Gap-analyse efter AI-forordningen: AI compliance i syv trin
En gap-analyse efter AI-forordningen sammenligner, hvordan I bruger og styrer AI i dag, med de pligter, der gælder for jer. Metoden har syv trin: kortlæg AI-systemerne, klassificér risikoen, fastlæg jeres rolle, vurdér hullet pr. pligt, prioritér efter frist og risiko, lav en handlingsplan og saml dokumentation. Resultatet er en prioriteret liste over, hvad der mangler.
Det vigtigste kort fortalt
- AI compliance starter med et overblik. Uden et register over jeres AI kan I ikke vide, hvilke pligter der gælder.
- Flere pligter gælder allerede: forbuddene og AI-færdigheder siden 2. februar 2025 og gennemsigtighed efter artikel 50 siden 2. august 2026.
- Højrisikokravene for bilag III gælder fra 2. december 2027 og for bilag I fra 2. august 2028, efter Digital Omnibus.
- Rollen afgør det meste. En idriftsætter af et rekrutteringsværktøj har helt andre pligter end udbyderen af det.
- En gap-analyse er ikke lovpligtig, men det er den hurtigste vej til at vise, at I har styr på AI governance, over for ledelse, kunder og myndigheder.
Hvorfor lave en gap-analyse nu?
Fordi uret allerede går. Mange danske organisationer har ventet på »den danske AI-lov« eller på, at omnibussen skulle afklare datoerne. Omnibussen er vedtaget, og den udskød kun højrisikokravene. Forbud, AI-færdigheder og gennemsigtighed gælder, og Digitaliseringsstyrelsen har allerede gennemført sine første tilsyn med forbudt AI-praksis i 2026.
Samtidig er AI kommet ind ad bagdøren. Medarbejderne bruger ChatGPT med private konti, Microsoft Copilot er rullet ud i hele organisationen, kundeservice har fået en chatbot, og HR har købt et værktøj, der rangerer ansøgere. Ingen af delene er i sig selv ulovlige, men hver af dem udløser pligter, som nogen skal eje. En gap-analyse giver ledelsen et samlet billede og en prioriteret plan.
Vil I springe direkte til et resultat, kan I tage Opsios gratis gap-analyse af jeres AI governance. Den stiller spørgsmålene i denne artikel i 14 trin, scorer jer på ti områder og skriver fire styringsdokumenter ud fra svarene.
Har I brug for eksperthjælp med gap-analyse efter ai-forordningen: ai compliance i syv trin?
Vores cloud-arkitekter hjælper jer med gap-analyse efter ai-forordningen: ai compliance i syv trin — fra strategi til implementering. Book en gratis 30-minutters rådgivningssamtale uden forpligtelse.
Gap-analyse, parathedsvurdering eller overensstemmelsesvurdering?
Ordene bruges i flæng, men betyder noget forskelligt:
| Begreb | Hvad det er | Hvem laver det |
|---|---|---|
| Gap-analyse | Intern sammenligning af nuværende praksis med kravene; resultatet er en liste over huller og en plan | I selv eller en rådgiver |
| Parathedsvurdering (readiness assessment) | Bredere vurdering af modenhed: styring, roller, processer, kultur | I selv eller en rådgiver |
| Overensstemmelsesvurdering | Lovpligtig procedure for udbydere af højrisiko-AI, før systemet bringes i omsætning (artikel 43); fører til CE-mærkning | Udbyderen selv eller et bemyndiget organ |
| FRIA | Lovpligtig konsekvensanalyse for visse idriftsættere af højrisiko-AI (artikel 27) | Idriftsætteren |
En gap-analyse er altså frivillig og intern. Den kan afsløre, at I har brug for en overensstemmelsesvurdering eller en FRIA efter artikel 27, men den erstatter dem ikke.
