AI-forordningen (EU AI Act): hvad den er, og hvordan den virker

AI-forordningen (EU AI Act) er EU's gennemgribende regelsaet for kunstig intelligens, formelt forordning (EU) 2024/1689. Den indfoerer en risikobaseret tilgang, hvor kravene til et AI-system afhaenger af, hvor stor risiko det udgoer for menneskers sikkerhed og grundlaeggende rettigheder. Reglerne traadte i kraft 1. august 2024 og gaelder trinvist.

Denne artikel er generel information og udgoer ikke juridisk raadgivning. Tidslinjen for AI-forordningen er under aendring i 2026 (se afsnittet om tidslinje), saa kontroller altid den aktuelle status hos officielle kilder eller en raadgiver, foer du traeffer beslutninger.

Hvad er AI-forordningen (EU AI Act)?

AI-forordningen er verdens foerste omfattende lovgivning, der regulerer kunstig intelligens paa tvaers af brancher. Den er en forordning, hvilket betyder, at den gaelder direkte i alle EU-lande uden national implementering. Formaalet er at sikre, at AI udviklet og brugt i EU er sikker, gennemsigtig, sporbar og respekterer grundlaeggende rettigheder, samtidig med at innovation og et velfungerende indre marked fremmes.

I stedet for at regulere selve teknologien regulerer AI Act anvendelsen. Det samme modeltype kan vaere stort set ureguleret i ét tilfaelde og underlagt strenge krav i et andet, afhaengigt af hvad systemet bruges til, og hvilken risiko det medfoerer.

De fire risikoniveauer

Kernen i AI-forordningen er en pyramide med fire risikoniveauer. Jo hoejere risiko, desto strengere krav.

Hvad betyder uacceptabel risiko (forbudt AI)?

Visse anvendelser anses for at vaere en klar trussel mod menneskers rettigheder og er forbudt. Det omfatter blandt andet social scoring foretaget af offentlige myndigheder, manipulerende eller udnyttende AI, der paavirker saarbare grupper, samt visse former for biometrisk masseovervaagning. Disse forbud har vaeret gaeldende siden 2. februar 2025.

Hvad er hoej risiko?

AI-systemer med hoej risiko er tilladt, men underlagt de strengeste krav. Det gaelder blandt andet AI brugt i rekruttering, kreditvurdering, sundhedsydelser, kritisk infrastruktur, uddannelse, retshaandhaevelse og som sikkerhedskomponent i regulerede produkter. Udbydere skal opfylde krav om risikostyring, datakvalitet, teknisk dokumentation, menneskeligt tilsyn, robusthed og en overensstemmelsesvurdering, foer systemet markedsfoeres.

Hvad er begraenset risiko (gennemsigtighed)?

For systemer med begraenset risiko gaelder primaert gennemsigtighedskrav. Brugere skal informeres, naar de interagerer med AI, for eksempel en chatbot, og AI-genereret indhold som deepfakes skal maerkes, saa det er tydeligt, at det ikke er aegte.

Hvad er minimal risiko?

Langt de fleste AI-systemer, som spamfiltre og AI i computerspil, falder under minimal risiko og er ikke underlagt saerlige forpligtelser i AI-forordningen. Frivillige adfaerdskodekser opfordres dog.

Hvem gaelder AI-forordningen for?

AI Act skelner primaert mellem udbydere (dem der udvikler eller faar udviklet et AI-system og markedsfoerer det under eget navn) og idriftsaettere (virksomheder og myndigheder, der anvender et AI-system i deres virksomhed). Udbydere baerer de tungeste forpligtelser, men idriftsaettere af hoejrisikosystemer har ogsaa konkrete pligter, for eksempel om menneskeligt tilsyn og brug i overensstemmelse med instruktionerne.

Gaelder reglerne for virksomheder uden for EU?

Ja. AI-forordningen har ekstraterritorial raekkevidde. Den gaelder ikke kun virksomheder etableret i EU, men ogsaa udbydere og idriftsaettere uden for EU, hvis deres AI-system markedsfoeres i EU, eller hvis systemets output anvendes i EU. En leverandoer i USA eller Asien, der retter et AI-produkt mod det europaeiske marked, er saaledes omfattet paa linje med europaeiske virksomheder. Denne mekanik minder om den, mange kender fra GDPR.

