EU AI Act er den første lovgivning i verden, der regulerer kunstig intelligens systematisk. Reglerne indfases fra 2025 til 2028: forbuddene gælder allerede, transparenskravene gælder fra august 2026, og kravene til høj-risiko AI-systemer gælder først fra december 2027 og august 2028. Her er det, danske SMV'er faktisk behøver at vide.
Lad os starte med den gode nyhed: de fleste danske SMV'er, der bruger standard AI-værktøjer til intern effektivisering, er ikke i farezonen under EU AI Act. Loven er primært designet til at regulere udbydere af høj-risiko AI-systemer, og det er sjældent det, en SMV bygger.
Men der er undtagelser. Og der er ting, du skal have styr på, uanset hvad. Lad os gennemgå det systematisk.
- De fleste danske SMV'er, der bruger AI til intern effektivisering, er ikke direkte berørt af EU AI Act.
- Fra 2. august 2026 gælder transparenskravene: en chatbot skal fortælle brugeren, at det er en AI, og visse AI-genererede tekster, billeder og deep fakes skal mærkes.
- Kravene til høj-risiko AI-systemer er udskudt: 2. december 2027 for fx rekruttering og uddannelse, og 2. august 2028 for AI i regulerede produkter.
- Forbuddene mod fx følelsesgenkendelse af medarbejdere har gældt siden februar 2025.
- Bruger I ChatGPT, Copilot eller automatiseringsplatforme til interne processer, er I sandsynligvis lav-risiko. GDPR gælder dog fuldt ud.
Hvad er EU AI Act, og hvornår gælder det?
EU AI Act (forordning 2024/1689) blev vedtaget i juni 2024 og trådte formelt i kraft i august 2024. Reglerne indfases trinvist, og tidsplanen for høj-risiko-reglerne blev ændret med den såkaldte AI-omnibus, som trådte i kraft 27. juli 2026. Ifølge Europa-Kommissionen ser tidsplanen nu sådan ud:
- August 2024: Forordningen trådte i kraft
- Februar 2025: Forbud mod AI med "uacceptabel risiko" gælder
- August 2025: Regler for General Purpose AI (GPAI)-modeller gælder
- 2. august 2026: Transparenskrav gælder, og nationale myndigheder og EU's AI-kontor begynder at håndhæve reglerne
- December 2026: Forbud mod AI, der genererer seksuelt eksplicit indhold uden samtykke eller materiale med seksuelt misbrug af børn
- 2. december 2027: Regler for høj-risiko AI-systemer i følsomme områder som beskæftigelse, uddannelse, biometri og kritisk infrastruktur
- 2. august 2028: Regler for høj-risiko AI-systemer, der er indbygget i regulerede produkter
For de fleste SMV'er er august 2026 den dato, der har praktisk betydning, fordi transparenskravene rammer chatbots og AI-genereret indhold. Bruger I AI til rekruttering eller medarbejdervurdering, er 2. december 2027 den dato, I skal planlægge efter.
De fire risikokategorier
AI Act opdeler AI-systemer i fire risikokategorier. Din virksomheds forpligtelser afhænger af, hvilken kategori dine systemer falder i.
Uacceptabel risiko (forbudt)
Disse former for AI er forbudt i EU. De første otte har været forbudt siden februar 2025, det niende gælder fra december 2026:
- Skadelig manipulation og vildledning med AI
- AI der udnytter sårbare personers svagheder
- Social scoring
- Forudsigelse af, om en enkeltperson vil begå kriminalitet
- Ikke-målrettet indsamling (scraping) af ansigtsbilleder fra internettet eller overvågningskameraer til ansigtsgenkendelsesdatabaser
- Følelsesgenkendelse på arbejdspladser og i uddannelsesinstitutioner
- Biometrisk kategorisering for at udlede fx etnicitet, politisk holdning eller seksuel orientering
- Biometrisk fjernidentifikation i realtid til retshåndhævelse på offentlige steder
- AI der genererer seksuelt eksplicit indhold uden samtykke eller materiale med seksuelt misbrug af børn
For danske SMV'er: Det punkt, der oftest er relevant, er følelsesgenkendelse af medarbejdere. Værktøjer der analyserer medarbejderes stemning eller følelser ud fra stemme, ansigt eller adfærd, fx i callcentre eller til trivselsmåling, må ikke bruges på arbejdspladsen. Resten er typisk ikke relevant for kommerciel AI-brug til intern effektivisering.