Metoden i syv trin
Trin 1: Fastlæg omfanget og kortlæg jeres AI
Beslut, hvilke dele af organisationen der er med, og find derefter alle AI-systemer: dem I har bygget, dem I har købt, og dem der er gemt i software, I allerede bruger. Kig i indkøbsdata, SSO-logs, browserudvidelser og leverandørernes produktnyheder. Spørg afdelingerne direkte. Mange finder dobbelt så mange AI-anvendelser, som de troede. Fremgangsmåden er beskrevet i artiklen om shadow AI og AI-registeret.
Trin 2: Klassificér hvert system efter risiko
Placér hvert system i et af forordningens fire niveauer: forbudt, højrisiko, gennemsigtighedskrav eller minimal risiko. Tjek først forbuddene i artikel 5 i forordningen om kunstig intelligens, derefter bilag III (fx rekruttering, kreditvurdering, uddannelse, adgang til offentlige ydelser) og bilag I (AI i regulerede produkter). Skriv begrundelsen ned. »Vi har vurderet, at vores chatbot ikke er højrisiko, fordi den kun besvarer spørgsmål om leveringstider« er en bedre dokumentation end et kryds i et skema.
Trin 3: Fastlæg jeres rolle pr. system
Er I udbyder, idriftsætter, importør eller distributør? De fleste danske virksomheder er idriftsættere af købte systemer og udbydere af det, de selv bygger, fx en chatbot på en sprogmodel under eget brand. Husk, at I kan blive udbyder af et højrisikosystem, hvis I sætter jeres navn på det eller ændrer det væsentligt. Hvad det betyder, når systemet bygger på en stor model, forklarer vi i artiklen om GPAI.
Trin 4: Vurdér hullet pr. pligt
Lav en liste over de pligter, der følger af risikoniveau og rolle, og vurdér for hver: Hvad gør vi i dag? Hvad mangler? Hvem ejer det? Vær konkret. »Delvist opfyldt« siger ingenting. »Vi har en Copilot-introduktion, men ingen registrering af, hvem der har deltaget« siger alt.
Trin 5: Prioritér efter frist og risiko
Ikke alle huller er lige akutte. Brug en enkel prioritering:
| Prioritet | Pligter | Gælder fra | Hvorfor |
|---|---|---|---|
| P1 – allerede gældende | Forbud (art. 5), AI-færdigheder (art. 4) | 2. februar 2025 | Kan håndhæves; højeste bødeniveau for art. 5; dansk tilsyn i gang |
| P1 – allerede gældende | Gennemsigtighed for chatbots, deepfakes og genereret indhold (art. 50) | 2. august 2026 | Ikke udskudt af omnibussen |
| P2 – næste | Nye forbud mod intime billeder uden samtykke og materiale med seksuelt misbrug af børn; slut på overgang for maskinlæsbar mærkning | 2. december 2026 | Få uger væk pr. oktober 2026 |
| P3 – planlæg | Højrisiko i bilag III (art. 26 og 27 for idriftsættere; art. 9–17 for udbydere) | 2. december 2027 | Lang gennemløbstid for tilsyn, logning og leverandørændringer |
| P4 – planlæg | Højrisiko i produkter efter bilag I | 2. august 2028 | Følger eksisterende produktgodkendelse |
Alle datoer og baggrunden for dem står i AI Act-tidslinjen.
Trin 6: Lav handlingsplanen
Omsæt hvert hul til en opgave med ejer, deadline og forventet resultat. Saml de hurtige gevinster først: en AI-politik, et register, en oplysningstekst på chatbotten, en regel for mærkning af AI-genererede billeder i marketing. Planlæg derefter de tunge opgaver: kontraktændringer med leverandører, logning, design af menneskeligt tilsyn og oplæring af dem, der skal føre det.
Trin 7: Saml dokumentation, og hold den opdateret
En gap-analyse er et øjebliksbillede. Gem resultatet, beslutningerne og begrundelserne, og gentag analysen mindst en gang om året eller når I tager et væsentligt nyt AI-system i brug. Den dokumentation, I bygger op undervejs, er præcis den, en myndighed, en revisor eller en stor kunde vil bede om.
