Hvad er EU AI Act?

EU AI Act – på dansk AI-forordningen – er EU's fælles lovgivning for kunstig intelligens. Formålet er at skabe fælles regler for udvikling og anvendelse af AI i EU og samtidig beskytte sikkerhed, grundlæggende rettigheder og borgernes tillid til teknologien. Forordningen blev vedtaget som Regulation (EU) 2024/1689 og trådte i kraft den 1. august 2024.

AI Act er relevant for langt flere virksomheder end dem, der selv udvikler kunstig intelligens. Organisationer, der anvender AI i eksempelvis HR, kundeservice, markedsføring, produktion eller administration, kan også være omfattet af regler og forpligtelser afhængigt af, hvordan teknologien bruges.

Det centrale princip i AI Act er, at kravene skal stå mål med risikoen. En simpel AI-funktion til at foreslå tekst behandles derfor ikke på samme måde som et AI-system, der bruges til at træffe eller understøtte beslutninger om eksempelvis ansættelse, uddannelse eller adgang til væsentlige tjenester.

Hvorfor har EU lavet en AI Act?

Kunstig intelligens kan skabe store gevinster, men kan også påvirke mennesker på måder, som kan være vanskelige at gennemskue. AI kan eksempelvis bruges til at vurdere jobansøgere, analysere adfærd, identificere personer eller generere indhold, der kan være svært at skelne fra menneskeskabt materiale.

EU har derfor ønsket at etablere fælles regler, der både understøtter innovation og beskytter sundhed, sikkerhed og grundlæggende rettigheder. AI Act er bygget op omkring en risikobaseret tilgang, hvor strengere regler gælder for anvendelser med større potentiel konsekvens.

For virksomheder betyder det, at spørgsmålet ikke kun er, om de bruger AI, men også hvordan AI bruges, hvem der påvirkes, og hvilken rolle virksomheden har i forhold til systemet.

Hvem gælder EU AI Act for?

AI Act gælder ikke kun for virksomheder, der udvikler AI-modeller. Forordningen opererer med forskellige roller, og kravene afhænger blandt andet af, om organisationen udvikler, leverer, importerer, distribuerer eller anvender et AI-system.

For mange almindelige virksomheder vil den vigtigste rolle være som deployer – altså en organisation, der anvender et AI-system i sin virksomhed. En organisation kan dog have flere roller på samme tid, eksempelvis hvis den tilpasser eller integrerer AI i egne produkter eller tjenester.

Derfor er det ikke tilstrækkeligt blot at spørge, hvilket AI-værktøj virksomheden bruger. Man skal også forstå, hvad systemet bruges til, hvilke mennesker det påvirker, hvilke data der behandles, og hvem der har ansvaret.

AI Act gælder også virksomheder uden for EU

Forordningen kan også få betydning for virksomheder uden for EU. Det gælder blandt andet, hvis de markedsfører eller leverer AI-systemer på EU-markedet, eller hvis output fra et AI-system anvendes i EU under de betingelser, som forordningen beskriver.

Det gør AI Act relevant for internationale software- og AI-leverandører, der tilbyder tjenester til europæiske virksomheder og borgere.

AI Act arbejder med forskellige risikoniveauer

En af de vigtigste idéer i AI Act er, at ikke al AI udgør den samme risiko. EU beskriver en model, hvor AI-anvendelser kan spænde fra minimal eller ingen risiko til høj risiko og i enkelte tilfælde uacceptabel risiko.

For virksomheder betyder det, at kravene afhænger af den konkrete anvendelse. Et værktøj, der hjælper en medarbejder med at formulere en tekst, har typisk en anden risikoprofil end et system, der vurderer kandidater i en rekrutteringsproces. Det er derfor en fejl at forsøge at lave én enkelt regel for al AI i virksomheden.

Forbudt AI – uacceptabel risiko

AI Act forbyder visse former for AI-anvendelse, fordi EU vurderer, at risikoen er uacceptabel. Reglerne om de forbudte praksisser begyndte at gælde den 2. februar 2025. Forbuddene omfatter blandt andet bestemte former for:

manipulation eller vildledning, der kan medføre væsentlig skade
udnyttelse af menneskers sårbarheder
social scoring
visse former for biometrisk kategorisering
visse former for ansigtsgenkendelsesdatabaser
emotion recognition på arbejdspladser og uddannelsesinstitutioner, med visse undtagelser
visse anvendelser af biometrisk fjernidentifikation

Det er vigtigt at læse de konkrete regler og undtagelser, fordi forbuddene er juridisk præcist definerede og ikke kan reduceres til korte overskrifter.

