EU's AI-forordning for danske virksomheder: hvad betyder den i praksis?

EU’s AI-forordning (AI Act) betyder for en almindelig dansk virksomhed, at man skal vurdere, hvilken risikokategori de AI-værktøjer, man bruger eller udvikler, falder ind under — og at kravene stiger med risikoen. De fleste virksomheder, der bruger AI til skriftlige opgaver som indbakke-triage, dokumenthåndtering eller mødereferater, vil typisk befinde sig i kategorien med begrænset eller minimal risiko, mens AI brugt til for eksempel rekruttering eller kreditvurdering rammer strengere krav. Reglerne handler grundlæggende om gennemsigtighed, dokumentation og menneskeligt tilsyn — ikke om at forbyde AI.

Dette er ikke juridisk rådgivning. Er I i tvivl om, hvordan reglerne gælder for jeres konkrete AI-anvendelse, bør I søge juridisk bistand eller kontakte de relevante myndigheder direkte.

Hvad er AI-forordningen egentlig?

AI-forordningen er EU’s fælles regelsæt for kunstig intelligens. Den er vedtaget som en forordning, hvilket betyder, at den gælder direkte i alle medlemslande — herunder Danmark — uden at skulle omsættes til national lov på samme måde som et direktiv. Formålet er at sætte fælles rammer for, hvordan AI-systemer må udvikles, sælges og bruges i EU, med særligt fokus på systemer, der kan påvirke menneskers rettigheder og sikkerhed.

Den fulde, autoritative tekst findes hos EU selv via EUR-Lex, og det er her, virksomheder bør orientere sig ved konkret tvivl, i stedet for at læse forordningen gennem sekundære kilder. Forordningens grundtanke er en risikobaseret tilgang: jo højere risiko et AI-system udgør for enkeltpersoner eller samfundet, desto flere krav stilles der til den, der udvikler eller anvender systemet.

Forordningen er en del af en bredere EU-indsats, der de senere år også har omfattet databeskyttelsesreglerne. For danske virksomheder betyder det, at man i praksis ofte skal navigere flere regelsæt samtidig, når man tager AI i brug — ikke fordi reglerne modarbejder hinanden, men fordi de dækker forskellige aspekter af den samme teknologi: AI-forordningen fokuserer på selve AI-systemets risiko og anvendelse, mens databeskyttelsesreglerne fokuserer på behandlingen af persondata, uanset om den sker med eller uden AI.

Hvem er omfattet?

Forordningen skelner mellem flere roller — blandt andet udbydere (dem, der udvikler og markedsfører et AI-system) og “deployere” eller brugere (virksomheder, der tager systemet i brug i egen drift). De fleste danske virksomheder, der bruger AI-værktøjer fra en leverandør frem for at udvikle deres egen AI fra bunden, vil typisk have rollen som bruger/deployer — men det ændrer ikke ved, at der stadig kan være forpligtelser at forholde sig til, afhængigt af hvad AI’en bruges til.

Hvorfor risikobaseret regulering?

Tanken bag den risikobaserede model er, at ikke al AI er lige indgribende. En AI, der foreslår formuleringer i en mødereferat-opsummering, har et andet risikobillede end en AI, der er med til at afgøre, om en jobansøger går videre i en rekrutteringsproces. Ved at gradere kravene efter risiko undgår man dels at overregulere lavrisiko-brug, dels at underregulere de anvendelser, hvor fejl kan have alvorlige konsekvenser for den enkelte.

De fire risikokategorier — kvalitativt overblik

AI-forordningen opererer overordnet med en skala af risikoniveauer. Herunder er en kvalitativ, ikke-udtømmende gennemgang — for det præcise indhold, betingelser og undtagelser henviser vi til selve forordningsteksten og Datatilsynets vejledning.

Uacceptabel risiko. Dette er AI-anvendelser, som reguleringen anser for så indgribende i grundlæggende rettigheder, at de som udgangspunkt ikke er tilladt. Det er sjældent relevant for almindelige virksomheders daglige AI-brug i administration, salg eller kundeservice.

Høj risiko. Her er tale om AI-systemer, der bruges i sammenhænge, hvor fejl eller skævheder kan have væsentlig betydning for enkeltpersoner — for eksempel i visse HR-, kredit- eller myndighedsrelaterede sammenhænge. Denne kategori medfører de tungeste krav til dokumentation, risikostyring og menneskeligt tilsyn.

Begrænset risiko. Typisk AI, der interagerer direkte med mennesker, og hvor der derfor er et gennemsigtighedskrav — altså at det skal være tydeligt, at man interagerer med eller modtager indhold fra en AI. Dette er relevant for mange af de skriftlige AI-anvendelser, virksomheder bruger i dag.

Minimal risiko. Den store gruppe af AI-anvendelser, der ikke er omfattet af særlige forpligtelser efter forordningen — eksempelvis mange interne, skriftlige hjælpeværktøjer.

