EU AI Act: hvad din virksomhed skal have styr på, og hvornår

Hvad skal danske virksomheder vide om EU AI Act?

EU AI Act er en EU-forordning, der regulerer AI efter anvendelse og risiko. For en salgsafdeling er første skridt at kortlægge værktøjerne, deres formål og virksomhedens rolle.

Oplysningspligten ved AI-interaktion har gældt siden 2. august 2026. Bøderammen for artikel 50 om transparens er op til 15 millioner euro eller 3% af global årsomsætning. Rammen på 35 millioner euro eller 7% gælder overtrædelser af forbuddene i artikel 5. Se de nærmere betingelser i afsnittet om bøder nedenfor.

TL;DR:

Oplysningspligten ved AI-interaktion har gældt siden 2. august 2026, mens kravene til højrisiko-systemer i Annex III gælder fra 2. december 2027
Vurder hvert værktøjs formål og jeres rolle; et salgsprodukt har ikke én fast risikoklasse på tværs af alle anvendelser
Bøderammen afhænger af overtrædelsen: Artikel 50 om transparens hører til rammen på 15 mio. EUR / 3%, mens 35 mio. EUR / 7% gælder forbuddene i artikel 5

Tidsplan opdateret: Oktober 2026

EU AI Act er en EU-forordning (Regulation (EU) 2024/1689) der etablerer et risikobaseret regelsæt for udvikling, udbud og brug af AI-systemer i EU. Forordningen gælder direkte i alle medlemslande (inklusiv Danmark) uden behov for national implementeringslovgivning af selve forordningen.

Hvad er EU AI Act, og hvorfor rammer den salgsafdelingen?

Forordningen trådte i kraft 1. august 2024, og kravene bliver gældende i faser. Den kan være relevant, når virksomheden udvikler, udbyder eller anvender AI. Hvilke pligter der gælder, afhænger blandt andet af virksomhedens rolle, systemets formål og reglernes anvendelsesområde.

Ifølge Europa-Kommissionens officielle side om AI Act er formålet at sikre, at AI-systemer på EU-markedet er sikre og respekterer grundlæggende rettigheder.

En salgsafdeling kan bruge AI til lead scoring, CRM-opdateringer, samtaleanalyse, opkald, prognoser og udkast til mails. Kortlæg de faktiske værktøjer hos jer, også dem enkelte medarbejdere selv har taget i brug.

Hold AI-forordningens krav og databeskyttelsesreglerne adskilt i gennemgangen. EU-hosting eller en samtykkepolitik dokumenterer ikke i sig selv, at en løsning opfylder begge regelsæt.

Hvordan klassificerer AI Act forskellige risikokategorier?

Tabellen er et overblik. Den konkrete klassificering kræver en vurdering af systemets tilsigtede anvendelse; forpligtelser kan overlappe.

EU AI Act risikokategorier og relevans for salgs-AI (2026)
Risikokategori	Definition	Eksempler i salg	Krav	Bødeniveau
Forbudt (uacceptabel risiko)	Praksisser omfattet af artikel 5, med bestemmelsens konkrete betingelser og undtagelser	Eksempelvis visse former for manipulation eller social scoring	Forbud, når anvendelsen er omfattet	Op til 35 mio. EUR / 7% omsætning
Højrisiko	Systemer, der opfylder artikel 6, herunder anvendelser i bilag III	Eksempelvis kreditværdighed for fysiske personer eller screening af jobansøgere, efter konkret vurdering	Krav afhænger af rolle og anvendelse; udbyder og idriftsætter har forskellige pligter	Op til 15 mio. EUR / 3% omsætning
Begrænset risiko	Visse AI-systemer med transparensforpligtelser efter artikel 50	Eksempelvis direkte AI-interaktion og visse former for syntetisk indhold	Oplysning eller mærkning efter den relevante bestemmelse og dens undtagelser	Op til 15 mio. EUR / 3% omsætning
Minimal risiko	Systemer uden for artikel 5's forbud og højrisiko-reglerne; eventuelle transparenskrav vurderes særskilt	Eksempelvis administrativ støtte, efter vurdering af den konkrete funktion	Kontrollér fortsat blandt andet artikel 4, artikel 50 og anden relevant lovgivning	Afhænger af den regel, der eventuelt overtrædes

