Ifølge Eurostat bruger 42 procent af danske virksomheder kunstig intelligens. Det er det højeste niveau i EU. Samtidig viser tal fra Dansk Erhverv, at 70 procent af deres medlemsvirksomheder nu anvender AI-værktøjer i hverdagen. Alligevel har kun et fåtal etableret faste processer for at overholde lovgivningen. Denne guide forklarer præcis, hvad reglerne om AI Act virksomheder betyder for danske iværksættere og små virksomheder i 2026. Du får konkrete råd til at sikre, at din brug af teknologi er lovlig.
Hvad betyder AI Act for en almindelig mindre virksomhed?
Mange virksomhedsejere tror fejlagtigt, at lovgivningen kun rammer store teknologigiganter. Virkeligheden er en anden. Hvis din virksomhed bruger ChatGPT til at skrive tekster, Microsoft Copilot til at opsummere møder, en AI-chatbot til kundeservice eller et system til at sortere jobansøgninger, er du omfattet af reglerne. Loven handler ikke kun om udvikling af systemer. Den regulerer i høj grad selve anvendelsen.
For en almindelig dansk SMV betyder det, at du skal have overblik over jeres systemer og deres risikoklasse. Du har pligt til at sikre, at dine medarbejdere forstår teknologien. Du skal også være åben over for dine kunder, når de interagerer med kunstig intelligens. Hvis du er i tvivl om dine forpligtelser, kan du slå op i vores virksomhedskatalog for at finde specialister i IT-ret.
Hvem gælder reglerne for? Forskellen på udbyder og idriftsætter
Lovgivningen skelner skarpt mellem to primære roller. Disse er udbydere og idriftsættere. En udbyder er den virksomhed, der udvikler og sælger et AI-system. OpenAI og Microsoft er udbydere. De bærer det tungeste ansvar for at teste systemerne, fjerne bias og sikre teknisk stabilitet.
En idriftsætter er den virksomhed, der tager systemet i brug. Langt de fleste danske SMV’er falder i denne kategori. Som idriftsætter har du stadig et juridisk ansvar. Du må ikke bruge systemerne til ulovlige formål. Du skal overholde krav om gennemsigtighed, og du skal sikre menneskelig kontrol, hvis systemet træffer vigtige beslutninger. Hvis din virksomhed planlægger at bygge og sælge egne AI-løsninger, skifter I status til udbyder. Det mangedobler de juridiske krav. Her er det klogt at søge specialiseret hjælp via vores launchpanel for advokater.
Tidslinje for AI Act virksomheder skal kende
Reglerne indfases gradvist. Flere vigtige frister er allerede overskredet eller nært forestående. Det er afgørende at kende disse datoer for at undgå bøder. Bøderne kan nå op på 35 millioner euro eller 7 procent af den globale omsætning for de groveste overtrædelser.
Februar 2025 markerede den første store milepæl. Her trådte forbuddet mod uacceptabel AI i kraft. Samtidig blev Artikel 4 aktiveret. Den stiller krav om AI-kompetence (AI literacy) hos alle medarbejdere, der bruger systemerne. Hvis din virksomhed ikke har uddannet personalet i sikker brug af AI, er I allerede bagud.
August 2025 træder reglerne for generelle AI-modeller (GPAI) i kraft. Dette påvirker primært udbyderne af de store sprogmodeller, men det ændrer de vilkår og funktioner, du har adgang til som bruger.
August 2026 er tidspunktet, hvor kravene til højrisiko-AI træder fuldt i kraft. Hvis din virksomhed bruger AI til rekruttering, kreditvurdering eller biometrisk identifikation, skal alle procedurer for dokumentation og risikovurdering være på plads inden denne dato.
Almindelig AI-brug og fænomenet skygge-AI
De fleste danske virksomheder bruger AI til marketing, tekstforfatning, oversættelse eller basal dataanalyse. Dette betragtes generelt som lavrisiko. Udfordringen opstår ofte med skygge-AI. Skygge-AI opstår, når medarbejdere bruger uautoriserede gratisværktøjer, eller når eksisterende softwareleverandører indbygger AI-funktioner i deres systemer uden tydelig varsling.