Hvad er højrisiko-AI?

Den mest omfattende del af AI Act vedrører såkaldte high-risk AI systems – højrisiko-AI-systemer.

Et AI-system kan blive klassificeret som højrisiko, hvis det anvendes inden for bestemte områder, hvor en fejl eller urimelig beslutning kan få væsentlige konsekvenser for menneskers sikkerhed eller grundlæggende rettigheder. Det kan blandt andet omfatte visse anvendelser inden for:

biometrisk identifikation
kritisk infrastruktur
uddannelse
beskæftigelse og HR
adgang til væsentlige private og offentlige tjenester
retshåndhævelse
migration og grænsekontrol
retsvæsen og demokratiske processer

Det betyder ikke, at al AI inden for disse områder automatisk er højrisiko. Klassificeringen afhænger af den konkrete funktion og anvendelse.

AI i HR kræver særlig opmærksomhed

HR er et område, hvor virksomheder bør være særligt opmærksomme. AI-systemer, der anvendes til eksempelvis rekruttering, udvælgelse, evaluering, forfremmelse eller andre beslutninger om medarbejdere, kan falde ind under reglerne om højrisiko-AI afhængigt af deres konkrete funktion.

Det betyder, at der er stor forskel på at bruge generativ AI til at skrive et første udkast til et jobopslag og at bruge AI til automatisk at rangere eller udvælge kandidater. Virksomheder bør derfor klassificere AI ud fra den konkrete anvendelse og ikke blot ud fra produktets navn.

Krav til højrisiko-AI

For højrisiko-AI stiller AI Act betydeligt strengere krav. Afhængigt af organisationens rolle kan det blandt andet omfatte krav til risikostyring, data governance, dokumentation, logging, information til brugere, menneskelig kontrol, robusthed, nøjagtighed og cybersikkerhed.

Formålet er at sikre, at systemerne ikke blot fungerer teknisk, men også kan anvendes på en måde, hvor risikoen er kendt og kontrolleret. For virksomheder betyder det, at AI Governance, dokumentation og tydeligt ejerskab bliver særligt vigtigt ved højrisikoanvendelser.

Tidsplanen for højrisiko-AI er blevet ændret

Tidsplanen for AI Act har ændret sig under implementeringen. I 2026 blev EU's medlovgivere enige om ændringer, der blandt andet udskyder anvendelsen af bestemte krav til højrisiko-AI-systemer. De relevante regler for visse højrisikosystemer er nu planlagt til at gælde fra 2. december 2027, mens visse systemer, der indgår i regulerede produkter, følger senere.

Det er derfor vigtigt ikke at arbejde ud fra ældre artikler, der blot angiver 2. august 2026 som den generelle deadline for alle højrisikosystemer.

Virksomheder bør løbende kontrollere den officielle implementeringstidslinje, fordi forskellige dele af forordningen gælder på forskellige tidspunkter.

AI literacy – medarbejderne skal forstå AI

En af de regler, der allerede gælder, handler om AI literacy – altså AI-kompetencer. Siden 2. februar 2025 har AI Act stillet krav om, at udbydere og anvendere af AI-systemer tager passende skridt til at sikre et tilstrækkeligt niveau af AI-kompetence hos medarbejdere og andre personer, der arbejder med AI på deres vegne. Det betyder ikke nødvendigvis, at alle medarbejdere skal på det samme AI-kursus. Kompetencen bør tilpasses:

medarbejderens rolle
AI-systemets anvendelse
virksomhedens branche
risikoen ved anvendelsen
medarbejderens eksisterende viden

En medarbejder, der bruger AI til idéudvikling, har ikke nødvendigvis behov for samme uddannelse som en HR-medarbejder, der arbejder med AI i en rekrutteringsproces.

AI literacy er mere end Prompt Engineering

AI-kompetence bør ikke kun handle om at skrive gode prompts. Medarbejderne bør også forstå:

hvad AI kan og ikke kan
at AI kan tage fejl
hvordan resultater skal kontrolleres
hvilke data der må anvendes
hvilke risici der findes
hvornår menneskelig vurdering er nødvendig
hvilke regler virksomheden har for AI

Det gør AI literacy til en vigtig del af virksomhedens samlede AI Governance.