Brug artikel 6 og bilag III til klassificeringen og artikel 50 til transparenskravene. En ændring af formål kan ændre vurderingen. Rangering af salgsleads og vurdering af fysiske personers kreditværdighed er eksempelvis forskellige anvendelser.

Hvordan vurderer I typiske salgs-AI-værktøjer?

Start med funktionen og anvendelsen, ikke produktnavnet. Nedenstående er spørgsmål til gennemgangen, ikke en forhåndsgodkendelse af bestemte værktøjer.

Administrativ støtte og leadarbejde

CRM-opdateringer, prognoser, mailudkast og prioritering af salgsleads skal vurderes ud fra deres konkrete formål. Et værktøj bliver ikke automatisk højrisiko, fordi det bruges i salg, men etiketten "CRM" er heller ikke en undtagelse fra reglerne. Kontrollér også AI-færdigheder, eventuelle transparenskrav og behandling af personoplysninger.

AI-interaktion og syntetisk indhold

Artikel 50 indeholder forskellige pligter for blandt andet direkte AI-interaktion, syntetisk indhold og visse anvendelser af biometriske data. En chatbot og en optaget, transskriberet samtale skal derfor ikke nødvendigvis behandles ens.

For AI-opkald bør I undersøge, hvordan oplysningen om AI gives ved første interaktion. Læs også vores guide til lovlige AI-opkald i Danmark 2026.

Anvendelser, der kræver højrisiko-vurdering

Bilag III omfatter blandt andet vurdering af fysiske personers kreditværdighed, rekruttering og visse former for medarbejderevaluering. Bestemmelserne har afgrænsninger; eksempelvis er ikke enhver stemmefunktion biometrisk fjernidentifikation.

Afklar klassificering efter artikel 6 og derefter virksomhedens rolle. Udbyderpligter efter artikel 16 og idriftsætterpligter efter artikel 26 er forskellige.

Hvilke centrale AI Act-datoer bør danske virksomheder kende?

Her er centrale anvendelsesdatoer. Overgangsregler og den konkrete anvendelse skal indgå i vurderingen.

Fase 1: 2. februar 2025 (GÆLDER ALLEREDE) Fra denne dato gælder blandt andet forbud mod visse former for social scoring, manipulation og udnyttelse af sårbarhed efter artikel 5, med bestemmelsens konkrete betingelser og undtagelser. Visse nyere forbud i artikel 5 gælder først fra 2. december 2026, jf. artikel 113. Artikel 4 kræver desuden, at udbydere og idriftsættere træffer foranstaltninger, der understøtter udviklingen af AI-færdigheder hos medarbejdere og andre, som anvender AI på deres vegne. Tiltagene skal tage hensyn til blandt andet erfaring, uddannelse, anvendelseskontekst og berørte personer; pligten kræver ikke en garanti for et bestemt individuelt færdighedsniveau.

Fase 2: 2. august 2025 (GÆLDER ALLEREDE) Reglerne for udbydere af AI-modeller til almen brug (GPAI) bliver anvendelige, med overgangsregler for modeller, der allerede var på markedet. Hvilke pligter der gælder for en modeludbyder, skal holdes adskilt fra salgsafdelingens pligter som bruger af et værktøj.

Fase 3: 2. august 2026 (GÆLDER ALLEREDE) Oplysningspligten ved AI-interaktion (artikel 50, stk. 1) gælder fra denne dato. Kravene til højrisiko-systemer i Annex III blev udskudt til 2. december 2027 ved forordning (EU) 2026/1744 af 8. juli 2026. Udbydere af AI-systemer, herunder systemer til almen brug, der genererer syntetisk lyd, billede, video eller tekst, og som var bragt i omsætning før 2. august 2026, skal tage de nødvendige skridt til at opfylde artikel 50, stk. 2, senest 2. december 2026.

