EU AI Act: Hvad de nye AI-regler betyder for dig i 2026

EU AI Act gælder i Danmark, men kravene afhænger af, hvad AI-systemet bruges til, og hvilken rolle du har. En medarbejder, der retter en tekst, har ikke de samme pligter som en virksomhed, der sælger et AI-system. Her får du datoerne, forskellene og konkrete eksempler på, hvornår AI-brug skal oplyses.

Hvad er EU AI Act?

AI-forordningen, forordning (EU) 2024/1689, regulerer AI-systemer og AI-modeller i EU. Den trådte i kraft 1. august 2024, men reglerne har forskellige anvendelsesdatoer. Ændringsforordning (EU) 2026/1744 trådte i kraft 27. juli 2026 og ændrede blandt andet tidsplanen for højrisiko-AI og reglen om AI-færdigheder.

Forordningen gælder direkte i Danmark. Dansk lovgivning supplerer blandt andet med regler om myndigheder og håndhævelse. GDPR gælder samtidig, når AI behandler personoplysninger; de senere højrisikofrister udsætter ikke databeskyttelsen. Den konkrete gennemgang af persondata finder du i guiden til AI og GDPR.

Datoerne: Hvad gælder nu, og hvad kommer senere?

Brug datoen for den relevante regel frem for én samlet frist for hele loven. Tabellen skelner også mellem nye og allerede markedsførte systemer.

For højrisikosystemer, som er markedsført eller taget i brug før den relevante højrisikodato, er der særlige overgangsregler. Blandt andet har væsentlige ændringer i systemets udformning betydning. Systemer til offentlige myndigheder har også en særskilt frist i 2030. En eksisterende løsning skal derfor vurderes ud fra sin dato og ændringshistorik, ikke kun tabellen.

Hvilken rolle har du eller din virksomhed?

• Udbyder: I udvikler et AI-system eller får det udviklet og markedsfører eller tager det i brug under eget navn. En integration med en andens model kan derfor give jer udbyderansvar for jeres eget system.
• Idriftsætter: I bruger et AI-system under jeres ansvar, fx et indkøbt værktøj i virksomheden. Medarbejdere, der arbejder efter virksomhedens instrukser, er normalt ikke selvstændige idriftsættere.
• Privat bruger: Rent personlig, ikke-erhvervsmæssig brug er undtaget fra idriftsætterpligterne. En erhvervsmæssig aktivitet bliver ikke privat, blot fordi værktøjet bruges fra en personlig konto.

Rollerne fremgår af Kommissionens spørgsmål og svar om artikel 50. Start med at beskrive den konkrete opgave; navnet på AI-værktøjet alene afgør ikke jeres pligter.

Risiko: Det er anvendelsen, der gør forskellen

Forbudte praksisser

Forbuddene omfatter blandt andet skadelig manipulation, visse former for social bedømmelse og følelsesgenkendelse på arbejdspladser og uddannelsesinstitutioner med undtagelser for medicinske eller sikkerhedsmæssige formål. Ikke enhver anbefaling eller påvirkning er dermed forbudt: De præcise betingelser, herunder skade og anvendelse, er afgørende. De nye forbud om intimt materiale og materiale med overgreb mod børn gælder fra 2. december 2026.

Højrisiko: Fx sortering af ansøgere

AI til at analysere og filtrere jobansøgninger eller evaluere kandidater er omfattet af bilag III. Det er noget andet end at rette kommaer i en stillingsannonce. Der findes snævre undtagelser for blandt andet forberedende eller rent proceduremæssige opgaver uden væsentlig indflydelse på beslutningen; profilering af personer i bilag III er dog altid højrisiko. Undtagelsen kræver en konkret vurdering efter artikel 6.

Udbyderen skal blandt andet håndtere systemets risici, dokumentation og overensstemmelse. En virksomhed, der anvender højrisiko-AI, skal efter artikel 26 blandt andet følge brugsanvisningen, udpege kompetente personer til menneskeligt tilsyn og overvåge brugen. Det gør ikke automatisk virksomheden ansvarlig for at CE-mærke leverandørens system. Pligterne indfases efter datoerne ovenfor.

Almindelig skrivehjælp: Se på opgaven

At rette stavefejl i en stillingsannonce er en anden opgave end at sortere ansøgere. Beskriv derfor, hvad funktionen gør med teksten, frem for at klassificere hele værktøjet ud fra dets navn. En grammatisk rettelse ændrer sproget; en vurdering af, hvem der skal indkaldes, påvirker personers muligheder.

Fravær af højrisikokrav er ikke det samme som, at alle regler er irrelevante. AI-færdigheder, eventuelle gennemsigtighedskrav og GDPR skal vurderes hver for sig. Et værktøj, der både retter tekst og genererer nyt indhold, kan have forskellige funktioner med forskellige krav.

Hvornår skal AI-indhold mærkes?

Artikel 50 skelner mellem en udbyders maskinlæsbare mærkning og en idriftsætters oplysning til mennesker. En teknisk markering i en fil er ikke nødvendigvis en synlig etiket.

• Direkte samtale med AI: Udbyderen skal sikre, at personen informeres, medmindre det er åbenbart ud fra situationen. Oplysningen skal som udgangspunkt gives senest ved første kontakt.
• Genereret output: Udbyderen skal sikre maskinlæsbar mærkning og mulighed for at opdage AI-generering. Der er undtagelser for blandt andet almindelig assisterende redigering uden væsentlig ændring af indholdet.
• Deepfakes: Den erhvervsmæssige bruger skal oplyse, at indholdet er kunstigt genereret eller manipuleret. For tydeligt kunstneriske eller fiktive værker kan oplysningen tilpasses præsentationen.
• Offentlig tekst af offentlig interesse: AI-genereret eller manipuleret tekst skal oplyses som sådan. Undtagelsen kræver menneskelig gennemgang eller redaktionel kontrol, og at en person eller organisation har det redaktionelle ansvar.

