Skal I overvåge medarbejdernes Ai-brug for at overholde Ai Act?

Medarbejderne bruger ChatGPT på arbejdspladsen. Nogle på firmakontoen, andre på deres private. Og ledelsen ved ikke helt, hvem der bruger hvad til hvilke data.

Så kommer tanken: Hvis vi har ansvaret efter Ai Act, må vi vel også holde øje med, hvad folk laver på deres computere?

Det lyder logisk. Men før du ringer til IT og beder om et overvågningsværktøj, er det værd at læse, hvad Ai Act faktisk siger om overvågning af medarbejdere. Det er nemlig ikke helt det, de fleste tror.

Kort overblik (TL;DR)

• Ai Act indeholder ingen pligt til at overvåge medarbejdernes computere eller deres brug af Ai-værktøjer.
• Kravet om Ai-færdigheder i artikel 4 blev blødt op i juli 2026. Virksomheden skal nu understøtte udviklingen af medarbejdernes Ai-færdigheder. Den skal ikke garantere et bestemt niveau hos den enkelte.
• Når Ai Act taler om overvågning, handler det om at holde øje med højrisiko-Ai-systemer. Ikke med medarbejderne.
• Bruger du Ai til at overvåge og vurdere medarbejdernes præstation og adfærd, er systemet højrisiko. Og Ai til følelsesgenkendelse på arbejdspladsen har været forbudt siden februar 2025.
• Almindelig overvågning af medarbejderes computere er reguleret af GDPR og dansk arbejdsret, med krav om saglig grund, proportionalitet og varsel.

"Ai Act beder dig ikke overvåge dine medarbejdere. Den holder øje med dig, hvis du gør." Lasse Siig, ZELLERT Ai

Hvad kræver Ai Act af dig som arbejdsgiver?

Lad os starte med den regel, der rammer næsten alle virksomheder: artikel 4 om Ai-færdigheder. Mange kalder det Ai-kompetencer. Det er det samme.

Den har gældt siden 2. februar 2025. Oprindeligt stod der, at virksomheder skulle sikre "et tilstrækkeligt niveau" af Ai-færdigheder hos personalet. Det fik mange til at tro, at de skulle kunne bevise, at hver eneste medarbejder kunne sit Ai.

Med den digitale omnibus, forordning (EU) 2026/1744, blev artikel 4 skrevet om. Den nye tekst gælder fra 27. juli 2026. Frit oversat fra den engelske tekst skal udbydere og idriftsættere nu "træffe foranstaltninger for at understøtte udviklingen af Ai-færdigheder" hos deres personale.

Og så kommer den sætning, der er værd at læse to gange: Forpligtelsen kræver ikke, at virksomheden garanterer et bestemt niveau af Ai-færdigheder hos den enkelte.

Det er en indsatspligt. Du skal give folk træning, retningslinjer og støtte, der passer til deres rolle og det, de bruger Ai til. Der står intet om at kontrollere, logge eller kigge folk over skulderen.

Kommissionens egen Q&A om Ai-færdigheder peger samme vej. Der kræves ingen certifikater. Interne optegnelser over, hvad I har gjort, er nok.

Hvorfor er artikel 4 så overhovedet din sag? Fordi virksomheden er "idriftsætter", når medarbejderne bruger Ai under virksomhedens ansvar. Det er en af de Ai Act-forpligtelser for idriftsættere, der gælder uanset risiko. Er du i tvivl om, hvem der er omfattet af Ai Act, så er svaret ret bredt.

Bruger Hanne fra bogholderiet ChatGPT til at skrive rykkere, er det jer, der bruger Ai. Ikke kun Hanne.

Det betyder, at du skal vide, hvilke Ai-værktøjer der bruges, og til hvad. Du behøver ikke vide, hvad hun skrev i sin prompt tirsdag kl. 10.14.

Ordet overvågning står der. Men det handler om systemet

Søger du i Ai Act efter ordet overvågning, finder du det. Blandt andet i artikel 26, som handler om pligterne for virksomheder, der bruger højrisiko-Ai.

Her står, at du skal overvåge driften af højrisiko-systemet ud fra leverandørens brugsanvisning. Du skal give menneskeligt tilsyn til personer med de rette kompetencer. Og du skal gemme de logfiler, systemet selv laver, i mindst seks måneder. Mere om det i Ai Act dokumentation i praksis.