Fase 4: 2. august 2028 Datoen gælder artikel 6, stk. 1, og de tilsvarende forpligtelser for de højrisiko-systemer, bestemmelsen omfatter.

Vigtigt: Europa-Kommissionen fremlagde i november 2025 en "Digital Omnibus"-pakke. AI-delen er siden vedtaget som forordning (EU) 2026/1744 af 8. juli 2026. Den udskyder højrisiko-forpligtelserne i Annex III til 2. december 2027 og Annex I til 2. august 2028. Oplysningspligten ved AI-interaktion efter artikel 50, stk. 1, har gældt siden 2. august 2026. Artikel 50, stk. 2, har en særskilt overgangsfrist for visse eksisterende systemer, som beskrevet ovenfor.

Hvad gør Datatilsynet konkret i 2026?

Tilsynet med AI-forordningen er fordelt efter regler og sektor. Datatilsynet fører tilsyn med databeskyttelsesreglerne og er udpeget til udvalgte AI-forbud; det er ikke den generelle tilsynsmyndighed for alle AI-systemer. Digitaliseringsstyrelsen er centralt kontaktpunkt og koordinerer arbejdet.

Den relevante myndighed afhænger af den konkrete regel:

Databeskyttelse: Datatilsynet fører tilsyn med GDPR
Udvalgte AI-forbud: Datatilsynets udpegning omfatter artikel 5, stk. 1, litra d og g
Koordination: Digitaliseringsstyrelsen fungerer som centralt kontaktpunkt for AI-forordningen og markedsovervågningsmyndighed for artikel 5, stk. 1, litra a-c, e og f
Øvrige regler: Find den relevante myndighed ud fra bestemmelsen og sektoren i den aktuelle tilsynsmodel

Datatilsynets offentliggjorte fokus for 2026 omfatter blandt andet beslutningsstøttende AI i sundhedssektoren og AI til overvågning og kontrol af borgere i pleje. Den regulatoriske sandkasse, som Datatilsynet driver sammen med Digitaliseringsstyrelsen, tilbyder vejledning om GDPR og risikoklassificering efter AI-forordningen. Deltagelse er ikke en godkendelse af en løsning.

Se Datatilsynets vejledning og Digitaliseringsstyrelsens oversigt over tilsynet for den konkrete myndighedsfordeling.

Hvilke bøderammer fastsætter AI Act?

AI Acts artikel 99 fastsætter forskellige bøderammer efter overtrædelsens art. Her er tre centrale kategorier:

Trin 1: Forbudte AI-praksisser Op til 35 millioner EUR eller 7% af global årlig omsætning i det foregående regnskabsår for overtrædelser af forbuddene i artikel 5. Som udgangspunkt gælder det højeste beløb; særregler for virksomhedsstørrelse er beskrevet nedenfor.

Trin 2: Blandt andet højrisiko-krav og transparens Op til 15 millioner EUR eller 3% af global årlig omsætning i det foregående regnskabsår for de forpligtelser, der er nævnt i artikel 99, stk. 4. Det omfatter blandt andet visse pligter ved højrisiko-systemer og transparenskravene i artikel 50.

Trin 3: Fejlagtige oplysninger Op til 7,5 millioner EUR eller 1% af global årlig omsætning i det foregående regnskabsår for ukorrekte, ufuldstændige eller vildledende oplysninger til bemyndigede organer eller nationale kompetente myndigheder som svar på en anmodning.

Beløbs- og procentloftet sammenholdes som udgangspunkt, så det højeste gælder. For SMV'er gælder det laveste loft i alle tre kategorier. For små midcaps (SMC'er) gælder det laveste loft i kategori 2 og 3. Omsætningen alene afgør hverken virksomhedskategorien eller den konkrete bøde, som afhænger af sagens omstændigheder. Se artikel 99.

