Ai Act tjekliste for danske SMV'er: 7 første skridt uden paragrafpanik

Ai Act lyder som noget, der kræver jurister, tykke mapper og en kop kaffe så stærk, at skeen kan stå selv.

Men for de fleste danske SMV'er starter arbejdet et helt andet sted.

Det starter med et simpelt spørgsmål:

Hvor bruger vi egentlig Ai i dag?

Ikke hvor I tror, I bruger Ai.
Ikke hvor IT-afdelingen ved, der bruges Ai.
Men hvor medarbejderne faktisk bruger Ai i hverdagen.

ChatGPT. Copilot. Canva. Mødenoter. Kundeservice. Salgstekster. HR-værktøjer. Analyse. Oversættelse. Interne assistenter. Automatiseringer. Små smarte løsninger, der er opstået rundt omkring i virksomheden.

Det er ofte her, Ai Act bliver relevant. Ikke fordi alt er farligt. Men fordi virksomheden skal kunne vise, at den har styr på brug, ansvar, risiko og træning.

Her får du en praktisk tjekliste med 7 trin. Ingen paragrafjagt. Ingen panik. Bare de første gode skridt.

Hvad betyder Ai Act for en almindelig SMV?

Ai Act er EU's forordning om kunstig intelligens. Den bygger på en risikobaseret model: jo større risiko en Ai-løsning kan skabe for mennesker, rettigheder, sikkerhed eller vigtige beslutninger, jo flere krav følger der med.

For mange SMV'er handler det ikke om, at al brug af Ai pludselig bliver ulovlig. Det handler om at kunne svare på basale spørgsmål:

• Hvilke Ai-værktøjer bruger vi?
• Hvad bruger vi dem til?
• Hvem har ansvar?
• Deler vi data, vi ikke burde dele?
• Er medarbejderne trænet godt nok?
• Kan vi dokumentere vores valg?

Det er ikke raketvidenskab. Men det skal gøres. Helst før der ligger 43 forskellige Ai-vaner spredt i organisationen som kabler bag et gammelt skrivebord.

Trin 1: Lav et overblik over jeres Ai-brug

Første skridt er ikke en politik. Det er et overblik.

Mange virksomheder starter forkert. De skriver en Ai-politik, før de ved, hvad folk faktisk gør. Det svarer til at lave færdselsregler for en by, man ikke har kortlagt endnu.

Start med en simpel Ai-inventarliste. Skriv ned:

• Hvilke Ai-værktøjer bruger I?
• Hvem bruger dem?
• Hvad bruges de til?
• Bruger de kundedata, medarbejderdata eller fortrolige oplysninger?
• Er værktøjet gratis, betalt eller en del af et større system?
• Er det godkendt af virksomheden?

Det behøver ikke være perfekt fra dag ét. Et regneark er fint. En tabel i Teams er også fint. Det vigtige er, at I får det ud af hovedet og ned på papir.

For de fleste SMV'er vil der hurtigt dukke brug frem, som ledelsen ikke kendte til. Det er normalt — det betyder bare, at Ai er kommet hurtigere ind ad sidedøren, end mange nåede at få nøglen med.

Trin 2: Skeln mellem værktøj og brugssag

Det er ikke nok at spørge: "Bruger vi ChatGPT?" Det bedre spørgsmål er: Hvad bruger vi ChatGPT til?

Samme værktøj kan være lav risiko i én situation og højere risiko i en anden. At bruge Ai til et LinkedIn-udkast er normalt ret lav risiko. At bruge Ai til at vurdere jobansøgere eller rangere medarbejdere er noget helt andet.

En god brugssag beskrives sådan:

"Vi bruger [værktøj] til [opgave] for [afdeling/persona], og outputtet bruges til [beslutning eller handling]."

For så kan I vurdere risikoen rigtigt — ikke ud fra mavefornemmelse, men ud fra hvad Ai faktisk påvirker.

Trin 3: Placér ansvaret

Ai uden ansvar bliver hurtigt noget rod. Ikke fordi folk er dovne, men fordi Ai ofte ligger mellem flere stole.

I behøver ikke oprette en Ai-komité med syv undergrupper. Det er en SMV, ikke FN. Men I bør beslutte:

• Hvem ejer overblikket over Ai-brug?
• Hvem må godkende nye Ai-værktøjer?
• Hvem vurderer data og sikkerhed?
• Hvem har ansvar for træning?
• Hvem følger op, hvis brugen ændrer sig?