Regler for General-Purpose AI

AI Act indeholder også regler for General-Purpose AI (GPAI) – altså generelle AI-modeller, der kan anvendes til mange forskellige formål. Reglerne for general-purpose AI begyndte at gælde den 2. august 2025.

Disse regler er især relevante for virksomheder, der udvikler eller udbyder store generelle AI-modeller. Kravene kan blandt andet omfatte teknisk dokumentation, information til virksomheder, der bygger videre på modellerne, samt regler vedrørende ophavsret og transparens. Der gælder yderligere forpligtelser for general-purpose AI-modeller med såkaldt systemisk risiko.

Er ChatGPT og andre generative AI-værktøjer omfattet?

AI Act regulerer ikke et produkt alene på baggrund af dets navn. Reglerne afhænger af blandt andet modellen, systemet og den konkrete anvendelse.

Store generelle modeller, der ligger bag tjenester som ChatGPT, Gemini og lignende, kan være omfattet af reglerne for general-purpose AI på leverandørsiden. Når en almindelig virksomhed bruger en sådan tjeneste, afhænger dens egne forpligtelser af, hvordan AI-systemet anvendes. At en virksomhed bruger ChatGPT betyder derfor ikke automatisk, at anvendelsen er højrisiko.

Transparens og AI-genereret indhold

AI Act indeholder også transparenskrav for visse AI-systemer og former for AI-genereret eller manipuleret indhold. En vigtig del af disse regler begyndte at gælde i august 2026. Reglerne omfatter blandt andet visse situationer, hvor:

mennesker interagerer direkte med AI
syntetisk indhold genereres eller manipuleres
deepfakes anvendes
AI-genereret tekst offentliggøres i bestemte sammenhænge af offentlig interesse

De konkrete krav varierer alt efter typen af system og indhold, og der findes undtagelser. Det er derfor for enkelt blot at sige, at “alt AI-indhold skal mærkes”.

Skal alle AI-tekster mærkes?

Nej. AI Act indeholder ikke et generelt krav om, at enhver tekst, som en medarbejder har fået hjælp til at skrive med AI, skal mærkes “skrevet af AI”. Transparenskravene er mere specifikke og afhænger blandt andet af typen af system, indholdet og den konkrete anvendelse. Virksomheder bør derfor undgå både at undervurdere og overfortolke reglerne.

Hvad betyder AI Act for almindelige virksomheder?

For de fleste virksomheder er den vigtigste opgave ikke at læse hele forordningen fra ende til anden. Den vigtigste opgave er at skabe overblik. Virksomheden bør vide:

hvilke AI-systemer den bruger
hvad de bruges til
hvem der anvender dem
hvilke data der behandles
om mennesker påvirkes af resultaterne
hvem der har ansvaret
hvor stor risikoen er

Først derefter kan virksomheden afgøre, hvilke regler og kontroller der er relevante.

Start med et AI-register

Et praktisk første skridt er at oprette et AI-register. Det behøver ikke være kompliceret. For hvert AI-system kan virksomheden eksempelvis registrere:

navn på systemet
leverandør
formål
afdeling
ansvarlig person
hvilke data der anvendes
hvilke personer der påvirkes
vurderet risiko
om menneskelig godkendelse findes
dato for seneste vurdering

Det giver virksomheden et konkret udgangspunkt for governance og compliance.

Lav en AI-politik

Virksomheden bør også have klare interne regler for AI. En AI-politik kan blandt andet beskrive:

hvilke værktøjer medarbejdere må bruge
hvilke data der må deles
hvilke data der ikke må deles
hvornår AI-resultater skal kontrolleres
hvornår menneskelig godkendelse er nødvendig
hvem medarbejderen kan spørge
hvordan nye AI-værktøjer godkendes

En kort, konkret og forståelig AI-politik er ofte mere værdifuld end et omfattende dokument, som medarbejderne aldrig læser.

Klassificér anvendelsen – ikke kun værktøjet

Dette er en af de vigtigste praktiske pointer. Det samme AI-værktøj kan bruges til både lav- og højrisikoopgaver. En HR-medarbejder kan eksempelvis bruge generativ AI til: “Skriv et venligt velkomstbrev til vores nye medarbejder.” Det er meget forskelligt fra: “Rangér disse 200 kandidater og udvælg de ti bedste til jobsamtale.” Virksomheden bør derfor klassificere use cases – ikke kun AI-produkter.

