at referencen til EN 18286:2026 er offentliggjort i EU-Tidende. Standarden understøtter kvalitetsledelse efter AI Act artikel 17 for udbydere af højrisiko-AI.
Anvendelse af standarden er frivillig. Den giver formodning om overensstemmelse med de artikel 17-krav, som den dækker. Det er ikke en godkendelse af hele AI-systemet eller dokumentation for efterlevelse af alle AI Act-krav.
Hvem er det relevant for
Afklar først virksomhedens rolle og systemets tilsigtede formål. Artikel 17 retter sig mod udbydere af højrisiko-AI. Almindelig brug af en tekstassistent medfører ikke i sig selv et krav om certificering efter EN 18286.
Byg videre på eksisterende kvalitetsledelse
Standarden er rettet mod AI-systemets livscyklus og kan supplere ISO 9001, ISO/IEC 42001 eller et relevant sektorsystem. En eksisterende certificering dokumenterer ikke automatisk, at AI Act er opfyldt.
I praksis kan I begynde med at koble AI-ansvar, ændringsstyring, test, datastyring, hændelser og opfølgning til jeres eksisterende arbejdsgange. For udbydere af højrisiko-AI skal kvalitetsledelsen dokumenteres systematisk og tilpasses virksomhedens størrelse, samtidig med at lovens beskyttelsesniveau fastholdes.
Praktisk første skridt: Kortlæg jeres nuværende procedurer, placér en ansvarlig, og registrér mangler og næste handling i arbejdet med AI-dokumentation. De gratis skabeloner er et udgangspunkt og udgør ikke i sig selv et komplet kvalitetsledelsessystem efter artikel 17 eller EN 18286.
Kilder kontrolleret 22. oktober 2026: Kommissionens meddelelse om EN 18286:2026, standardisering under AI Act og artikel 17. Afsnittet bygger på de offentlige kilder og er ikke en gennemgang af standardens fulde tekst.
AI-færdigheder i praksis
Efter AI Omnibus skal udbydere og idriftsættere træffe foranstaltninger, der understøtter udviklingen af AI-færdigheder hos personale og andre relevante personer. Virksomheden skal ikke garantere et bestemt niveau hos den enkelte.
Tilpas oplæring til opgaver, erfaring og de personer, som kan blive påvirket. Gennemgå begrænsninger, kontrol af output, data og fejlrapportering. Notér aktiviteter og opfølgning som praktisk dokumentation. Et kursusbevis er ikke i sig selv en godkendelse af virksomhedens AI-brug.
Se Digitaliseringsstyrelsens oversigt over ændringerne og inspiration til AI-færdigheder.
Gennemsigtighed og mærkning
Ved chatbots skal mennesker som udgangspunkt kunne se, at de kommunikerer med AI. Der gælder særskilte regler om mærkning af syntetisk indhold for udbydere og om oplysning til modtagerne for anvendere.
For anvendere omfatter artikel 50, stk. 4, blandt andet deepfakes og AI-genereret eller manipuleret tekst om emner af offentlig interesse. Der findes undtagelser og særlige regler, eksempelvis for kunstneriske værker. For tekst er menneskelig gennemgang eller redaktionel kontrol kombineret med et placeret redaktionelt ansvar relevant for undtagelsen.
EU’s mærkningsikoner kan bruges frivilligt. Oplysningspligten er derimod bindende, når anvendelsen er omfattet. Et ikon er ikke i sig selv bevis for efterlevelse, og ikke alt AI-indhold skal mærkes.
Læs Kommissionens vejledning og hent EU-ikonerne (kildesiden opdateret 13. oktober 2026).
Forbudt AI: et eksempel fra arbejdspladsen
AI, der udleder medarbejderes følelser ud fra biometriske data som stemme eller ansigtsudtryk, er som udgangspunkt forbudt på arbejdspladser. Undtagelsen for medicinske eller sikkerhedsmæssige formål er snæver. Analyse af ord i en tekst og udledning af følelser fra biometriske data skal ikke automatisk behandles som samme anvendelse.
Eksempel: Et system, der fortolker medarbejderens stemme for at vurdere følelser under kundesamtaler, kræver særlig opmærksomhed. Afklar datatyper, formål og funktion med leverandøren, og stop den mistænkte anvendelse, mens et muligt forbud undersøges.
Dansk vejledning og tilsyn
Digitaliseringsstyrelsen oplyste 14. september 2026, at den havde afsluttet 20 tilsyn: ti i telemarketing med fokus på følelsesudledning på arbejdspladser og ti inden for onlinekasino og betting med fokus på skadelig manipulation og udnyttelse af sårbarheder. Ingen af de undersøgte virksomheder anvendte AI i strid med de forbud, tilsynene omfattede.
Virksomhederne redegjorde for deres konkrete AI-brug. Resultatet er ikke en generel godkendelse af bestemte brancher eller værktøjer. Brug erfaringen til at samle overblik og dokumentation for jeres egne anvendelser.
Læs nyheden om de første tilsyn og brug vores tjekliste til AI-dokumentation.
Følg Digitaliseringsstyrelsen og den relevante sektormyndighed. AI Act og GDPR kan gælde samtidig. Lovforslag L 3 fra 2026–27 skal holdes adskilt fra vedtagne regler.