Bøderammerne er lofter. De giver ikke i sig selv en dato for, hvornår en bestemt overtrædelse vil føre til en håndhævelsessag.

Hvordan forbereder din salgsafdeling sig i praksis?

Her er en konkret handlingsplan for danske salgsorganisationer i fire trin.

Trin 1: Kortlæg dine AI-systemer

Notér leverandør, formål, input, output og ansvarlig medarbejder. Medtag leadarbejde, samtaleanalyse, administration og coaching. Beskriv især, om output bruges til beslutninger om kunder eller medarbejdere.

Trin 2: Gennemgå transparenskravene

Afklar de relevante dele af artikel 50 for hvert system. Pligten efter stk. 1 påhviler udbyderen; som idriftsætter bør I kontrollere, at løsningen giver den relevante oplysning, og afklare rollefordelingen i aftalen. Ved AI-opkald kan en tydelig indledning være: "Du taler med en AI-assistent fra [Virksomhed]." Det er et praktisk eksempel, ikke dokumentation for, at alle krav til systemet er opfyldt.

Læs også vores artikel om lovlig optagelse af salgssamtaler.

Trin 3: Afklar ansvar for højrisiko-systemer

En udbyder har blandt andet ansvar for den relevante overensstemmelsesvurdering før markedsføring eller ibrugtagning. En virksomhed, der bruger et højrisiko-system som idriftsætter, har andre pligter, herunder brug efter instruktionerne, menneskeligt tilsyn og overvågning af driften. Se artikel 16 og artikel 26.

Afklar derfor rolle og dokumentationsbehov, før I fordeler opgaver. Brug ikke en standardtidsplan som bevis for, at gennemgangen er tilstrækkelig.

Trin 4: Opbyg AI-literacy (løbende)

Artikel 4 kræver tiltag, der understøtter udviklingen af AI-færdigheder, uden at kræve garanti for et bestemt individuelt niveau. For salgsafdelingen kan relevante tiltag for eksempel omfatte:

Træning i, hvad AI-værktøjerne gør og ikke gør
Forståelse af, hvornår AI-output skal verificeres
Kendskab til virksomhedens AI-policy og eskaleringsprocedurer

Tilpas tiltagene til medarbejdernes forudsætninger, de konkrete AI-systemer og de personer, som anvendelsen berører.

Hvordan adskiller AI Act sig fra GDPR, og hvordan overlapper de?

GDPR regulerer behandling af personoplysninger. AI-forordningen regulerer AI-systemer og modeller med krav, der blandt andet afhænger af rolle og anvendelse. Artikel 2, stk. 7 fastslår, at databeskyttelsesreglerne fortsat gælder.

En GDPR-gennemgang erstatter derfor ikke vurderingen efter AI-forordningen. Omvendt dokumenterer en AI-klassificering ikke behandlingsgrundlag, slettepraksis eller lovlige dataoverførsler. Saml dokumentationen, men vurder pligterne hver for sig.

For en detaljeret gennemgang af datasouverænitet og AI i salg, se vores artikel om data sovereignty.

Hvad betyder AI Act for voice agents og AI-opkald?

AI-opkald kan gøre artikel 50 relevant. Efter stk. 1 skal udbyderen sikre, at personer oplyses om direkte AI-interaktion, medmindre det er åbenbart for en rimeligt velinformeret, opmærksom og fornuftig person i den konkrete sammenhæng. Bestemmelsen indeholder også en særskilt undtagelse ved visse lovhjemlede kriminalitetsformål.

En tydelig oplysning ved samtalens start er et praktisk udgangspunkt. Det erstatter ikke vurderingen af de øvrige krav til opkald og databehandling.