Menneskelig kontrol er vigtig

AI Act lægger betydelig vægt på menneskelig kontrol, især ved højrisikoanvendelser. Det betyder, at virksomheden bør definere, hvornår et menneske skal:

kontrollere resultatet
kunne tilsidesætte AI
godkende en beslutning
stoppe systemet
håndtere fejl

Human in the Loop bør derfor tænkes ind i arbejdsprocessen fra starten og ikke tilføjes bagefter.

Dokumentér jeres beslutninger

Virksomheder bør dokumentere de vigtigste vurderinger omkring AI.

Det kan eksempelvis være:

hvorfor systemet anvendes
hvordan risikoen er vurderet
hvilke data der anvendes
hvilke sikkerhedsforanstaltninger der findes
hvordan mennesker kontrollerer systemet
hvilke tests der er udført
hvem der har godkendt anvendelsen

God dokumentation gør det lettere både at styre AI internt og at demonstrere ansvarlig anvendelse senere.

AI Act og GDPR

AI Act erstatter ikke GDPR.

Hvis AI behandler personoplysninger, kan GDPR fortsat være relevant ved siden af AI Act. Det samme kan anden europæisk eller national lovgivning afhængigt af anvendelsen.

En virksomhed kan derfor ikke konkludere: “Vores AI overholder AI Act, så vi behøver ikke tænke på GDPR.” AI-compliance skal ses som en del af virksomhedens samlede arbejde med data, sikkerhed og lovgivning.

AI Act og AI Governance

AI Act og AI Governance er tæt forbundet, men er ikke det samme. AI Act er lovgivning. AI Governance er virksomhedens samlede måde at styre AI på. God AI Governance kan hjælpe virksomheden med at overholde AI Act, men omfatter også områder som:

informationssikkerhed
leverandørstyring
datakvalitet
kompetencer
kvalitetssikring
etiske principper
ansvar
forretningsværdi

En moden virksomhed bør derfor ikke opbygge sin AI-strategi alene omkring compliance.

Hvad med AI-agenter?

AI Act indeholder ikke en særskilt kategori med navnet “AI-agent”, hvor alle agenter automatisk behandles på samme måde. En agent vurderes ud fra de funktioner og anvendelser, den faktisk har.

En agent, der hjælper med at finde mødetider, har en anden risiko end en agent, der har adgang til økonomisystemer eller indgår i beslutninger om medarbejdere. Det betyder, at virksomheder bør fokusere på:

hvad agenten kan gøre
hvilke data den kan se
hvilke systemer den har adgang til
hvilke mennesker den påvirker
konsekvensen af en fejl

Agentisk AI gør derfor behovet for governance og risikovurdering endnu større.

Sanktioner og bøder

AI Act giver mulighed for betydelige administrative bøder ved overtrædelser. De højeste bødeniveauer kan efter forordningens bestemmelser nå op til 35 millioner euro eller 7 procent af en virksomheds samlede globale årsomsætning fra det foregående regnskabsår, afhængigt af overtrædelsen og virksomhedens størrelse.

Andre typer overtrædelser har lavere maksimale bødeniveauer. Bøderne bør dog ikke være den primære årsag til at etablere AI Governance. Den større forretningsmæssige risiko kan i mange tilfælde være forkerte beslutninger, datalæk, tab af tillid eller anvendelse af AI uden organisationens overblik.

Sådan kommer virksomheden i gang

Virksomheden behøver ikke begynde med et stort complianceprojekt. Start med nogle få konkrete skridt.

1. Kortlæg virksomhedens AI

Find ud af, hvilke AI-systemer og AI-funktioner der allerede anvendes.

2. Identificér anvendelserne

Beskriv, hvad AI konkret bruges til.

3. Vurder risikoen

Spørg, hvad konsekvensen vil være, hvis systemet tager fejl.

4. Identificér data

Undersøg, hvilke data AI-systemet får adgang til.

5. Definér ansvar

Hvert væsentligt AI-system eller use case bør have en ejer.

6. Etablér en AI-politik

Giv medarbejderne tydelige og praktiske regler.

7. Opbyg AI-kompetencer

Sørg for, at medarbejderne forstår både mulighederne og risiciene ved de systemer, de anvender.