Høj risiko (reguleret)
Her begynder det at blive relevant. Høj-risiko AI-systemer er systemer, der bruges i kritiske sammenhænge. EU AI Act definerer dem i to grupper med hver sin startdato:
Bilag I (fra 2. august 2028): AI i allerede regulerede produkter (medicinsk udstyr, biler, legetøj, elevatorer). Kræver CE-mærkning og overensstemmelsesvurdering.
Bilag III (fra 2. december 2027): AI-systemer i følsomme anvendelsesområder:
- Beskæftigelse og HR: Systemer der screener CV'er, rangerer kandidater, evaluerer medarbejdere eller træffer ansættelsesbeslutninger
- Adgang til væsentlige tjenester: fx systemer der vurderer kreditværdighed eller låneansøgninger
- Uddannelse: Systemer der evaluerer studerende eller bestemmer adgang til uddannelse
- Biometri: fx biometrisk identifikation og kategorisering
- Kritisk infrastruktur: Systemer der styrer vand, el, gas, transport
- Retshåndhævelse, migration, asyl og grænsekontrol
- Retsvæsen og demokratiske processer
For danske SMV'er: Det kritiske punkt her er rekruttering. Bruger du AI til at screene CV'er, score kandidater eller filtrere ansøgere? Så er dit system potentielt høj-risiko under AI Act, og kravene gælder fra 2. december 2027.
Krav til høj-risiko systemer inkluderer bl.a.: teknisk dokumentation, risikovurdering, logning, menneskeligt tilsyn og registrering i EU-databasen. Med AI-omnibussen er visse forenklede krav, fx til teknisk dokumentation, udvidet fra SMV'er til også at gælde små mid-cap-virksomheder.
Begrænset risiko (transparenskrav fra 2. august 2026)
AI-systemer med transparenskrav:
- Chatbots: Brugerne skal oplyses om, at de interagerer med AI
- AI-genereret indhold: Udbydere af generativ AI skal sikre, at indholdet kan identificeres som AI-genereret. Deep fakes og tekster, der offentliggøres for at informere offentligheden om samfundsmæssige emner, skal mærkes tydeligt
- Følelsesgenkendelse og biometrisk kategorisering: De berørte personer skal oplyses om det. På arbejdspladser og i uddannelse er følelsesgenkendelse forbudt
For danske SMV'er: Har du en AI-chatbot på din hjemmeside eller i kundeservice? Så skal brugerne oplyses om, at de taler med en AI og ikke med et menneske. Det er simpelt at implementere og kræver blot en tydelig meddelelse.
Minimal risiko (ingen specifikke krav)
Langt de fleste AI-systemer falder her: AI-filtre i e-mail, anbefalingssystemer, søgefunktioner, tekstgenerering til intern brug, automationsplatforme. Ingen specifikke AI Act-forpligtelser, men GDPR gælder stadig fuldt ud. Se GDPR og AI: hvad må danske virksomheder? for en gennemgang af de databeskyttelsesmæssige krav.
Hvad er sikkert at bygge uden compliance-arbejde?
De følgende use cases er typisk minimal risiko og kræver ikke specifik AI Act-compliance ud over GDPR:
- Interne automationsworkflows (Make, n8n, Zapier): Dataflyt, notifikationer, rapportgenerering
- AI-tekstgenerering til intern brug: Udkast, opsummeringer, intern kommunikation
- AI-assisteret kundeservice (med tydelig AI-disclosure): Svar på FAQ, ordrestatus, standardhenvendelser, forudsat at brugeren oplyses om AI-interaktion
- Procesoptimering og rapportering: AI der analyserer interne data og genererer ledelsesrapporter
- Systemintegration: Forbindelser mellem eksisterende systemer, uanset om AI bruges til dataomdannelse
Hvad skal du have styr på nu?
