Tjekliste til AI-forordningen: 15 trin til AI Act compliance

En tjekliste til AI-forordningen starter med et register over jeres AI og en afklaring af jeres rolle som udbyder eller idriftsætter. Derefter tjekker I forbuddene, fremmer AI-færdigheder, sørger for oplysning efter artikel 50 og planlægger højrisikokravene, som efter Digital Omnibus gælder fra 2. december 2027. Her er de 15 trin i den rækkefølge, de bør tages.

Det vigtigste kort fortalt

• Trin 1–8 gælder næsten alle organisationer, der bruger AI, og de fleste af dem gælder allerede.
• Trin 9–15 gælder højrisiko-AI. Udbydere har flest pligter, men idriftsættere har også konkrete krav.
• Ældre tjeklister nævner 2. august 2026 som højrisikodato. Efter forordning (EU) 2026/1744 er datoen 2. december 2027 for bilag III og 2. august 2028 for bilag I.
• Tjeklisten er et arbejdsredskab, ikke et bevis. Dokumentér beslutninger og begrundelser undervejs.

Er I udbyder eller idriftsætter?

Rollen afgør jeres pligter, så afklar den først, system for system. Definitionerne står i artikel 3 i den danske udgave af forordningen. En udbyder udvikler et AI-system eller får det udviklet og bringer det i omsætning eller tager det i brug under eget navn eller varemærke. En idriftsætter bruger et AI-system under sin myndighed i erhvervsmæssig sammenhæng, fx et indkøbt rekrutteringsværktøj eller Microsoft Copilot.

Rollerne kan skifte. Sætter I jeres navn på et højrisikosystem, ændrer det væsentligt eller bruger det til et andet formål, så det bliver højrisiko, kan I juridisk blive udbyder. Mange organisationer er begge dele på én gang: idriftsætter af købte værktøjer og udbyder af den chatbot, de selv har bygget på en sprogmodel. Notér rollen for hvert system i registeret. Grundbegreberne står i vores overblik over AI-forordningen.

Tjeklisten trin for trin

Trin 1–8: det, alle skal have styr på

Register, rolle og risiko (trin 1–3)

Uden et register kan I ikke svare på noget andet i tjeklisten. Medtag også de værktøjer, ingen har godkendt: private ChatGPT-konti, mødebots og browserudvidelser. Se hvordan I finder shadow AI og bygger registeret. Klassificér derefter hvert system. En begrundelse på to linjer er bedre end et kryds.

Forbud (trin 4)

Gennemgå registeret mod listen i artikel 5. For de fleste virksomheder er de relevante spørgsmål følelsesgenkendelse af medarbejdere, fx stemningsanalyse i et callcenter, og manipulerende design i forbrugerrettede apps og spil. Netop de to områder var i fokus i Digitaliseringsstyrelsens første 20 tilsyn i 2026. Fra 2. december 2026 er også AI til intime billeder uden samtykke og materiale med seksuelt misbrug af børn forbudt.

AI-færdigheder og AI-politik (trin 5–6)

Efter Digital Omnibus skal I træffe foranstaltninger til at fremme AI-færdigheder hos dem, der bruger AI for jer, men ikke garantere et bestemt niveau. Der er intet krav om et bestemt kursus eller certifikat. En kort AI-politik og rollebaseret oplæring med registreret deltagelse er den mest praktiske løsning. Detaljerne står i artiklen om AI-kursus og AI-færdigheder. Vil I springe det tomme dokument over, kan I få jeres AI-politik skrevet gratis ud fra jeres svar.

Leverandører (trin 7)

Spørg hver AI-leverandør om formål og begrænsninger, træning på jeres data, hvor data opbevares, logning, hvordan modelskift varsles, og om de selv overholder AI-forordningen. Tilføj klausuler om det i kontrakten, og husk databehandleraftalen efter GDPR.

Gennemsigtighed (trin 8)

Siden 2. august 2026 skal en chatbot fortælle brugeren, at den er en AI, medmindre det er åbenlyst. Deepfakes skal markeres, og udbydere af generative systemer skal mærke output maskinlæsbart. Generative systemer, der var på markedet før 2. august 2026, har frist til 2. december 2026 for mærkningen.

Trin 9–15: højrisiko-AI

Højrisiko omfatter AI i bilag III, fx rekruttering og forfremmelse, kreditvurdering, adgang til offentlige ydelser, bedømmelse i uddannelse og kritisk infrastruktur, samt AI i produkter efter bilag I. For udbydere handler trin 9–13 om at bygge og dokumentere systemet korrekt: risikostyring, datastyring, teknisk dokumentation, logning, menneskeligt tilsyn, robusthed, et kvalitetsstyringssystem, overensstemmelsesvurdering, CE-mærkning og registrering.

For idriftsættere handler trin 14–15 om korrekt brug. En dansk virksomhed, der bruger et AI-værktøj til at rangere ansøgere, skal fra 2. december 2027 bruge det efter brugsanvisningen, lade en kompetent person med beføjelse til at tilsidesætte resultatet føre tilsyn, gemme logs i mindst seks måneder og informere medarbejderrepræsentanter og ansøgere. Offentlige myndigheder, private leverandører af offentlige ydelser samt banker og forsikringsselskaber, der bruger AI til kredit eller livs- og sygeforsikring, skal også lave en FRIA efter artikel 27.