Praktiske kontrolpunkter for den aftalte løsning:

Indled samtalen med: "Hej, du taler med [Navn], en AI-assistent fra [Virksomhed]"
Giv mulighed for at blive viderestillet til et menneske
Dokumentér, at oplysningspligten er opfyldt

Emotion recognition: Følelsesgenkendelse efter AI-forordningen vedrører identifikation eller udledning af følelser eller intentioner ud fra biometriske data. Artikel 5, stk. 1, litra f, forbyder følelsesudledning på arbejdspladser og uddannelsessteder med undtagelser for medicinske eller sikkerhedsmæssige formål. Serviceforbedring er ikke i sig selv en undtagelse. Hvis en anvendelse af et følelsesgenkendelsessystem er lovlig, har idriftsætteren efter artikel 50, stk. 3, selv pligt til at oplyse de berørte personer om systemets drift. Betegnelsen sentimentanalyse afgør derfor ikke lovligheden; den konkrete funktion, data og anvendelse skal vurderes. Se artikel 5 og definitionen i artikel 3, nr. 39 samt den uddybende fortolkning i betragtning 18.

Bed leverandøren om dokumentation for transparens, behandlingsgrundlag og databehandling i den konkrete løsning. Læs mere om AI-opkald og dansk lovgivning i 2026.

Hvilke antagelser bør danske virksomheder kontrollere?

"GDPR dækker os allerede": Gennemgå AI-forordningen særskilt.
"Vi kender alle vores værktøjer": Spørg medarbejderne og gennemgå de konkrete arbejdsprocesser.
"Leverandøren har klassificeret systemet": Kontrollér, at vurderingen dækker jeres anvendelse.
"Et menneske kan altid gribe ind": Afprøv, hvem der kan stoppe eller ændre en beslutning, hvor det er relevant.
"Dokumentationen findes": Find de faktiske instruktioner, aftaler og vurderinger, og aftal hvem der holder dem ajour.

Kan dokumentation hjælpe i salgsprocessen?

Dokumentation kan gøre det lettere at besvare en kundes konkrete spørgsmål om AI-brug og data. Vis, hvad I har undersøgt, hvilke begrænsninger der gælder, og hvem der har ansvaret. Undgå at bruge "AI Act-compliant" som et løfte uden afgrænsning.

En praktisk start er at samle leverandøroplysninger, formål, risikovurdering og ansvar ét sted. Det giver et grundlag for gennemgangen, men er ikke i sig selv et bevis på lovlighed.

Hvad bør stå på din AI Act-compliance tjekliste?

Her er den praktiske tjekliste for danske salgsorganisationer:

AI-inventar oprettet: Alle AI-systemer i salgsafdelingen kortlagt med navn, leverandør og formål
Klassificering vurderet: Formål, rolle og relevante bestemmelser er dokumenteret
Transparens gennemgået: De relevante krav og undtagelser i artikel 50 er vurderet
Ansvar afklaret: Udbyder- og idriftsætteropgaver er fordelt for eventuelle højrisiko-systemer
Tiltag til AI-færdigheder iværksat: Tiltagene er tilpasset medarbejdernes forudsætninger, anvendelsen og de berørte personer
Teknisk dokumentation: Afklaret, om I er udbyder af et højrisiko-system, og hvem der i så fald vedligeholder dokumentationen
Leverandøraftaler gennemgået: Dokumentationen dækker den konkrete anvendelse og ansvarsfordeling
Sandkasse vurderet: Afklaret, om I eller jeres leverandør kan søge den regulatoriske sandkasse. AI-forordningens ordning er målrettet udbydere eller potentielle udbydere; som idriftsætter kan I ansøge sammen med den relevante udbyder
Incident response plan: Procedure for håndtering af AI-fejl eller klager
Løbende overvågning: Proces for regelmæssig gennemgang af AI-systemers compliance-status

Vigtige kilder og ressourcer

Ofte stillede spørgsmål om EU AI Act og salg

Er AI-baseret lead scoring højrisiko under AI Act?