Trin 1: Kortlæg dine AI-systemer
Lav en simpel liste over alle AI-systemer din virksomhed bruger eller planlægger at bygge. For hvert system: hvad gør det, hvem påvirkes, og hvilken risikokategori passer den i?
Trin 2: Tjek at I ikke bruger forbudt AI
Forbuddene gælder allerede. Tjek særligt, om nogen af jeres værktøjer analyserer medarbejderes følelser eller stemning.
Trin 3: Implementer AI-disclosure til chatbots
Er der en AI-assistent der kommunikerer med kunder eller brugere? Tilføj en tydelig "Du taler med en AI"-besked ved start af samtalen. Det har været påkrævet siden 2. august 2026.
Trin 4: Planlæg for høj-risiko-elementer
Bruger du (eller planlægger du) AI til rekruttering, kreditvurdering eller andre Bilag III-områder? Så har du brug for dokumentation og muligvis ekstern vurdering inden 2. december 2027. Det lyder langt væk, men dokumentation og processer tager tid at få på plads.
Trin 5: Tjek din GPAI-brug
Bruger du General Purpose AI-modeller (ChatGPT, Claude, Gemini) som del af dine produkter eller tjenester til kunder? Tjek at udbydernes vilkår er opdaterede og kompatible med EU AI Act.
Trin 6: Dokumentér dine eksisterende AI-systemer
Selv for minimal-risiko systemer er det god praksis at have en kort beskrivelse af: hvad systemet gør, hvilke data det bruger, og hvilket menneskeligt tilsyn der er tilknyttet. Det tager en time og giver intern klarhed.
Hvad sker der, hvis man ikke overholder reglerne?
EU AI Act har markante bøder: op til 35 mio. euro eller 7% af global omsætning for de alvorligste overtrædelser (brug af forbudt AI). For manglende overholdelse af andre krav, fx høj-risiko-kravene, er bøderne op til 15 mio. euro eller 3% af global omsætning.
For SMV'er er bøden loftet ved det laveste af de to beløb, men lovgivningen gælder formelt for alle virksomheder der opererer i EU, uanset størrelse.
Siden 2. august 2026 har EU's AI-kontor og de nationale myndigheder haft ansvaret for at håndhæve reglerne. I Danmark er Digitaliseringsstyrelsen udpeget som national tilsynsmyndighed, mens Datatilsynet og Domstolsstyrelsen fører tilsyn på udvalgte områder.
Den praktiske konklusion
For langt de fleste danske SMV'er er EU AI Act ikke en stor byrde. Brug fire timer på at kortlægge jeres AI-systemer, tjek at I ikke bruger forbudt AI, implementer AI-disclosure på eventuelle chatbots, og vær særligt opmærksom hvis I bruger AI til rekruttering.
Det kræver at nogen tager sig tid til at gøre det.
Vi hjælper gerne med at gennemgå jeres specifikke setup og vurdere, hvad I skal have styr på. Det er typisk en halv til en hel dag, og det giver jer ro til at fortsætte med at bygge. Vi er ikke advokater, og for en juridisk bindende vurdering bør I tale med en advokat.
Kilder og metode
Denne artikel er baseret på EU AI Act (forordning 2024/1689) og Europa-Kommissionens oversigt over reglerne (senest opdateret 3. august 2026). Senest gennemgået af OCHO 29. september 2026. Artiklen er ikke juridisk rådgivning. Konsultér en advokat for forpligtende juridisk vurdering af jeres specifikke situation.
Tag en uforpligtende snak på 30 minutter. Vi kigger på jeres specifikke situation og fortæller jer, hvad vi kan gøre.
Hør mere