Hvad betyder det konkret for en dansk virksomhed?

For de fleste danske virksomheder, der bruger AI til skriftlige, administrative opgaver — indbakke-triage, dokumentsamling, mødereferater, udkast til tilbud — er den praktiske øvelse først og fremmest at forstå, hvilken kategori ens konkrete AI-anvendelse falder i, og derefter handle derefter. Det kræver, at man kigger på den faktiske brug, ikke kun værktøjets navn eller markedsføring.

Gennemsigtighed er ofte det mest relevante krav

For mange virksomheder, der bruger AI i kundevendt sammenhæng — for eksempel skriftlig kundeservice eller AI-genereret indhold — er gennemsigtighedskravet det mest praktisk relevante: det skal være klart for modtageren, at de interagerer med eller modtager output fra en AI, medmindre det er indlysende ud fra sammenhængen. Det hænger sammen med forordningens fokus på, at mennesker skal kunne træffe informerede valg om deres interaktion med AI-systemer.

Dokumentation og sporbarhed

Uanset risikoniveau er det god praksis at kunne dokumentere, hvilke AI-systemer man bruger, til hvilke formål, og hvordan man har vurderet risikoen. Det gælder særligt, hvis man senere skal kunne redegøre for sin AI-brug over for en kunde, en samarbejdspartner eller en myndighed.

Menneskeligt tilsyn

Et gennemgående princip i forordningen er, at mennesker skal kunne gribe ind og korrigere AI-systemets output, særligt jo højere risikoen er. Det betyder i praksis, at AI bør ses som et forslag eller udkast, som et menneske godkender — ikke som en automatisk, endelig beslutning, i hvert fald ikke i de sammenhænge, hvor konsekvenserne for enkeltpersoner er væsentlige.

Tidsperspektiv: hvorfor det ikke kan vente

En reguleringsmæssig detalje, der ofte overraskes danske virksomhedsledere, er, at forordningens forskellige dele ikke træder i kraft på samme tidspunkt. EU har lagt op til en gradvis ikrafttræden, hvor visse dele — som forbuddene mod uacceptabel risiko — gælder tidligere end de mere omfattende krav til højrisiko-systemer. Vi opgiver bevidst ikke konkrete datoer her, fordi den slags detaljer ændrer sig i takt med officielle afklaringer, og fordi en forkert dato er værre end ingen dato. Det rigtige sted at finde den aktuelle, gældende tidslinje er direkte i forordningsteksten hos EU, eventuelt suppleret af dansk myndighedsvejledning, når den foreligger.

Det praktiske råd til virksomheder er derfor ikke at vente på en bestemt frist, før man begynder at tænke over sin AI-brug i lyset af forordningen. Selve øvelsen med at kortlægge, hvilke AI-værktøjer man bruger, og hvad de bruges til, er nyttig uanset hvornår de enkelte krav formelt træder i kraft — og den øvelse tager typisk længere tid, end virksomheder forventer, hvis AI-brugen er spredt ud på mange afdelinger og værktøjer uden central koordinering.

Roller i praksis: udbyder, deployer og alt derimellem

Et sted, hvor mange virksomheder farer vild, er i forordningens rolleopdeling. De fleste danske virksomheder er ikke udviklere af AI-modeller — de er brugere af værktøjer, andre har bygget. Men rollen som bruger (eller “deployer”, som det ofte kaldes) er ikke risikofri i sig selv. Har man som virksomhed indflydelse på, hvordan et AI-system bruges — for eksempel ved at tilpasse det til en bestemt arbejdsgang, fodre det med egne data, eller lade det træffe eller foreslå beslutninger på et bestemt område — kan man i praksis påtage sig et ansvar, der rækker ud over blot at være passiv slutbruger af en leverandørs produkt.

Det betyder ikke, at enhver tilpasning udløser tunge forpligtelser. Men det betyder, at man som virksomhed bør forholde sig konkret til, hvordan man rent faktisk bruger sin AI — ikke kun til, hvad leverandøren kalder produktet, eller hvilken risikokategori leverandøren selv sætter det i. To virksomheder, der bruger det samme underliggende AI-værktøj, kan i princippet ende i forskellige situationer afhængigt af, hvad de konkret bruger det til, og hvor meget de selv har tilpasset eller trænet det på egne data.

Hvorfor det er svært at give ét facit for “jeres virksomhed”

Denne artikel giver bevidst et kvalitativt overblik frem for et facit, fordi forordningens anvendelse i praksis afhænger af den konkrete situation: branche, hvilke data der behandles, hvor meget mennesket er involveret i den endelige beslutning, og hvordan AI-systemet er konfigureret. To virksomheder i samme branche kan derfor lande forskellige steder på risikoskalaen, selvom de bruger lignende værktøjer. Det er netop derfor, at generisk juridisk rådgivning sjældent er tilstrækkelig — og hvorfor konkret rådgivning, tilpasset jeres egen AI-brug, er den sikre vej, hvis I er i tvivl.

