Hvad er AI-forordningen, og hvordan påvirker den SMV'er i Danmark?
«AI-forordningen» er Forordning (EU) 2024/1689. Den gælder direkte i Danmark siden 1. august 2024 med trinvis ikrafttrædelse: forbudte praksisser (Art. 5) og AI-literacy (Art. 4) fra 2. februar 2025, GPAI-forpligtelser fra 2. august 2025, og de nationale myndigheders aktive tilsyn fra 2. august 2026. Forpligtelserne for højrisiko-systemer er efter Digital Omnibus af 7. maj 2026 (formel vedtagelse udestår) udskudt: Bilag III (selvstændige systemer) til 2. december 2027 og Bilag I (regulerede produkter) til 2. august 2028. Aktivt tilsyn i Danmark koordineres af Digitaliseringsstyrelsen, med Datatilsynet for forbudte praksisser og databeskyttelse. Den berører enhver SMV, der bruger, leverer eller markedsfører AI-systemer, uanset branche.
Hvilke forpligtelser har en dansk SMV efter EU AI Act?
En SMV har fem grupper af forpligtelser. Art. 4: fremme medarbejdernes AI-literacy. Art. 5: undgå forbudte AI-praksisser. Art. 26: følge leverandørens instrukser ved højrisiko, føre logfiler, sikre menneskeligt tilsyn. Art. 50: oplyse brugere, mærke AI-indhold. Art. 27: gennemføre FRIA ved højrisiko-anvendelse i følsomme sektorer.
Vi bruger kun ChatGPT, gælder AI Act alligevel?
Ja. Brug af cloud-baserede AI-assistenter (ChatGPT, Copilot, Gemini, Claude) udløser mindst to forpligtelser: bestræbelsespligten til at fremme medarbejdernes AI-literacy (Art. 4) og, hvis chatbots interagerer med kunder, pligten til at oplyse brugere og mærke AI-indhold (Art. 50). Hertil kommer GDPR og databeskyttelsesloven: data i offentlige cloud-assistenter kan udgøre en overførsel til tredjeland, hvilket kræver retsgrundlag og databehandleraftale.
Hvilke bøder kan AI Act medføre?
Art. 99 har tre niveauer: op til 35 mio. euro eller 7 % af verdensomspændende omsætning for overtrædelse af Art. 5-forbud; op til 15 mio. euro eller 3 % for visse forpligtelser for udbydere og idriftsættere (bl.a. Art. 16, 26 og 50); op til 7,5 mio. euro eller 1 % for forkerte oplysninger. AI-forordningen fastsætter ingen specifik bøde for Art. 4 (AI-literacy): sanktionerne overlades til medlemsstaterne. For SMV'er og opstartsvirksomheder kræver Art. 99(6) vægtning efter størrelse og omsætning.
Hvornår starter det aktive tilsyn i Danmark?
Forbud og AI-literacy: siden 2. februar 2025. GPAI: siden 2. august 2025. De nationale myndigheders tilsyns- og håndhævelsesbeføjelser (også for Art. 4) samt Art. 50 og bødeordningen: 2. august 2026. Højrisiko-forpligtelserne er efter Digital Omnibus af 7. maj 2026 (formel vedtagelse udestår) udskudt: Bilag III-systemer til 2. december 2027, Bilag I-systemer til 2. august 2028.
Hvad er AI-literacy efter Art. 4, og hvordan opfylder man den?
Art. 4 kræver, at udbydere og brugere træffer foranstaltninger for at støtte AI-literacy blandt medarbejderne. Efter Digital Omnibus af 7. maj 2026 er kravet formuleret som
bestræbelsespligt, ikke resultatpligt; forpligtelsen består. Det opfyldes med dokumenteret træning, der dækker den retlige ramme, brugsrisici, GDPR anvendt på AI, gennemsigtighed og forbud. Freshlab tilbyder en nøglefærdig træning til
20 euro pr. deltager med navngivne certifikater og kryptografisk signeret dossier. Mere på
Art. 4 AI Act-træning.
Hvilke AI-praksisser er forbudt for en SMV (Art. 5)?
Art. 5 forbyder, også for SMV'er: social scoring, følelsesgenkendelse på arbejdspladsen og i uddannelse (undtagen medicinske eller sikkerhedsmæssige årsager), biometrisk kategorisering for race, religion, seksuel orientering, systemer, der udnytter sårbarheder, subliminale teknikker, og biometrisk fjernidentifikation i realtid i offentlige rum. En SMV med HR-software, der analyserer følelser via video eller stemme, har overtrådt Art. 5 siden februar 2025.
Hvilke forpligtelser har en bruger efter Art. 26?
Ved brug af et højrisiko-AI-system (HR, scoring, forsikring, uddannelse, kritisk infrastruktur, retsvæsen) kræver Art. 26: følge brugsanvisninger, tildele menneskeligt tilsyn til kompetente og myndighedshavende personer, kontrollere inputdata, opbevare logfiler i mindst seks måneder, rapportere alvorlige hændelser, oplyse fysiske personer om AI-baserede beslutninger. På arbejdspladsen skal samarbejdsudvalget orienteres før idriftsættelse.
Hvornår er en FRIA påkrævet?
Art. 27 forpligter brugere, der er offentlige organer, leverandører af offentlige ydelser eller aktører i følsomme sektorer (banker, forsikring), til at gennemføre FRIA før idriftsættelse af et højrisiko-system. FRIA'en dækker brugsprocesser, anvendelsesperiode, kategorier af berørte personer, specifikke risici for grundlæggende rettigheder og tilsynsforanstaltninger. Resultatet anmeldes til markedsovervågningen.
Hvilke gennemsigtighedskrav gælder efter Art. 50?
Art. 50 stiller fire krav fra 2. august 2026. Chatbots med fysiske personer: tydelig AI-oplysning. AI-genereret indhold (billede, lyd, video, betydelig tekst): maskinlæsbar mærkning og evt. brugersynlig oplysning. Deepfakes: udtrykkelig mærkning. Tilladt følelsesgenkendelse eller biometrisk kategorisering: information til eksponerede personer.
Hvordan passer lokal AI uden cloud sammen med AI Act-compliance?
Lokal AI (LLM on-premise)
fritager ikke for forordningen, men forenkler flere blokke.
GDPR: ingen overførsel af personoplysninger til tredjeland, der skal retfærdiggøres.
Art. 4: træning er den samme.
Art. 50: gælder for chatbots i begge tilfælde. Reelle fordele ved lokal AI ift. AI Act:
fuld sporbarhed af inputdata,
fuldstændige logfiler under egen kontrol, ingen skygge-AI med følsomme data, overholdelse af databeskyttelsesloven for særligt beskyttede data. Mere på
Lokal AI.
Hvad gælder for GPAI-modeller, som en SMV bruger?
GPAI-forpligtelserne i Art. 53 ff. (teknisk dokumentation, ophavsrets-compliance, sammenfatning af træningsdata) påhviler modeludbyderen, ikke SMV'en som bruger. Som bruger af et GPAI-baseret værktøj (ChatGPT, Copilot, Mistral) har SMV'en samme ansvar som enhver bruger: Art. 4, Art. 50 og GDPR. Hvis SMV'en integrerer en GPAI-model i et produkt, den selv markedsfører, påtager den sig udbyderforpligtelser for det produkt.