Mange opdager ikke, at deres CRM-system, HR-platform eller regnskabsprogram pludselig analyserer kundedata med kunstig intelligens. Som idriftsætter er det dit ansvar at vide, hvilke funktioner der er slået til i jeres software. Du kan for eksempel alliere dig med en bogholder fra Radius Regnskab for at sikre, at jeres finansielle systemer håndterer data korrekt. Det kræver en aktiv indsats at kortlægge alle systemer. De må ikke uforvarende behandle personoplysninger i strid med GDPR. AI Act erstatter nemlig ikke de eksisterende databeskyttelsesregler.
Risikokategorier i EU AI Act forklaret enkelt
Lovgivningen bygger på en risikobaseret tilgang. Jo større risiko et system udgør for borgernes rettigheder og sikkerhed, desto strengere er kravene. Reglerne inddeles i fire kategorier.
Uacceptabel risiko (Forbudt AI)
Systemer i denne kategori er strengt forbudte. Det omfatter social scoring, hvor mennesker vurderes ud fra deres adfærd over tid. Det dækker også manipulation af sårbare grupper og biometrisk overvågning i realtid på offentlige steder. Ingen dansk SMV må anvende disse teknologier.
Højrisiko-AI og kravet om FRIA
Dette er den mest komplekse kategori for almindelige virksomheder. Højrisiko-AI omfatter systemer til kritisk infrastruktur, uddannelse, ansættelsesprocesser og finansielle vurderinger. Hvis du bruger et AI-system til at sortere CV’er fra jobansøgere, betragtes det som højrisiko. Det samme gælder, hvis systemet vurderer kunders kreditværdighed. Har du brug for hjælp til at vurdere finansielle risici, kan du finde en bank via vores platform.
Brug af højrisiko-AI kræver, at virksomheden gennemfører en FRIA (Fundamental Rights Impact Assessment). Mange mangler en skabelon til dette. En simpel FRIA for en SMV indebærer fire trin. Først kortlægger du systemets formål og data. Derefter identificerer du de berørte persongrupper (for eksempel jobansøgere). Tredje trin er at vurdere de specifikke risici for diskrimination eller fejl. Til sidst dokumenterer du, hvordan en menneskelig medarbejder altid træffer den endelige beslutning og overvåger systemet.
Begrænset risiko
Langt de fleste værktøjer, som danske iværksættere bruger, falder i denne kategori. Det gælder AI-chatbots, systemer til generering af billeder og tekst samt deepfakes. Hovedkravet her er transparens. Du skal tydeligt oplyse brugeren om, at de interagerer med kunstig intelligens. Hvis en kunde skriver til din support, skal det fremgå klart, at de taler med en bot, inden samtalen starter.
Minimal risiko
Dette dækker over traditionelle algoritmer, spamfiltre i e-mailprogrammer og AI i computerspil. Der er ingen specifikke lovkrav til systemer med minimal risiko ud over de generelle regler for god forretningsskik og GDPR.
Konkrete eksempler på AI-brug og risici
For at gøre reglerne håndgribelige har vi samlet en oversigt over typiske anvendelsesscenarier i danske virksomheder, den tilhørende risikoklasse og de konkrete handlinger, du skal udføre.
| Anvendelse | Typisk risiko | Hvad virksomheden bør gøre |
|---|---|---|
| ChatGPT til tekstforfatning og idégenerering | Begrænset risiko | Uddan medarbejdere i ikke at indtaste personfølsomme data. Mærk AI-genereret indhold. |
| AI-chatbot til kundeservice på hjemmesiden | Begrænset risiko | Indsæt en tydelig besked i chatvinduet, der oplyser kunden om botten. |
| AI-software til automatisk CV-sortering | Højrisiko | Gennemfør en FRIA. Sikr at en medarbejder altid træffer den endelige beslutning. |
| AI til fastsættelse af forsikringspræmier | Højrisiko | Kræver streng dokumentation. Søg råd hos en forsikringsrådgiver for at sikre korrekt implementering. |
| Spamfilter i virksomhedens e-mailsystem | Minimal risiko | Ingen særlige tiltag ud over almindelig IT-sikkerhed og GDPR-compliance. |
AI Act-tjekliste til den lille virksomhed
Følg denne konkrete tjekliste med 10 punkter for at sikre, at din virksomhed overholder reglerne. Den dækker de mest almindelige faldgruber for danske SMV’er.
- Kortlæg alle AI-værktøjer. Lav et samlet inventar over hvilke systemer I bruger, hvem der har adgang, og hvad de bruges til.
