EU AI Act i oversigt
EU's AI-forordning (forordning (EU) 2024/1689) er verdens første omfattende lov om kunstig intelligens. Den regulerer ikke AI ensartet, men ud fra risikoen ved anvendelsen og berører næsten enhver virksomhed, der bruger AI.
Hvad handler EU AI Act om?
EU AI Act trådte i kraft den 1. august 2024 og gælder som EU-forordning direkte i alle medlemsstater, uden at der kræves national gennemførelseslovgivning. Målet er en troværdig, sikker og grundrettighedskonform brug af AI i det indre marked. Forordningen følger en risikobaseret tilgang: Jo højere risiko en AI-applikation udgør for mennesker og samfund, desto strengere er kravene.
Vigtigt: EU AI Act har ekstraterritorial virkning. Også udbydere uden for EU er omfattet, så snart deres AI-systemer bringes i omsætning i EU, eller deres resultater anvendes i EU. Forpligtelserne træder desuden ikke i kraft på én gang, men gradvist. En komplet tidslinje finder du på vores fristside.
Den risikobaserede tilgang: de fire risikoklasser
Kernen i EU AI Act er inddelingen af AI-systemer i fire risikoklasser. Klassen afgør de konkrete forpligtelser:
Uacceptabel risiko
Forbudte praksisser, f.eks. social scoring fra myndigheder eller manipulative systemer. Forbudt siden 2. februar 2025.
Høj risiko
AI på følsomme områder (f.eks. rekruttering, kreditgivning, kritisk infrastruktur). Strenge krav til risikostyring, datakvalitet og menneskelig tilsyn.
Begrænset risiko
Gennemsigtighedskrav. brugerne skal f.eks. vide, at de taler med en chatbot, eller at indhold er AI-genereret.
Minimal risiko
Størstedelen af nutidens applikationer (f.eks. spamfiltre, AI i videospil). Ingen særlige forpligtelser.
De fleste virksomheder anvender AI inden for minimal eller begrænset risiko. Men selv da gælder én grundlæggende forpligtelse uafhængigt af risikoklassen, medarbejdernes AI-kompetence.
GPAI: modeller med generelt formål
En særlig rolle spiller GPAI-modeller (General Purpose AI), store, alsidige AI-modeller som dem, der driver moderne chatbots og tekst- eller billedgeneratorer. For dem gælder siden den 2. august 2025 egne forpligtelser, bl.a. om teknisk dokumentation, gennemsigtighed over for nedstrøms-udbydere og overholdelse af ophavsret. For særligt kraftfulde modeller med mulige systemiske risici kommer yderligere krav til.
Hvem er berørt? Udbydere, idriftsættere og andre
EU AI Act skelner mellem flere roller, med forskelligt vidtrækkende forpligtelser:
- Udbydere (Providers): udvikler AI-systemer eller bringer dem i omsætning under eget navn. De bærer de mest omfattende forpligtelser.
- Idriftsættere (Deployers): anvender AI som led i deres erhvervsmæssige aktivitet. Det gælder de fleste virksomheder.
- Importører og distributører: indfører eller distribuerer AI-systemer på EU-markedet og skal kontrollere, at de er i overensstemmelse med forordningen.
Afgørende: Selv den, der "blot" anvender AI, altså optræder som idriftsætter, er forpligtet, især hvad angår medarbejdernes AI-kompetence. Den udbredte misforståelse "Vi udvikler jo ikke AI, det gælder ikke os" er en af de hyppigste fejl.
Hvilke forpligtelser gælder og fra hvornår?
EU AI Act træder i kraft i etaper. De vigtigste datoer i oversigt:
- 1. august 2024: Forordningen træder i kraft.
- 2. februar 2025: Forbudte praksisser (art. 5) og kravet om AI-kompetence (art. 4) gælder.
- 2. august 2025: Forpligtelser for GPAI-modeller, styringsstrukturen og sanktionsbestemmelserne træder i kraft.
- 2. august 2026: Størstedelen af reglerne for AI-systemer med høj risiko bliver gældende.
- 2. august 2027: De sidste overgangsfrister for visse høj-risiko-systemer udløber.
Alle detaljer og undtagelser forklarer vi på fristsiden.
EU AI Act og GDPR: ikke enten-eller
EU AI Act erstatter ikke databeskyttelsesforordningen (GDPR). Begge gælder parallelt. Mens GDPR regulerer behandlingen af personoplysninger, adresserer EU AI Act AI-systemet som sådan og dets risici. Behandler en AI-applikation personoplysninger, skal virksomheder overholde begge regelsæt samtidigt. En solid AI-kompetence hjælper medarbejdere med at identificere netop disse grænseflader i hverdagen.
Sanktioner ved overtrædelser
Overtrædelser af EU AI Act kan udløse mærkbare bøder. Forordningen graduerer dem efter alvor:
- Op til 35 mio. € eller 7 % af den globale årsomsætning, kun ved forbudte praksisser i henhold til artikel 5.
- Op til 15 mio. € eller 3 %, ved overtrædelse af øvrige forpligtelser, herunder kravet om AI-kompetence i henhold til art. 4.
- Op til 7,5 mio. € eller 1,5 %, ved ukorrekte eller vildledende oplysninger til myndigheder.
For små og mellemstore virksomheder samt startups gælder den laveste af de to beløb som øvre grænse. Læs mere på siden Bøder.
Hvad betyder det konkret for din virksomhed?
- Skab overblik over, hvor AI anvendes i din virksomhed.
- Sørg for, at medarbejderne har tilstrækkelig AI-kompetence i henhold til artikel 4.
- Gennemfør et EU AI Act-kursus og dokumentér uddannelserne verificerbart, som bevis over for myndighederne.
- Hold øje med EU AI Acts frister, især den 2. august 2026, fra hvilken reglerne for mange AI-systemer med høj risiko gælder.
Hyppige spørgsmål om EU AI Act
Gælder EU AI Act også for små virksomheder?
Ja. Kravet om AI-kompetence i henhold til artikel 4 gælder uafhængigt af virksomhedens størrelse for alle, der anvender AI erhvervsmæssigt. Ved bøder belastes SMV'er dog lavere.
Skal jeg registrere mine AI-systemer et sted?
En registreringspligt gælder primært for visse høj-risiko-systemer. Anvender du kun AI inden for minimal eller begrænset risiko, er medarbejdernes AI-kompetence det centrale. Flere svar finder du på vores FAQ-side.
Bemærk: Denne oversigt er informativ og erstatter ikke juridisk rådgivning.