8. Følg udviklingen

AI Act implementeres gradvist, og både vejledning, standarder og tidsplaner udvikler sig fortsat.

Ofte stillede spørgsmål om EU AI Act

Hvad er EU AI Act?

EU AI Act er EU's fælles forordning om kunstig intelligens. Den opstiller regler for udvikling, markedsføring og anvendelse af AI-systemer ud fra deres risikoniveau.

Hvornår trådte AI Act i kraft?

Forordningen trådte i kraft den 1. august 2024, men reglerne finder anvendelse gradvist over flere år.

Gælder AI Act allerede?

Ja. Blandt andet reglerne om forbudte AI-praksisser og AI literacy har været gældende siden 2. februar 2025, mens reglerne om general-purpose AI begyndte at gælde i august 2025. Flere andre bestemmelser gælder fra 2026 og frem.

Gælder AI Act for små virksomheder?

Ja, afhængigt af virksomhedens rolle og anvendelse af AI. Der findes dog forskellige proportionale hensyn og regler, og kravene afhænger af den konkrete situation.

Er ChatGPT højrisiko-AI?

Ikke automatisk. Risikoen afhænger i høj grad af den konkrete anvendelse. At bruge en generativ AI-assistent til almindelig tekstproduktion er ikke det samme som at bruge AI i en højrisikoproces.

Er AI i HR højrisiko?

Visse anvendelser af AI inden for beskæftigelse og HR kan være højrisiko, eksempelvis systemer med bestemte funktioner i rekruttering eller medarbejderbeslutninger. Det afhænger af den konkrete funktion.

Skal AI-genereret indhold altid mærkes?

Nej. AI Act indeholder specifikke transparenskrav for bestemte typer AI-systemer og genereret eller manipuleret indhold, men ikke et universelt krav om at mærke alt, der har fået hjælp fra AI.

Hvad betyder AI literacy?

AI literacy handler om, at personer, der arbejder med AI, har tilstrækkelige kompetencer og forståelse til at anvende systemerne på en informeret og ansvarlig måde. Kravet begyndte at gælde den 2. februar 2025.

Er AI Act det samme som GDPR?

Nej. AI Act regulerer kunstig intelligens, mens GDPR regulerer behandling af personoplysninger. Begge regelsæt kan gælde samtidig.

Kan virksomheder få bøder?

Ja. AI Act giver mulighed for betydelige administrative bøder afhængigt af typen og alvoren af overtrædelsen.

Konklusion

EU AI Act markerer et vigtigt skifte i måden, virksomheder skal forholde sig til kunstig intelligens på. AI er ikke længere kun et spørgsmål om teknologi og produktivitet. Det er også blevet et spørgsmål om ansvar, risiko, kompetencer og dokumentation.

For de fleste virksomheder er den bedste start ikke at forsøge at forstå alle juridiske detaljer på én gang. Start med at skabe overblik over, hvilken AI virksomheden bruger, hvad den bruges til, hvilke data den behandler, hvem den påvirker, og hvem der har ansvaret.

Derefter kan anvendelserne risikovurderes, og virksomheden kan etablere de nødvendige kontroller. Nogle AI-anvendelser kræver kun enkle retningslinjer, mens andre kan kræve omfattende dokumentation, kontrol og compliance.

Det vigtigste princip er derfor enkelt:

Jo større konsekvens en AI-beslutning kan have for mennesker eller virksomheden, desto større bør kravene være til kontrol, kompetencer og ansvar.

EU AI Act bør heller ikke kun betragtes som en juridisk byrde. Rigtigt håndteret kan reglerne være med til at skabe den struktur og tillid, der gør det muligt at anvende AI mere professionelt og i større skala.

Lær mere

Hvis du vil forstå ansvarlig anvendelse af kunstig intelligens, anbefaler vi også:

Hvad er AI Governance?
Hvad er Kunstig Intelligens (AI)?
Hvad er Generativ AI?
Hvad er AI-agenter?
Hvad er en Large Language Model (LLM)?
Hvad er RAG?
Hvad er MCP?
Hvad er Prompt Engineering?

På Akademiets AI-kurser lærer du både at anvende AI i praksis og forstå de rammer, virksomheder skal arbejde inden for. Det omfatter blandt andet generativ AI, AI Governance, AI literacy, datasikkerhed og ansvarlig implementering af kunstig intelligens.