- Tjek for skygge-AI. Gennemgå jeres eksisterende software (CRM, HR, regnskab) og identificer indbyggede AI-funktioner.
- Uddan medarbejderne. Artikel 4 kræver AI-kompetence. Hold en intern workshop om sikker brug af prompts og datasikkerhed.
- Opdater privatlivspolitikken. Sikr at jeres GDPR-dokumentation afspejler, hvordan I behandler data gennem AI-systemer.
- Mærk AI-genereret indhold. Hvis I udgiver billeder, videoer eller lange tekster genereret af AI, skal det fremgå tydeligt.
- Informer brugere ved chatbot-interaktion. Opsæt en automatisk besked, der deklarerer brugen af bots i jeres kundeservice.
- Stop brug af forbudt AI. Gennemgå jeres systemer for at sikre, at I ikke ubevidst bruger social scoring eller biometrisk overvågning.
- Identificer højrisiko-systemer. Vær særligt opmærksom på systemer, der bruges til rekruttering, forfremmelser eller kreditvurdering.
- Lav retningslinjer for åbne modeller. Beslut præcis hvilke data medarbejdere må indtaste i offentlige versioner af ChatGPT og Copilot.
- Søg tilskud og rådgivning. Undersøg mulighederne i SMV:Digital, hvor du kan søge op til 150.000 kroner i tilskud til rådgivning om compliance. Du kan også oprette en profil og administrere dine services for at tiltrække de rette rådgivere, eller deltage i et iværksætterbasis arrangement.
Typiske fejl og hjælp fra myndighederne
Den mest udbredte fejl blandt danske virksomheder er antagelsen om, at lovgivningen kun gælder for tech-branchen. Mange overser, at rollen som idriftsætter medfører et selvstændigt juridisk ansvar. En anden klassisk fejl er at ignorere Artikel 4-kravet om AI-kompetence, som allerede trådte i kraft i februar 2025. Virksomheder lader ofte medarbejdere eksperimentere frit med værktøjerne uden at have en nedskrevet politik. Det udgør en direkte overtrædelse af loven.
Mange glemmer også samspillet med GDPR. Hvis en medarbejder uploader et referat med kunders navne til en offentlig AI-model for at få et resumé, bryder virksomheden både GDPR og AI-forordningens principper. Det er et emne, der ofte debatteres, når ledere mødes i et erhvervsnetværk for at dele erfaringer. For at få hjælp til at navigere i reglerne kan du med fordel orientere dig i vejledningerne fra Digitaliseringsstyrelsen, som løbende udgiver retningslinjer for dansk implementering.
FAQ om AI Act for virksomheder
Er det lovligt at bruge ChatGPT i min virksomhed?
Ja, det er fuldt ud lovligt at bruge ChatGPT og lignende sprogmodeller. Systemerne falder under kategorien begrænset risiko. Du skal dog sikre, at medarbejderne har de nødvendige kompetencer til at bruge værktøjet sikkert. Du må heller ikke indtaste personfølsomme oplysninger i de åbne versioner af modellerne.
Hvad er straffen for at bryde reglerne?
Bøderne er markante. Brug af forbudt AI kan medføre bøder på op til 35 millioner euro eller 7 procent af virksomhedens globale årlige omsætning. Manglende overholdelse af kravene til højrisiko-AI kan straffes med bøder på op til 15 millioner euro eller 3 procent af omsætningen. For mindre virksomheder bliver bødeniveauet ofte tilpasset virksomhedens størrelse.
Hvordan påvirker reglerne min rekrutteringsproces?
Hvis du bruger software, der automatisk vurderer, sorterer eller rangerer jobansøgere ved hjælp af kunstig intelligens, bruger du et højrisiko-system. Dette kræver, at du gennemfører en konsekvensanalyse (FRIA). Du skal sikre, at systemet ikke diskriminerer, og garantere at en menneskelig medarbejder altid træffer den endelige beslutning om ansættelse.
Lovgivningen om AI Act virksomheder kræver handling nu. Start med at oprette et simpelt tekstdokument i dag, hvor du lister alle de AI-værktøjer, dine medarbejdere bruger. Det er det første og vigtigste skridt mod at blive compliant. Hvis du vil tilbyde dine egne AI-kompatible ydelser til andre, kan du blive optaget i vores katalog og nå ud til tusindvis af danske iværksættere.