Det er overvågning af maskinen. Kører den, som den skal? Laver den fejl? Skal den stoppes?

To ting er vigtige her:

• Kravene gælder kun højrisiko-systemer. ChatGPT til mødereferater og Copilot til mails er ikke højrisiko i sig selv.
• For de højrisiko-systemer, der står i Ai Act's bilag III, er kravene med omnibussen udskudt fra 2. august 2026 til 2. december 2027.

Artikel 26 giver dig altså ikke en pligt til at holde øje med medarbejderne. Den giver dig en pligt til at holde øje med de Ai-systemer, der kan påvirke dem.

Ai Act holder øje med dig, hvis du overvåger med Ai

Og nu kommer den del, de færreste har hørt om. For reglerne peger faktisk den modsatte vej. Det er også her, Ai-forordningen for alvor får betydning for HR.

Ai til medarbejderovervågning er højrisiko. Bilag III, punkt 4, gør et Ai-system til højrisiko, når det bruges til at overvåge og evaluere præstationer og adfærd hos personer i et ansættelsesforhold. Det samme gælder systemer, der fordeler opgaver ud fra adfærd eller personlige træk, eller som indgår i beslutninger om forfremmelse og afskedigelse. Ai til rekruttering er i forvejen højrisiko efter samme punkt.

Køber du et værktøj, der bruger Ai til at score medarbejdernes produktivitet ud fra aktiviteten på deres computer, er du havnet i den tunge ende af Ai Act. Fra december 2027 betyder det menneskeligt tilsyn, logning, brug efter brugsanvisningen og en pligt efter artikel 26, stk. 7, til at informere medarbejderne og deres repræsentanter, før systemet tages i brug.

Følelsesgenkendelse på arbejdspladsen er forbudt. Det står i artikel 5, stk. 1, litra f, og har gældt siden 2. februar 2025. Det er et af de få steder, hvor Ai Act siger klart nej til en bestemt brug af Ai i virksomheden. Den eneste undtagelse er systemer, der bruges af medicinske eller sikkerhedsmæssige grunde.

Kommissionens retningslinjer om forbudte Ai-praksisser giver eksempler på, hvad der rammes. At aflæse følelser ud fra tastemønstre, ansigtsudtryk eller kropsholdning. At bruge webcam og stemmegenkendelse til at spore, om callcenter-medarbejdere bliver vrede. Undtagelsen skal læses snævert, så et værktøj, der skal opdage stress eller udbrændthed, er stadig forbudt.

Det er ikke småting. Brud på forbuddene i artikel 5 kan give bøder på op til 35 mio. euro eller 7 % af den globale årsomsætning. For SMV'er gælder det laveste af de to beløb. I Danmark er det Digitaliseringsstyrelsen, der fører tilsyn med netop dette forbud. Hvordan resten af reglerne bliver håndhævet, kan du læse i Den danske Ai-lov: Hvad lovforslag L 3 betyder for din virksomhed.

Derfor siger jeg det sådan her: Ai Act beder dig ikke overvåge. Den holder øje med dig, hvis du gør.

Overvågning af medarbejdere er reguleret. Bare ikke af Ai Act

Kan du så frit overvåge, så længe der ikke er Ai i værktøjet? Nej. Så er du bare ovre i nogle andre regler.

Når du logger medarbejdernes brug af internet, e-mail eller programmer, behandler du personoplysninger. Så gælder GDPR, og Datatilsynet lægger vægt på tre ting:

• Der skal være en saglig grund.
• Kontrollen må ikke være mere omfattende end nødvendigt.
• Medarbejderne skal informeres klart og tydeligt, senest når kontrollen sættes i gang.

Er I omfattet af DA/LO-aftalen om kontrolforanstaltninger, skal nye kontrolforanstaltninger varsles senest seks uger, før de indføres. Er I ikke omfattet, skal I stadig varsle medarbejderne, inden kontrollen indføres, og kontrollen skal have et driftsmæssigt formål.

Kommer der ny teknologi ind i billedet, fx et Ai-værktøj, der profilerer medarbejdere, skal I også vurdere, om der skal laves en konsekvensanalyse efter GDPR. Datatilsynets liste over behandlinger, der altid kræver en konsekvensanalyse, nævner både brug af ny teknologi og profilering i stor skala. Og bruger I Ai på persondata i det hele taget, så læs også Ai og GDPR: Databehandleraftaler til populære Ai-værktøjer.

