Skal din virksomhed overholde EU AI Act?

Annonce – sponsoreret indhold.

EU AI Act og din virksomhed hænger tættere sammen, end mange lokale erhvervsdrivende regner med. Svaret på, om reglerne gælder for dig, afhænger ikke af virksomhedens størrelse, men af hvilke AI-systemer du bruger, og hvad du bruger dem til. Hvis du allerede anvender chatbots til kundeservice, AI-baseret bogføring eller automatiseret markedsføring, er du med stor sandsynlighed omfattet af mindst transparenskravene. De fleste mindre virksomheder slipper for de tungeste dokumentationskrav, men det kræver, at du ved, hvilken risikokategori dine AI-værktøjer falder ind under — og det er netop her, mange overser noget.

Hvad EU AI Act kræver af virksomheder i praksis

EU’s AI-forordning (Regulation (EU) 2024/1689) trådte i kraft 1. august 2024 og indfases trinvist. Fra 2. august 2026 gælder loven bredt, herunder kravene til højrisikosystemer og transparens. Det betyder, at reglerne allerede nu har praktisk betydning for danske virksomheder — også de mindre.

Forordningen opdeler AI-systemer i fire risikokategorier:

• Uacceptabel risiko — forbudte anvendelser, fx social scoring eller manipulation
• Højrisiko — strenge krav til dokumentation, tilsyn og risikovurdering
• Begrænset risiko — transparenskrav, fx at brugere skal vide, de interagerer med AI
• Minimal risiko — ingen specifikke krav, men god praksis anbefales

De fleste AI-værktøjer, som lokale virksomheder bruger i dag — fx ChatGPT til tekstudkast, AI-funktioner i regnskabsprogrammer eller automatiserede e-mail-svar — falder typisk i kategorien begrænset eller minimal risiko. Men kategoriseringen afhænger af anvendelsen, ikke af værktøjet i sig selv. Et AI-system, der bruges til at sortere jobansøgninger eller vurdere kreditværdighed, kan hurtigt rykke op i højrisiko-kategorien.

Mange virksomheder har allerede AI i produktion uden at vide det, fordi det er integreret i eksisterende SaaS-løsninger. En AI governance konsulent kan hjælpe med at kortlægge, hvilke AI-funktioner der faktisk er i brug, og koble reglerne til den IT-struktur, virksomheden allerede har — uden at du skal opfinde compliance-arbejdet fra bunden.

Gælder reglerne kun store koncerner?

Nej, og det er en udbredt misforståelse. EU AI Act skelner ikke mellem store og små virksomheder, når det handler om, hvilke regler der gælder. Afgørende er, om du er udbyder (udvikler eller markedsfører AI-systemet) eller bruger (anvender systemet i din virksomhed). De fleste lokale virksomheder er brugere, hvilket typisk indebærer lettere forpligtelser — men ikke nul forpligtelser.

Som bruger af et højrisikosystem skal du fx sikre, at systemet anvendes i overensstemmelse med brugsanvisningen, og at der er passende menneskeligt tilsyn. Ved begrænset risiko handler det primært om at oplyse kunder og samarbejdspartnere om, at de interagerer med AI.

Typiske scenarier for lokale virksomheder:

• Chatbot på hjemmesiden — begrænset risiko, kræver at besøgende informeres om, at de chatter med AI
• AI-assisteret bogføring — typisk minimal risiko, men tjek om systemet træffer autonome beslutninger
• Automatiseret CV-screening — højrisiko, kræver dokumentation og tilsyn
• AI-genereret markedsføringsindhold — begrænset risiko ved syntetisk indhold, transparenskrav kan gælde

Risikoklassificering og dataejerskab er kernen

Det mest afgørende skridt i compliance-arbejdet er at forstå, hvad der faktisk foregår i dine systemer. Risikoklassificering handler om at vurdere, hvilken kategori hvert AI-system falder ind under, baseret på hvad det bruges til og hvilke konsekvenser fejl kan have.

Dataejerskab er den anden halvdel af ligningen. Mange AI-systemer trækker på virksomhedens data — kundeoplysninger, transaktionshistorik, kommunikation. Hvis ingen i organisationen kan svare på, hvem der ejer ansvaret for de data, et AI-system bruger, er det et rødt flag. Ikke kun i forhold til EU AI Act, men også GDPR, som stadig gælder parallelt.

Spørgsmål du bør kunne besvare:

• Hvilke AI-funktioner er i brug i virksomheden — også dem der er skjult i SaaS-produkter?
• Hvem har godkendt, at disse systemer må bruges?
• Hvilke data trækker systemerne på, og hvem ejer ansvaret for dem?
• Er der menneskeligt tilsyn med de beslutninger, AI-systemerne træffer?

Kan du ikke besvare disse spørgsmål klart, er det ikke et tegn på, at du har gjort noget forkert — det er et tegn på, at AI-adoption er sket organisk, som det gør i de fleste virksomheder. Men det er også udgangspunktet for at få styr på compliance.

Sådan griber du det an uden unødig bureaukrati

Compliance behøver ikke være et tungt, juridisk projekt. For de fleste mindre virksomheder handler det om at skabe overblik og etablere nogle få, klare principper — ikke om at producere hundredvis af sider dokumentation.

Et realistisk første skridt:

1. Kortlæg dine AI-værktøjer — gennemgå de systemer, du bruger dagligt, og identificer dem der indeholder AI-funktioner. Tjek særligt regnskab, CRM, kundeservice og markedsføring.
2. Vurder anvendelsen — for hvert system, overvej hvad det bruges til, og om det træffer beslutninger der påvirker mennesker direkte (ansættelser, kreditvurdering, prissætning).
3. Afklar ejerskab — beslut hvem i virksomheden der har ansvar for at godkende nye AI-værktøjer, og hvem der sikrer løbende tilsyn.
4. Dokumenter det basale — en simpel liste over AI-systemer, deres anvendelse og ansvarlig person er et solidt fundament.

Det vigtige er, at denne proces ikke starter med at skrive politikker, men med at forstå virkeligheden. Mange virksomheder overraskes over, hvor mange AI-funktioner der allerede er i brug, fordi de er pakket ind i velkendte produkter.

Hvornår skal du søge hjælp?

Fem konkrete tegn på, at din virksomhed med fordel kan få ekstern rådgivning:

• Der findes AI-eksperimenter spredt i organisationen uden koordinering
• Ingen kan svare klart på, hvem der ejer risikovurderingen af et AI-projekt
• I bruger AI til beslutninger der påvirker kunder eller medarbejdere direkte
• Ledelsen vil have en AI-strategi, men den har ikke rod i det faktiske systemlandskab
• I er i tvivl om, hvordan EU AI Act konkret rammer jeres anvendelse

For virksomheder der allerede har taget AI til sig i hverdagen, handler det sjældent om at bremse udviklingen. Det handler om at sikre, at de løsninger der allerede er i brug, kan stå distancen når kravene til dokumentation og tilsyn for alvor håndhæves.

Det korte svar

Skal din virksomhed overholde EU AI Act? Ja, med stor sandsynlighed — men omfanget af kravene afhænger af, hvad du bruger AI til. De fleste lokale virksomheder slipper med transparenskrav og god praksis, mens enkelte anvendelser kræver mere grundig dokumentation. Start med at kortlægge dine AI-værktøjer og afklar, hvem der ejer ansvaret. Det er et realistisk første skridt, der ikke kræver juridiske afhandlinger — bare et klart overblik over, hvad der faktisk foregår i din virksomhed.