Den trinvise tidslinje

AI-forordningen traadte i kraft 1. august 2024, men kravene faser ind over flere aar. Vaer opmaerksom paa, at tidslinjen er ved at blive aendret gennem EU's saakaldte Digital Omnibus, en forenklingspakke, hvor lovgiverne i maj 2026 naaede en politisk enighed om at udskyde en raekke hoejrisikoforpligtelser. Aendringerne er endnu ikke endeligt vedtaget og offentliggjort i EU-Tidende, saa de praecise datoer kan flytte sig.

Fordi de endelige datoer for hoej risiko afhaenger af den endnu ikke vedtagne forenklingspakke, boer du behandle dem som vejledende og foelge den officielle status loebende. Selvom datoerne rykkes, fjerner det ikke behovet for at kortlaegge systemer, klassificere risiko og opbygge dokumentation i god tid.

Saerlige krav til generel AI (GPAI)

Generel AI, ofte kaldet GPAI (general-purpose AI), er modeller som store sprogmodeller, der kan bruges til mange forskellige formaal. Siden 2. august 2025 har udbydere af GPAI-modeller haft saerlige forpligtelser: teknisk dokumentation, information til de virksomheder, der bygger videre paa modellen, en politik for overholdelse af ophavsret samt et offentligt resumé af det data, modellen er traenet paa. For de stoerste modeller, der vurderes at udgoere en systemisk risiko, gaelder skaerpede krav om risikoevaluering, haendelsesrapportering og cybersikkerhed.

Sanktioner ved overtraedelse

AI-forordningen har taender. Overtraedelse af forbuddet mod uacceptabel AI kan udloese boeder paa op til 35 mio. EUR eller 7 % af den globale aarsomsaetning, alt efter hvad der er hoejest. For de fleste oevrige overtraedelser ligger loftet paa 15 mio. EUR eller 3 %, og for at give urigtige oplysninger til myndighederne 7,5 mio. EUR eller 1 %. Boederne kan altsaa, ligesom under GDPR, blive meget betydelige for store koncerner.

Forholdet til GDPR

AI-forordningen erstatter ikke GDPR, men supplerer den. Behandler dit AI-system personoplysninger, skal du fortsat overholde GDPR, herunder krav om lovligt behandlingsgrundlag, dataminimering og de registreredes rettigheder. AI Act tilfoejer et ekstra lag fokuseret paa produktsikkerhed og grundlaeggende rettigheder. I praksis vil mange hoejrisikosystemer skulle leve op til begge regelsaet samtidig, og en konsekvensanalyse vedroerende databeskyttelse (DPIA) og AI-forordningens krav vil ofte spille sammen.

Naeste skridt

Vil du vide, hvad du konkret skal goere, saa brug vores compliance-tjekliste til EU AI Act. Opsio hjaelper virksomheder med at indfoere AI ansvarligt og sikkert gennem managed AI support og raadgivning om AI-strategi og -loesninger.

Ofte stillede spoergsmaal

Hvornaar gaelder AI-forordningen?

Forordningen traadte i kraft 1. august 2024 og gaelder trinvist. Forbud mod uacceptabel AI har vaeret gaeldende siden februar 2025 og GPAI-forpligtelser siden august 2025. De fleste hoejrisikokrav er ifoelge en forenklingspakke fra 2026 foreslaaet udskudt til december 2027 og 2028, men de endelige datoer afventer endelig vedtagelse.

Gaelder reglerne min virksomhed, ogsaa uden for EU?

Sandsynligvis ja, hvis du udvikler eller anvender AI. Pga. den ekstraterritoriale raekkevidde gaelder AI Act ogsaa virksomheder uden for EU, naar deres AI-system markedsfoeres i EU, eller naar systemets output bruges i EU. Omfanget af dine pligter afhaenger af, om du er udbyder eller idriftsaetter, og af systemets risikoniveau.

Hvad er forskellen paa EU AI Act og GDPR?

GDPR regulerer behandling af personoplysninger, mens AI-forordningen regulerer AI-systemers sikkerhed og paavirkning af grundlaeggende rettigheder ud fra et risikoperspektiv. De to regelsaet supplerer hinanden, og mange AI-systemer skal overholde begge samtidig.

Hvor store er sanktionerne?

De hoejeste boeder, for brug af forbudt AI, kan naa op til 35 mio. EUR eller 7 % af den globale aarsomsaetning. Andre overtraedelser straffes med op til 15 mio. EUR eller 3 %, og urigtige oplysninger til myndighederne med op til 7,5 mio. EUR eller 1 %.