Hvad er Ai Act? En praktisk guide til danske virksomheder

Du bruger sandsynligvis allerede Ai-systemer, der er omfattet af EU's nye lov - Ai Act Forordningen.

Spørgsmålet er bare om du ved det.

Ai Act er ikke noget der kommer. Det er ikke noget du kan vente med til efteråret. Det er gældende ret - siden august 2024 - og det gælder din virksomhed, uanset om du bygger Ai eller bare bruger det.

Lad mig forklare hvad det faktisk betyder. Uden jurasproget.

Af Kamilla Grønbech, Ai Act-konsulent - ZELLERT Ai

Kort overblik (TL;DR)

• Ai Act trådte i kraft august 2024 og gælder direkte i Danmark (Og EU) - ingen særskilt dansk lovgivning nødvendig.
• Loven gælder ikke kun dem der bygger Ai. Den gælder alle der bruger det i deres virksomhed.
• Som idriftsætter har du forpligtelser - uanset om du bruger ChatGPT, Copilot eller et Ai-system integreret i dit HR- eller CRM-system.
• De store høj risiko krav træder i kraft i december 2027. Det lyder som god tid. Det er det ikke.
• Bøden kan løbe op til 35 millioner euro eller 7% af global omsætning.

"Du skal forholde dig til Ai Act, hvis du bruger Ai. For reglerne gælder allerede."
– Lasse Siig, ZELLERT Ai

Det er ikke et tech-problem. Det er dit problem.

Den misforståelse jeg møder oftest:

"Ai Act gælder vel OpenAi og Google – ikke os?"

Nej.

Ai Act skelner mellem udbydere (dem der har bygget Ai-systemet) og idriftsættere (dem der tager det i brug). Bruger du ChatGPT Business, Microsoft Copilot eller et HR-system med en Ai-funktion der rangerer kandidater – er du idriftsætter. Og som idriftsætter har du forpligtelser under loven.

Det gælder langt de fleste danske virksomheder. Herunder med stor sandsynlighed din.

Danmark er faktisk det EU-land med den højeste Ai-adoption – 42% af virksomhederne bruger Ai, mod et EU-gennemsnit på 20%. Vi er relativt set mere berørt end noget andet EU-land. Og alligevel har de færreste en plan.

Hvornår bliver det et Ai Act-problem?

Ai Act opdeler Ai-systemer i fire risikokategorier. Niveauet bestemmer hvad du skal gøre.

Forbudt – gælder nu

Social scoring, manipulerende Ai rettet mod sårbare grupper, masseovervågning via ansigtsgenkendelse. Totalforbudt siden februar 2025.

Høj risiko - særskilte frister i 2027 og 2028

Ai der direkte påvirker menneskers liv og rettigheder. Rekruttering er det klassiske eksempel: sorterer dit system CV'er eller rangerer kandidater, er det højrisiko. Det samme gælder kreditvurdering, eksamensbedømmelse og Ai i sundhedsvæsenet. Her kræves risikovurdering, dokumentation og menneskeligt tilsyn.

Gennemsigtighed - gælder fra august 2026

Chatbots og Ai-genereret indhold. Kravet er primært gennemsigtighed – brugerne skal vide de taler med Ai.

Lav risiko - fortsat ansvar for Ai-færdigheder og data

Spam-filtre, auto-korrektur, Ai i computerspil. Langt de fleste Ai-systemer falder her.

Tommelfingerreglen: Bruger din Ai til at træffe eller understøtte beslutninger der påvirker et menneskes job, økonomi, uddannelse eller helbred – er det sandsynligvis højrisiko.

Det er dig, der er ansvarlig

Her er det de fleste ikke forstår.