Overensstemmelsesvurdering og CE-mærkning

For de fleste højrisikosystemer i bilag III kan udbyderen selv gennemføre overensstemmelsesvurderingen ud fra intern kontrol. For biometriske systemer og for AI i produkter, der i forvejen kræver et bemyndiget organ, skal et bemyndiget organ som udgangspunkt inddrages. Vurderingen skal vise, at systemet opfylder kravene om risikostyring, data, dokumentation, gennemsigtighed, menneskeligt tilsyn, nøjagtighed, robusthed og cybersikkerhed. Derefter udstedes en EU-overensstemmelseserklæring, systemet CE-mærkes og registreres i EU-databasen. Ved væsentlige ændringer skal vurderingen gentages. I Danmark er Digitaliseringsstyrelsen bemyndigende myndighed og står for udpegning af bemyndigede organer.

Dokumentation og styring

Sørg for, at følgende findes og er opdateret:

• AI-register med rolle, risikoniveau, ejer og begrundelser.
• AI-politik og plan for AI-færdigheder med registreret deltagelse.
• Leverandørvurderinger og kontraktklausuler.
• Risikovurderinger pr. AI-anvendelse, koblet til jeres DPIA'er efter GDPR.
• For højrisiko: teknisk dokumentation, logs, tilsynsroller, FRIA og overensstemmelseserklæring.
• En fast ejer i ledelsen og en årlig gennemgang.

Tidsplan

Pr. oktober 2026 er forbuddene, AI-færdigheder, reglerne for AI-modeller til almen brug og gennemsigtighed allerede gældende. 2. december 2026 kommer nye forbud. 2. december 2027 gælder højrisikokravene for bilag III og 2. august 2028 for bilag I. Offentlige myndigheder har frist til 2. august 2030 for højrisikosystemer, der allerede er i brug. I Danmark er tilsynet med højrisiko og gennemsigtighed endnu ikke endeligt fastlagt, fordi lovforslaget L 111 bortfaldt ved folketingsvalget i marts 2026. Hold øje med Digitaliseringsstyrelsens side om AI-forordningen.

Ofte stillede spørgsmål om tjeklisten

Hvornår gælder AI-forordningen for vores virksomhed?

Nogle pligter gælder allerede: forbuddene og AI-færdigheder siden 2. februar 2025 og gennemsigtighed siden 2. august 2026. Højrisikokravene gælder fra 2. december 2027 for systemer i bilag III og fra 2. august 2028 for AI i produkter efter bilag I. Hvilke datoer der rammer jer, afhænger af jeres systemer og rolle.

Gælder AI-forordningen, hvis vi er etableret uden for EU?

Ja, hvis I bringer AI-systemer i omsætning i EU eller jeres AI's output bruges i EU. En leverandør i Storbritannien eller USA, der sælger et AI-værktøj til danske kunder, er omfattet. Udbydere uden for EU skal i visse tilfælde udpege en bemyndiget repræsentant i EU.

Hvordan adskiller AI-forordningen sig fra GDPR?

GDPR beskytter personoplysninger, uanset teknologi. AI-forordningen regulerer AI-systemer efter risiko, også når de ikke behandler personoplysninger. Behandler et AI-system personoplysninger, gælder begge. Mange idriftsættere af højrisiko-AI skal derfor både lave en DPIA efter GDPR og en FRIA efter AI-forordningen, men kan genbruge arbejdet.

Hvad kan det koste ikke at overholde reglerne?

Bøderne kan nå 35 mio. euro eller 7 % af den globale årsomsætning for forbudt AI, 15 mio. euro eller 3 % for de fleste andre pligter og 7,5 mio. euro eller 1 % for urigtige oplysninger. For SMV'er gælder det laveste beløb. I Danmark idømmes bøder efter strafferetlige regler.

Gør tjeklisten til dokumenter

Trin 1–8 kan I klare med en håndfuld dokumenter. Opsios gratis AI governance-vurdering skriver dem ud fra jeres svar: 14 trin, cirka 40 minutters spørgsmål på dansk, og når I sender, får I en AI-politik for medarbejdere, en AI governance-ramme, en tjekliste til vurdering af AI-leverandører og en skabelon til AI-risikovurdering – plus en modenhedsscore på ti områder. Dokumenterne leveres på engelsk som redigerbare Word-filer. Gratis og uden forpligtelser. Den fulde metode til at finde og prioritere hullerne står i gap-analysen efter AI-forordningen.

Denne tjekliste er generel information og ikke juridisk rådgivning. Kontrollér den konsoliderede tekst af forordning (EU) 2024/1689 som ændret ved forordning (EU) 2026/1744. Datoer og oplysninger om danske myndigheder er pr. oktober 2026.

Mere fra vores vidensbank: GPAI i AI-forordningen: AI-modeller til almen brug og adfærdskodeksen