Det er altså ikke et generelt krav om at skrive »lavet med AI« på enhver mail eller tekst. Her er tre fiktive eksempler, som viser forskellen.

Eksempel 1: AI retter et internt mødereferat

Referatet er hverken en direkte AI-samtale med modtagerne eller en offentlig tekst af offentlig interesse. Artikel 50 kræver derfor ikke en synlig AI-etiket på denne mail. Personoplysninger, fortrolighed og arbejdspladsens egne regler skal stadig håndteres.

Eksempel 2: En chatbot svarer kunder direkte

Den fiktive virksomhed Fjordlys sælger lamper. Dens nye kundechat svarer automatisk på spørgsmål. Før kunden skriver, viser chatten:

Den første sætning oplyser klart, at samtalen er med AI. Kontaktmuligheden er et praktisk valg i eksemplet og skal faktisk findes. En besked gemt nederst i handelsbetingelserne giver ikke kunden samme oplysning ved første kontakt.

Eksempel 3: AI skriver om en offentlig trafikændring

En lokal forening vil offentliggøre en AI-genereret tekst om en ny busrute. Formålet er at informere offentligheden om et emne af offentlig interesse. Redaktøren vælger at gennemgå indholdet, kontrollere køreplanen og tage ansvar for udgivelsen. Foreningens interne udgivelsesnotat lyder:

Det er den reelle kontrol og det redaktionelle ansvar, der er afgørende for undtagelsen, ikke selve notatet. Kun at rette stavning eller klikke »godkend« er ikke en indholdsmæssig gennemgang. Udgives teksten uden den relevante kontrol og ansvar, skal AI-brugen oplyses tydeligt, fx: »Denne tekst er genereret med AI.«

AI-færdigheder: Hvad skal arbejdspladsen gøre?

Den ændrede artikel 4 kræver foranstaltninger, der støtter udviklingen af AI-færdigheder hos personale og andre, der bruger systemerne på virksomhedens vegne. Oplæringen skal passe til deres erfaring, opgaver og de personer, AI-brugen berører. Reglen kræver ikke, at virksomheden garanterer et bestemt færdighedsniveau hos hver enkelt.

Til en skriveopgave kan I eksempelvis øve tre ting sammen: fjern oplysninger, som værktøjet ikke skal have; find en opdigtet oplysning i et svar; og afgør, hvem der godkender den endelige tekst. Gem kort, hvilke opgaver I har gennemgået, og følg op, når værktøj eller opgave ændrer sig. Det er et praktisk forslag, ikke et lovbestemt kursusformat.

Brug AI-politikkens færdige afsnit og øvelser, når I skal omsætte reglerne til interne instrukser.

GPAI: Modeludbyderens pligter er ikke dine

En AI-model til almen brug kan indgå i mange forskellige systemer. Efter artikel 53 skal modeludbyderen blandt andet vedligeholde teknisk dokumentation til myndighederne, give relevante oplysninger til systemudbydere, have en ophavsretspolitik og offentliggøre et tilstrækkeligt detaljeret resumé af træningsindholdet. Det betyder ikke, at hele den tekniske dokumentation eller hvert træningsdokument skal offentliggøres.

Medarbejderen, der beder en chatbot om et udkast, overtager ikke disse modeludbyderpligter. Udvikler virksomheden derimod selv en løsning, skal den skelne mellem modelleverandørens ansvar og ansvaret for det færdige system.

Bøder: Maksimum er ikke en automatisk regning

Artikel 99 har forskellige bødelofter:

• Forbudte AI-praksisser: op til 35 mio. euro eller 7 % af virksomhedens globale årsomsætning.
• De opregnede øvrige overtrædelser, herunder artikel 50: op til 15 mio. euro eller 3 %.
• Urigtige, ufuldstændige eller vildledende oplysninger som svar på en myndigheds eller et bemyndiget organs anmodning: op til 7,5 mio. euro eller 1 %.

For virksomheder bruges som hovedregel det højeste loft. For SMV’er, herunder startups, bruges det laveste af beløbet og procentdelen. Den konkrete sanktion afhænger blandt andet af alvor, varighed, skade og samarbejde. Modeludbydere har desuden et særskilt sanktionssystem.

Hvor finder du hjælp og klagemuligheder i Danmark?

Digitaliseringsstyrelsen er centralt kontaktpunkt og koordinerer gennemførelsen i Danmark. Tilsynet med de oprindelige forbud er fordelt mellem Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen. Datatilsynet fører også tilsyn med GDPR. Det er ikke det samme som, at Datatilsynet er myndighed for alle AI-spørgsmål.

Bliver du berørt af en afgørelse baseret på et højrisikosystem i bilag III, kan artikel 86 give ret til en klar forklaring på AI-systemets rolle og afgørelsens vigtigste elementer. Retten har bestemte betingelser og undtagelser; den gælder ikke ethvert AI-svar. Notér derfor afgørelsen, datoen, hvem der traf den, og hvordan AI blev brugt, når du henvender dig.

SkrivSikkert i dit skrivearbejde

SkrivSikkert giver læse-, skrive- og forståelseshjælp på webplatformen og i browserudvidelsen. Mange funktioner er gratis uden login.

Til et referat kan du få hjælp til korrektur og tydeligere formuleringer og bruge oplæsning, når du gennemgår teksten. Sammenhold forslaget med originalen: Deltagernes navne, aftalte datoer og beslutninger skal stadig være de samme. Det giver en konkret skriveøvelse til den oplæring, I tilrettelægger.

SkrivSikkert behandler data på danske servere.

Ofte stillede spørgsmål