Skabelon til gap-analysen
Her er et eksempel på, hvordan rækkerne kan se ud for en mellemstor dansk virksomhed med Copilot, en kundeservice-chatbot og et rekrutteringsværktøj:
| Pligt | Artikel | Status i dag | Hul | Ejer | Frist | Prioritet |
|---|---|---|---|---|---|---|
| Fremme AI-færdigheder hos medarbejdere, der bruger AI | Art. 4 | Webinar ved Copilot-lancering, ingen registrering | Ingen rollebaseret oplæring, intet bevis for deltagelse | HR / læring | Gælder nu | P1 |
| Screening for forbudt AI-praksis | Art. 5 | Ikke vurderet | Registeret er ikke gennemgået mod listen i art. 5 | Jura / compliance | Gælder nu | P1 |
| Oplys brugere om, at de taler med en AI | Art. 50, stk. 1 | Chatbotten hedder »Sofie«, ingen oplysning | Ingen AI-oplysning ved første kontakt | Ejer af digitale kanaler | Gælder nu | P1 |
| Mærk AI-genererede billeder og video i marketing | Art. 50, stk. 4 | Tilfældig praksis | Ingen regel i brandguiden | Marketingchef | Gælder nu | P1 |
| Udpeg menneskeligt tilsyn med rekrutteringsværktøjet | Art. 26, stk. 2 | Rekrutteringskonsulenter ser en score | Ingen navngiven person med ret til at tilsidesætte; ingen oplæring | Rekrutteringschef | 2. december 2027 | P3 |
| Gem logfiler i mindst seks måneder | Art. 26, stk. 6 | Leverandøren gemmer 30 dage | Opbevaring under minimum; ingen eksport | IT / leverandøransvarlig | 2. december 2027 | P3 |
| Informér medarbejderrepræsentanter før brug på arbejdspladsen | Art. 26, stk. 7 | Ikke sket | Ingen dokumenteret information i samarbejdsudvalget | HR-direktør | 2. december 2027 | P3 |
Tilføj kolonner for leverandør, personoplysninger (ja/nej) og henvisning til en eventuel DPIA, så analysen også kan bruges i GDPR-arbejdet.
De huller, vi oftest ser
- Intet register. Ingen ved præcis, hvilke AI-værktøjer der er i brug, og hvem der ejer dem.
- Ingen AI-politik eller en politik, der kun siger nej. Et forbud mod ChatGPT uden godkendte alternativer skaber mere shadow AI, ikke mindre. Se, hvad en brugbar politik indeholder, i indhold og eksempler til en AI-politik.
- Oplæring uden dokumentation. Der har været et kursus, men ingen kan vise, hvem der deltog, og hvad det handlede om.
- Chatbots uden oplysning. Den venlige kundeservice-assistent med et menneskenavn fortæller ikke, at den er en AI.
- Leverandørkontrakter uden AI-klausuler. Ingen aftale om træning på jeres data, logning, ændringer af modellen eller udlevering af brugsanvisning.
- HR-værktøjer, ingen har klassificeret. Systemer, der sorterer eller vurderer ansøgere, er højrisiko efter bilag III, også selvom leverandøren kalder dem »assistenter«.
- Ingen inddragelse af medarbejderne. Samarbejdsudvalget eller tillidsrepræsentanterne hører først om AI-værktøjet, når det er indført.
Hvem skal lave gap-analysen?
Den bedste analyse laves af et lille tværfagligt team: en ejer fra ledelsen, en fra IT eller sikkerhed, en fra jura eller compliance, en fra HR og en fra den forretning, der bruger AI mest. Databeskyttelsesrådgiveren (DPO) bør være med, fordi næsten alle AI-anvendelser berører personoplysninger. Mindre virksomheder kan klare det med to-tre personer og en ekstern sparringspartner. Opsio hjælper gerne med rådgivning om AI governance, hvis I vil have et sæt friske øjne på resultatet.