Har du taget et Ai-system i brug i din virksomhed – købt, lejet eller bygget – er du deployeren. Og det betyder konkret at du er ansvarlig for:

• Artikel 9 – Risikostyring: Du skal have et dokumenteret system til at identificere og håndtere risici. Løbende, ikke kun ved lancering.
• Artikel 10 – Datakvalitet: De data systemet bruger og producerer skal være veldokumenterede.
• Artikel 13 – Transparens: Systemet skal kunne forklare hvad det gør og hvorfor. Brugerne skal vide de interagerer med Ai.
• Artikel 14 – Menneskelig kontrol: Der skal være reel menneskelig oversigt over systemets beslutninger – ikke som formalitet, men som faktisk mekanisme.

Arbejdet afhænger af jeres rolle og systemets brug. De særlige højrisikopligter gælder ikke automatisk for al brug af Ai.

Skygge-Ai: det ingen taler om

Her er compliance-risikoen de fleste guides springer over.

En del af de Ai-systemer du er ansvarlig for, har du aldrig aktivt valgt.

De er allerede der. Integreret i software du bruger til daglig. Dit CRM der foreslår næste handling. Dit regnskabsprogram der flagger anomalier. Din HR-platform der rangerer ansøgere – måske uden nogen i ledelsen ved at funktionen findes.

Jeg talte for nylig med en produktionsvirksomhed på Sjælland. 65 ansatte, veldrevet. De brugte et HR-system med en Ai-funktion der automatisk rangerede jobansøgere. Ingen i ledelsen vidste den var der. Ingen dokumentation, ingen risikovurdering, ingen procedure for menneskeligt tilsyn.

Ikke fordi de var uansvarlige. Men fordi ingen havde spurgt.

Det er ikke et særtilfælde. Det er reglen.

"Vi bruger det bare internt" er ikke en fritagelse

Den næstmest udbredte misforståelse: "Vi er ikke et tech-firma – det gælder vel ikke os?"

Jo. Det gælder dig.

Ai Act gælder ikke kun for dem der sælger Ai-systemer. Det gælder alle der tager dem i brug – også til intern brug. Bruger du et Ai-system til at screene jobansøgere, vurdere medarbejdere eller træffe beslutninger om kunder, er du deployer. Punktum.

Det betyder ikke, at du skal overvåge dine medarbejdere. Bruger du Ai til at overvåge og vurdere dem, bliver det tværtimod højrisiko. Læs mere om Ai Act og overvågning af medarbejdere.

Hvad gælder allerede nu?

Her er tidslinjen mange tager fejl af:

• Februar 2025 – Forbuddet mod uacceptabel risiko trådte i kraft. Og Ai literacy-kravet (artikel 4) gælder allerede: medarbejdere der arbejder med Ai skal have tilstrækkelige færdigheder til at bruge det ansvarligt.
• August 2026: De generelle regler og gennemsigtighedsreglerne gælder. Højrisikokrav efter bilag III gælder fra 2. december 2027 og efter bilag I fra 2. august 2028.

Du er allerede i gang med Ai. Reglerne gælder allerede.

Hvorfor det er forretningsstrategi – ikke jura

Jeg hører ofte: "Vi venter på at se hvad der sker."

Det er en dårlig strategi.

Ikke primært fordi bøderne er store – op til 35 millioner euro eller 7% af global omsætning for de alvorligste overtrædelser. Men fordi de virksomheder der handler nu, kender deres Ai-systemer. De ved hvad der kræves. Og de kan positionere sig som troværdige samarbejdspartnere i et marked hvor ansvarlig Ai-brug er ved at blive et konkurrenceparameter.

Ai Act er ikke jura. Det er forretningsstrategi.

Start med tre spørgsmål:

1. Hvilke Ai-systemer bruger vi – inklusive dem der gemmer sig i eksisterende software?
2. Hvilken risikokategori er de i?
3. Har vores medarbejdere de Ai-færdigheder loven kræver?

Svarene fortæller dig præcis hvor du skal starte.

Kilder og opdatering af frister

Fristerne ovenfor er kontrolleret 28. oktober 2026 mod EU-Kommissionens aktuelle tidslinje og Ai Act, konsolideret tekst, artikel 113. De konkrete krav afhænger af systemets klassifikation og virksomhedens rolle.