Kort svar: AI Act er allerede delvist gældende, men kravene træder i kraft i etaper. For en mindre virksomhed er den rigtige start at registrere, hvor AI bruges, afklare virksomhedens rolle og risikoniveau, sikre AI-kompetencer hos relevante medarbejdere og dokumentere de kontroller, der faktisk er nødvendige.
Det vigtigste at få styr på
- Lav et simpelt register over de AI-systemer virksomheden bruger eller planlægger at bruge.
- Skeln mellem almindelig brug af AI og situationer, hvor virksomheden er udbyder, importør, distributør eller deployer af et reguleret system.
- Kontrollér særligt AI i rekruttering, kredit, biometriske løsninger og andre følsomme anvendelser.
- Sørg for AI literacy hos medarbejdere, der bruger AI på virksomhedens vegne.
- Planlæg transparens, menneskelig kontrol og dokumentation ud fra den konkrete anvendelse – ikke ud fra en generel frygt for AI Act.
Sådan arbejder du med det i praksis
Trin 1: Kortlæg anvendelsen
Notér værktøj, leverandør, formål, hvilke data der bruges, hvem der træffer beslutninger på baggrund af outputtet, og om løsningen møder kunder eller medarbejdere.
Trin 2: Afklar rollen
En SMV, der bruger et standardværktøj, har ikke nødvendigvis samme forpligtelser som den virksomhed, der udvikler eller markedsfører systemet. Fastlæg rollen før du vælger kontrolniveau.
Trin 3: Risikovurder
Se efter forbudte anvendelser, højrisikoanvendelser og transparenskrav. En almindelig tekstassistent til kladder er noget andet end et system, der bruges til at sortere jobansøgere.
Trin 4: Indfør menneskelig kontrol
Beslut hvilke outputs der kan bruges direkte, og hvilke der altid skal kontrolleres af et menneske. Kritiske afgørelser bør ikke blive automatiske blot fordi værktøjet er effektivt.
Trin 5: Dokumentér og følg op
Gem leverandørinformation, interne regler, ansvar og væsentlige ændringer. Genbesøg vurderingen når brugen eller reglerne ændrer sig.
Eksempel fra en mindre virksomhed
En mindre rådgivningsvirksomhed bruger generativ AI til at lave første udkast til nyhedsbreve og mødereferater. Den registrerer værktøjet, forbyder indtastning af unødige personoplysninger, kræver menneskelig godkendelse før publicering og træner medarbejderne i korrekt brug. Senere overvejer virksomheden et AI-værktøj til screening af jobansøgere. Det vurderes særskilt, fordi anvendelsen kan falde i en langt mere reguleret kategori.
Kontrolpunkter: virker processen?
- Er alle aktive AI-værktøjer registreret med ejer og formål?
- Kan virksomheden dokumentere, hvem der må bruge hvilke værktøjer?
- Er relevante medarbejdere instrueret i både muligheder, begrænsninger og datarisici?
- Bliver nye AI-anvendelser vurderet før de sættes i drift?
Typiske fejl at undgå
- At kopiere en gammel tjekliste uden at kontrollere, om regler eller platforme er ændret.
- At placere ansvaret hos “virksomheden” i stedet for en navngiven person.
- At dokumentere beslutningen, men ikke følge op på om processen faktisk bliver gennemført.
- At blande hovedregel, undtagelser og praktisk anbefaling sammen.
Ofte stillede spørgsmål
Gælder AI Act allerede?
Ja, dele af AI Act er allerede gældende, mens andre dele får virkning senere. EU-Kommissionens aktuelle tidslinje bør derfor kontrolleres, når du vurderer en konkret anvendelse.
Skal alle virksomheder lave en FRIA?
Nej. En fundamental rights impact assessment er ikke et generelt krav til enhver privat virksomhed, der bruger AI. Kravet afhænger bl.a. af systemtype og deployerens rolle.
Er ChatGPT automatisk højrisiko-AI?
Nej. Risikovurderingen afhænger af anvendelsen og rollen. Et generativt værktøj brugt til tekstudkast er ikke i sig selv det samme som et højrisikosystem brugt til fx bestemte beslutninger om personer.
Relateret guide
Læs også hovedguiden: EU AI Act for virksomheder: Hvad skal mindre virksomheder vide?.
Kilder og videre læsning
Senest faktatjekket 16. september 2026. Artiklen er generel information. Ved væsentlige juridiske, skattemæssige eller økonomiske dispositioner bør du kontrollere den aktuelle primærkilde og om nødvendigt få konkret rådgivning.