Indfører I overvågning for at overholde Ai Act, har I altså byttet et problem, I ikke havde, ud med to, I nu har.

Det kan du gøre i stedet

Det, Ai Act reelt beder dig om, er overblik og ordentlighed. Det kræver dialog med medarbejderne, ikke logning af dem.

1. Lav en oversigt over jeres Ai-værktøjer. Hvilke værktøjer bruges, af hvem, til hvilke opgaver og med hvilke data? Spørg folk. De fleste fortæller gerne, så længe de ikke frygter at blive skældt ud. Det er også første punkt i vores Ai Act-tjekliste for SMV'er.

2. Skriv Ai-regler for medarbejderne, som de kan bruge. Hvad må man, med hvilke data, og hvem spørger man, når man er i tvivl? Læs mere i Ai-politik i virksomheden.

3. Træn medarbejderne efter deres rolle. Supporten skal ikke lære det samme som HR. Og skriv ned, hvem der har fået hvad og hvornår. Mere om det i Ai Act artikel 4: Ai-kompetencer er ikke et kursusbevis.

4. Sæt tekniske rammer, hvor det giver mening. Firmakonti i stedet for private. Godkendte værktøjer frem for alt det, der kom på markedet i går. Admin-indstillinger i ChatGPT Business eller Microsoft Copilot, der styrer, hvad jeres data må bruges til. Se også Ai Act og ChatGPT på arbejdspladsen.

Pas dog på med punkt 4. Tekniske rammer kan selv blive en kontrolforanstaltning. Spærrer du for ikke-godkendte værktøjer, er det styring. Begynder du at logge og gennemgå den enkelte medarbejders brug, er det kontrol. Så gælder GDPR og varslingsreglerne, også selvom formålet er at overholde Ai Act.

Vil I have ét sted at holde styr på Ai-brugen, er vores eget system Zitado et godt alternativ. Her registrerer I værktøjer, ansvar og træning, men der sker ingen overvågning af medarbejderne. Så I rammer heller ikke ind i højrisiko-reglerne.

Min holdning

Jeg forstår godt refleksen. Når ledelsen hører "ansvar" og "bøder" i samme sætning, er det naturligt at ville have kontrol.

Men overvågning løser ikke det problem, Ai Act peger på. Skygge-Ai opstår sjældent, fordi folk vil snyde. Det opstår, fordi de prøver at få arbejdet gjort, og ingen har fortalt dem, hvordan de må gøre det.

Det løser du ikke med et værktøj, der tæller tastetryk. Du løser det med klare rammer, ordentlig træning og en kultur, hvor man tør sige: "Jeg har brugt Claude til det her. Er det okay?"

Det er også dér, tilliden ligger. En medarbejder, der føler sig overvåget, bliver ikke bedre til Ai. Vedkommende bliver bare bedre til at skjule det.

Vil du vide, hvor I står i forhold til Ai Act? Tag den gratis Ai Act-test. Den tager et par minutter og giver dig et første overblik. Har I brug for hjælp til at få overblikket på plads, kan du læse mere om vores Ai Act-rådgivning.

Uanset hvor I står, kan du altid booke en snak med mig om, hvad jeres næste skridt skal være. Samtalen er uforpligtende. Vi bruger 30 minutter på at finde ud af, om og hvordan vi kan hjælpe jer. Book en Ai Act-afklaring

Kilder og fagligt grundlag

• Forordning (EU) 2024/1689 (Ai Act): artikel 3, nr. 4, artikel 5, stk. 1, litra f, artikel 26 og bilag III, punkt 4
• Forordning (EU) 2026/1744 (digital omnibus om Ai): artikel 1, nr. 5 (ny artikel 4) og betragtning 40 (ny dato for bilag III)
• Europa-Kommissionen: Q&A om Ai-færdigheder
• Europa-Kommissionen: Retningslinjer om forbudte Ai-praksisser (februar 2025)
• Digitaliseringsstyrelsen: Hovedvejledning om de forbudte former for Ai-praksis
• Lov nr. 467 af 14. maj 2025, § 2
• Datatilsynet: Kontrol af medarbejdere
• Datatilsynet: Liste over behandlinger, der altid er underlagt kravet om en konsekvensanalyse
• DI: Generelt om kontrolforanstaltninger

Artiklen er ikke juridisk rådgivning. Er I i tvivl om en konkret løsning, så få den vurderet.