Husk de nationale forhold: I Danmark fører Digitaliseringsstyrelsen og Datatilsynet tilsyn med forbuddene, mens tilsynet med højrisiko og gennemsigtighed pr. oktober 2026 endnu ikke er fastlagt, ifølge Digitaliseringsstyrelsens side om tilsynet. Status står i artiklen om AI-loven og tilsynet i Danmark, og den overordnede ramme i vores guide til AI-forordningen.
Ofte stillede spørgsmål om gap-analyse og AI compliance
Hvad er en gap-analyse efter AI-forordningen?
Det er en intern gennemgang, der sammenligner jeres nuværende brug og styring af AI med de pligter, forordningen pålægger jer som udbyder eller idriftsætter. Resultatet er en liste over huller, prioriteret efter frist og risiko, og en handlingsplan med ejere. Den bygger på et register over jeres AI-systemer.
Er en gap-analyse et lovkrav?
Nej. AI-forordningen nævner ikke en gap-analyse. Den kræver resultater: ingen forbudt AI, foranstaltninger for AI-færdigheder, gennemsigtighed og, for højrisiko, en lang række konkrete krav. En gap-analyse er bare den mest effektive måde at finde ud af, hvor I mangler noget, og at dokumentere, at I har taget stilling.
Hvor lang tid tager en gap-analyse?
For en mellemstor virksomhed med en håndfuld AI-anvendelser kan en første version laves på få uger, hvis registeret findes. Den største tidsrøver er at finde alle systemerne. Opsios gratis vurdering giver et første billede efter cirka 40 minutters spørgsmål, som I derefter kan uddybe.
Hvad er forskellen på AI governance og AI compliance?
AI compliance handler om at overholde konkrete regler som AI-forordningen og GDPR. AI governance er den styring, der gør det muligt: ansvar, politikker, processer for godkendelse, risikovurdering og opfølgning. Med god governance bliver compliance en del af hverdagen. Uden den bliver det en række enkeltstående brandslukninger.
Hvilke pligter gælder allerede nu?
Pr. oktober 2026 gælder forbuddene i artikel 5 og pligten til at fremme AI-færdigheder i artikel 4 siden 2. februar 2025, pligterne for AI-modeller til almen brug siden 2. august 2025 og gennemsigtighedskravene i artikel 50 siden 2. august 2026. Nye forbud kommer 2. december 2026. Højrisikokravene gælder fra 2. december 2027.
Find jeres huller på 40 minutter
I kan lave analysen selv med skabelonen ovenfor. Eller I kan starte med en gratis AI Act-vurdering, der skriver dokumenterne for jer. Spørgsmålene er på dansk og fordelt på 14 trin, cirka 40 minutter. Når I sender, får I et modenhedsbillede på ti områder og fire styringsdokumenter skrevet ud fra jeres svar: AI-politik for medarbejdere, AI governance-ramme, tjekliste til vurdering af AI-leverandører og skabelon til AI-risikovurdering. Dokumenterne leveres på engelsk som Word-filer, I kan redigere. Gratis, uden kort og uden forpligtelser, og dokumenterne er jeres.
Denne artikel er generel information og ikke juridisk rådgivning. Kontrollér den konsoliderede tekst af forordning (EU) 2024/1689 som ændret ved forordning (EU) 2026/1744. Datoer og oplysninger om danske myndigheder er pr. oktober 2026.
Om forfatteren
Group COO & CISO
Fredrik er koncernens COO og CISO hos Opsio. Han fokuserer på operationel ekspertise, governance og informationssikkerhed og arbejder tæt sammen med leverance- og ledelsesteams om at afstemme teknologi, risiko og forretningsresultater i komplekse IT-miljøer. Han leder Opsios sikkerhedspraksis, herunder SOC-services, penetrationstest og compliance-rammer.
Redaktionelle retningslinjer: Artiklen er skrevet af en certificeret fagperson og gennemgået af vores ingeniørteam. Vi opdaterer den, når den teknologi eller regulering, den handler om, ændrer sig; datoerne ovenfor viser den seneste opdatering. Opsio er redaktionelt uafhængig — vi anbefaler løsninger ud fra tekniske fordele, ikke kommercielle relationer.