I mindre virksomheder kan det være én person. Det vigtigste er ikke titlen — det vigtigste er, at ansvaret findes.

Trin 4: Få styr på data

De fleste Ai-fejl i SMV'er handler ikke om onde robotter. De handler om mennesker, der kopierer noget forkert ind i et værktøj.

Lav en enkel datavejledning:

Grønt: Det må medarbejdere gerne bruge i Ai. Eksempel: offentlige tekster, generelle idéer, egne udkast uden fortrolige data.

Gult: Det kræver omtanke eller godkendelse. Eksempel: interne processer, ikke-følsomme kundecases, opsummeringer af dokumenter.

Rødt: Det må ikke bruges uden klar aftale. Eksempel: persondata, følsomme oplysninger, kontrakter, fortrolige kundedata og forretningshemmeligheder.

Hvis du ikke ville sende det til en tilfældig leverandør på mail, skal du heller ikke smide det ukritisk ind i et Ai-værktøj.

Trin 5: Træn medarbejderne i praktisk Ai-brug

Ai Act artikel 4 kræver, at virksomheder sikrer, at medarbejdere der bruger Ai har et passende niveau af viden og forståelse. Det betyder ikke tre dages kursus i maskinlæring.

Start simpelt:

Niveau 1 — Alle medarbejdere: Basisbrug, datadeling, fejlkilder og ansvar.

Niveau 2 — Superbrugere og ledere: Bedre prompting, kvalitetstjek, procesbrug og risikovurdering.

Niveau 3 — Særlige funktioner: HR, kundeservice, compliance, IT og produktudvikling.

Træningen skal ikke blive en pligtøvelse. Folk skal kunne bruge det dagen efter.

Trin 6: Dokumentér de vigtigste beslutninger

Dokumentation lyder tungt. Men det behøver det ikke være i starten. Lav en enkel mappe med:

• Ai-inventarliste
• Brugssager og risikovurdering
• Ansvarsfordeling
• Datavejledning
• Træningsoversigt
• Beslutninger om godkendte og ikke-godkendte værktøjer

Det skal ikke være perfekt. Men det skal være til at finde.

Trin 7: Lav en fast rytme for opfølgning

Ai ændrer sig hurtigt. En kvartalsvis gennemgang er nok for de fleste SMV'er:

• Er der kommet nye Ai-værktøjer?
• Har vi nye brugssager?
• Er der brugt data forkert?
• Skal træningen opdateres?
• Er noget vokset fra lav risiko til højere risiko?

Pointen er at have en rytme, så Ai ikke udvikler sig i det skjulte.

Hvad med Omnibus VII og de nye ændringer?

Den 7. maj 2026 nåede Europa-Parlamentet og Rådet en foreløbig aftale om forenklinger i Ai Act. Nye datoer for visse højrisiko-regler: 2. december 2027 for selvstændige højrisiko-systemer og 2. august 2028 for systemer bygget ind i produkter. Aftalen skal formelt vedtages.

For danske SMV'er: Ai Act er ikke væk, og det er heller ikke alt udskudt. Grundlogikken — risiko, ansvar, træning og dokumentation — er uændret.

Den korte tjekliste

1. Find jeres Ai-værktøjer — Lav en liste over alt, I bruger.
2. Beskriv jeres brugssager — Hvad bruges Ai til, og hvad påvirker outputtet?
3. Vurder risikoen — Er det teksthjælp, beslutningsstøtte eller noget, der påvirker mennesker direkte?
4. Placér ansvar — Hvem ejer overblik, godkendelser, data og træning?
5. Lav klare dataregler — Hvad må komme ind i Ai-værktøjer, og hvad må ikke?
6. Træn medarbejderne — Gør det praktisk, rollebaseret og tæt på hverdagen.
7. Dokumentér og følg op — Gem beslutninger, og gennemgå brugen kvartalsvist.

Start småt, men start rigtigt

Ai Act behøver ikke starte med panik. For de fleste SMV'er starter det med sund fornuft sat i system.

Få overblik. Placér ansvar. Træn folk. Lav enkle regler. Gem de vigtigste beslutninger. Følg op.

Ai Act handler ikke kun om jura. Det handler om at bruge Ai ordentligt. Og det kræver, at nogen tager fat — helst før det bliver træls.