Ikke automatisk. Vurder formålet og den konkrete brug efter artikel 6 og bilag III. Prioritering af salgsleads og vurdering af fysiske personers kreditværdighed er forskellige anvendelser. Der kan også være andre pligter end højrisiko-kravene, herunder databeskyttelse og AI-færdigheder.

Skal min AI voice agent oplyse, at den er AI?

Artikel 50, stk. 1, kræver som udgangspunkt oplysning om direkte AI-interaktion og indeholder en undtagelse, når det er åbenbart i den konkrete sammenhæng. Ved et salgsopkald er en tydelig oplysning i indledningen et praktisk udgangspunkt. Kontrollér også de øvrige krav til opkaldet; oplysningen alene dokumenterer ikke, at hele løsningen er lovlig.

Gælder AI Act kun for virksomheder i EU?

Nej. Artikel 2 omfatter blandt andet udbydere, som bringer AI-systemer eller GPAI-modeller på EU-markedet, selv om de er etableret uden for EU. Den omfatter også visse udbydere og idriftsættere i tredjelande, når systemets output anvendes i EU. Anvendelsesområdet har undtagelser, som skal vurderes konkret.

Hvad sker der, hvis vi bruger ChatGPT eller Claude i salgsafdelingen?

Skeln mellem modeludbyderen og virksomhedens egen rolle. Brug af et AI-system under virksomhedens ansvar kan gøre virksomheden til idriftsætter. Udvikling eller bestilling af et system, som markedsføres eller tages i brug under eget navn, kan også gøre virksomheden til udbyder. Afklar rollen efter artikel 3 og den konkrete anvendelse; det afgøres ikke alene af, hvilken model der ligger nedenunder.

Hvad er den Regulatoriske Sandkasse for AI i Danmark?

Den regulatoriske sandkasse er et samarbejde mellem Datatilsynet og Digitaliseringsstyrelsen om vejledning i GDPR og risikoklassificering efter AI-forordningen. AI-forordningens ordning er målrettet udbydere eller potentielle udbydere; en idriftsætter kan ansøge sammen med den relevante udbyder. Den giver hverken dispensation fra reglerne eller forhåndsgodkendelse af en AI-løsning. Myndighederne stiller ikke teknisk infrastruktur eller en testplatform til rådighed; deltagerne har selv ansvar for dokumentation og teknisk understøttelse.

Kan vi bruge AI til samtaleanalyse og optagelse efter AI Act?

Det afhænger af funktionen, datagrundlaget og anvendelsen. Følelsesudledning ud fra biometriske data på arbejdspladser og uddannelsessteder er omfattet af artikel 5, stk. 1, litra f, med undtagelser for medicinske eller sikkerhedsmæssige formål. Serviceforbedring er ikke en generel undtagelse. Transparens og et gyldigt behandlingsgrundlag gør ikke i sig selv en forbudt anvendelse lovlig; andre former for samtaleanalyse skal også vurderes efter de relevante regler. Læs vores detaljerede guide til lovlig optagelse af salgssamtaler med AI og GDPR for fuld gennemgang.

Hvordan bør vi forholde os til håndhævelsen af AI Act?

Reglernes anvendelsesdatoer fastlægger ikke datoen for en bestemt bøde eller håndhævelsessag. Vurder de pligter, der gælder for jeres konkrete systemer og rolle, og følg de relevante myndigheders vejledning og afgørelser. Datatilsynet har et afgrænset AI-tilsyn, mens Digitaliseringsstyrelsen koordinerer den danske indsats.

Konklusion: Begynd med de konkrete AI-systemer

Kortlæg værktøjerne, afklar formål og rolle, og fordel opgaverne. Hold dokumentation for AI-forordningen og databeskyttelse samlet, så I kan følge op på ændringer i systemer og anvendelse.

Kontakt Agent360, hvis I vil drøfte en konkret AI-arbejdsgang i salgsafdelingen.