Kort fortalt: AI Act gælder ikke kun virksomheder, der udvikler AI. En virksomhed, som bruger et AI-system under eget ansvar, kan være idriftsætter – på engelsk deployer. Kravene afhænger af systemet og anvendelsen. Et almindeligt skriveværktøj og et AI-system til rekruttering har derfor ikke nødvendigvis samme risikoniveau eller krav.
AI Act trådte i kraft 1. august 2024, men reglerne bliver indfaset over flere år. For de fleste danske virksomheder er første opgave ikke at skrive en lang politik. Det er at få styr på, hvilke AI-systemer medarbejderne bruger, hvorfor de bruges, hvilke data de får, og hvem der har ansvaret.
Hvilke AI Act-regler gælder allerede?
| Dato | Hvad gælder? |
|---|---|
| 2. februar 2025 | Regler om forbudt AI-praksis og kravet om tilstrækkelige AI-færdigheder begyndte at gælde. |
| 2. august 2025 | Regler om governance og forpligtelser for udbydere af AI-modeller til almen brug begyndte at gælde. |
| 2. august 2026 | Hovedparten af de øvrige regler bliver anvendelige, herunder centrale transparenskrav. |
| 2. december 2027 | EU-Kommissionens aktuelle oversigt angiver denne dato for visse højrisikosystemer på særlige områder. |
| 2. august 2028 | Den aktuelle oversigt angiver denne dato for højrisikosystemer indbygget i regulerede produkter. |
Tidsplanen for højrisikosystemer er blevet ændret som led i EU's arbejde med at forenkle reglerne. Kontrollér derfor altid den aktuelle tidsplan hos EU-Kommissionen, før I træffer en juridisk eller produktmæssig beslutning.
Gælder AI Act, hvis vi bare bruger ChatGPT?
Potentielt ja, men det betyder ikke, at alle krav automatisk gælder for enhver brug. AI Act skelner blandt andet mellem udbyderen, som udvikler eller markedsfører systemet, og idriftsætteren, som bruger det under eget ansvar som led i en professionel aktivitet.
Den konkrete anvendelse er afgørende. Et sprogmodul, der retter stavefejl, er noget andet end et system, der sorterer jobansøgere eller påvirker adgangen til væsentlige tjenester.
Seks opgaver virksomheder bør begynde med
1. Lav en enkel oversigt over jeres AI-brug
Registrér både centralt indkøbte værktøjer og kendt medarbejderbrug. Notér ejer, leverandør, formål, brugere, datatyper og hvilke beslutninger outputtet påvirker. Et regneark med tydeligt ejerskab er bedre end en politik uden overblik.
2. Vurder anvendelsen – ikke kun produktnavnet
Spørg, hvem der kan blive påvirket, om output indgår i beslutninger om mennesker, og om et menneske reelt kan kontrollere og tilsidesætte resultatet. Undersøg også, om personoplysninger, fortrolige data eller ophavsretligt beskyttet materiale indgår.
3. Dokumentér AI-færdigheder
Artikel 4 har siden 2. februar 2025 krævet, at udbydere og idriftsættere efter bedste evne sikrer et tilstrækkeligt niveau af AI-færdigheder hos de personer, som bruger systemerne på deres vegne. Træningen bør afspejle medarbejdernes erfaring, systemet, konteksten og de mennesker, systemet kan påvirke.
- Notér hvem der er trænet og hvornår.
- Beskriv hvilke systemer og risici træningen dækkede.
- Planlæg onboarding og opdatering, når værktøjer ændrer sig.
4. Aftal regler for data og kvalitet
AI Act erstatter ikke GDPR, fortrolighed eller ophavsret. En praktisk AI-politik bør beskrive godkendte værktøjer, forbudte datatyper, faktatjek, faglig godkendelse og rapportering af fejl eller hændelser.
5. Undersøg om transparenskrav rammer jeres løsning
Fra 2. august 2026 gælder centrale transparenskrav i artikel 50. De omfatter blandt andet bestemte situationer, hvor mennesker interagerer direkte med AI, eller hvor deepfakes og visse AI-genererede tekster om emner af offentlig interesse bliver offentliggjort.
6. Få styr på leverandøraftaler og ansvar
Bed leverandøren om dokumentation for formål, begrænsninger, databehandling, sikkerhed og menneskeligt tilsyn. Internt skal det være tydeligt, hvem der godkender nye systemer, ejer risikovurderingen og kan stoppe brugen.
En enkel AI Act-tjekliste for SMV'er
- Vi har en opdateret oversigt over AI-systemer og anvendelser.
- Hvert system har en intern ejer og et dokumenteret formål.
- Vi har vurderet, hvem der kan blive påvirket af outputtet.
- Relevant AI-træning er gennemført og dokumenteret.
- Vi har klare regler for personoplysninger og fortrolige data.
- Vi ved, hvornår et menneske skal kontrollere output.
- Vi har undersøgt relevante transparenskrav.
- Vi har en proces for fejl, klager og ændringer.
Er en AI-politik nok?
Nej. En politik er nyttig, men dokumenterer ikke i sig selv, hvilke systemer virksomheden bruger, om medarbejderne har de rette færdigheder, eller om en konkret anvendelse er vurderet korrekt.
Et praktisk minimum består af et register over systemer og anvendelser, en kort politik med ansvar og spilleregler samt dokumenteret træning og risikovurdering af de følsomme anvendelser.