Sammenhæng til GDPR

AI-forordningen står ikke alene. Bruger en virksomhed AI til at behandle persondata — hvilket de fleste AI-værktøjer i en eller anden grad gør — gælder databeskyttelsesreglerne (GDPR) parallelt med AI-forordningen. Det betyder, at spørgsmål om behandlingsgrundlag, dataminimering og databehandleraftaler ikke forsvinder, fordi man også skal forholde sig til AI-forordningen — de to regelsæt supplerer hinanden. Datatilsynet er den relevante danske myndighed at orientere sig hos for den databeskyttelsesretlige del, og deres side med regler og vejledning er et naturligt sted at starte, hvis man er i tvivl om, hvordan de to regelsæt spiller sammen i praksis.

Databehandleraftaler bliver ikke mindre relevante

En almindelig misforståelse er, at fordi AI-forordningen er ny og specifik for AI, kan den erstatte den øvelse, virksomheder allerede burde have lavet omkring databehandleraftaler og tredjepartsleverandører. Det er ikke tilfældet. Bruger virksomheden en AI-leverandør, der behandler persondata på virksomhedens vegne, gælder de almindelige krav til databehandleraftaler fortsat — AI-forordningen lægger sig oveni, den erstatter ikke.

Hvorfor egen instans kan gøre den øvelse enklere

Når en virksomhed kører sin AI-platform i egen instans med egen database — som er tilfældet med Agent360 — bliver det lettere at holde overblik over, hvor data ligger, og hvem der har adgang, fordi man ikke deler infrastruktur med andre kunder. Det gør ikke compliance-arbejdet med AI-forordningen overflødigt, men det reducerer nogle af de spørgsmål, der ellers opstår om datadeling og tredjepartsadgang i en delt sky-model. Det er ikke en juridisk garanti for compliance — det er stadig virksomhedens eget ansvar at vurdere sin konkrete AI-brug op mod reglerne.

Hvad AI’en IKKE skal

En AI-agent, uanset hvor godt den er bygget, bør ikke selv afgøre, om en given anvendelse er høj- eller lavrisiko efter AI-forordningen, og den bør ikke selv træffe endelige beslutninger i sammenhænge, hvor mennesker efter reglerne skal have tilsyn og indsigt. AI’en kan samle information, foreslå kategorisering og udarbejde udkast til dokumentation — men den juridiske vurdering af, hvilke krav der gælder, og godkendelsen af, hvordan man lever op til dem, forbliver et menneskeligt og virksomhedsmæssigt ansvar, eventuelt i samspil med juridisk rådgivning.

Praktiske skridt for virksomheder, der vil i gang

Selvom denne artikel ikke er juridisk rådgivning, kan man kvalitativt pege på nogle fornuftige første skridt: lav en oversigt over, hvilke AI-værktøjer virksomheden faktisk bruger i dag; vurder for hvert værktøj, hvad det bruges til, og om det er kundevendt eller internt; noter, om der er tale om persondata, og i så fald hvilket behandlingsgrundlag der gælder; og hold øje med opdateringer fra Datatilsynet og EU, da vejledningspraksis løbende udvikler sig i takt med, at forordningen implementeres.

Start med de skriftlige arbejdsgange, I allerede har

For mange virksomheder er den mest overkommelige start at kigge på de skriftlige, administrative arbejdsgange, hvor AI allerede bruges eller overvejes — indbakke, dokumenter, mødereferater, tilbudsudkast. Her er risikoniveauet typisk lavere, og det giver et naturligt sted at øve compliance-tankegangen, før man eventuelt bevæger sig ind i mere risikofyldte anvendelser.

Ofte stillede spørgsmål

Sådan kan en AI-platform i egen instans understøtte jeres arbejde

En AI-agent kan hjælpe med at holde styr på, hvilke skriftlige arbejdsgange den bruges i, og understøtte dokumentation af, hvordan AI indgår i jeres processer — men den kan ikke erstatte en juridisk vurdering af, om jeres konkrete brug lever op til AI-forordningen. Med Agent360 kører I jeres AI-platform i egen instans med egen database, hvilket giver bedre overblik over, hvor data ligger, og hvem der har adgang — relevant, når I skal kunne redegøre for jeres AI-brug. Vil I forstå, hvordan en AI-agent i praksis fungerer i en virksomhed, kan I læse mere om hvad en AI-agent til virksomheden er. Bruger I AI sammen med jeres CRM-data, er CRM-data-hygiejne og CRM-automatisering også relevante at have styr på, da datakvalitet hænger sammen med, hvor godt I kan dokumentere og styre jeres AI-anvendelse.

Denne artikel er ikke juridisk rådgivning. Konkrete spørgsmål om, hvordan AI-forordningen gælder for jeres virksomhed, bør afklares med juridisk bistand eller de relevante myndigheder, herunder Datatilsynet.