EU AI Act.
AI-forordningen for virksomheder: roller, anvendelsestilfælde, gældende pligter og vejen til passende dokumentation.
- Forordning (EU) 2024/1689 · ændringsstatus 27.07.2026
- Af Derya Altinay
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
EU AI Act regulerer kunstig intelligens ud fra anvendelsestilfælde, risiko og rolle. AI-forordningen skelner blandt andet mellem udbydere og idriftsættere, forbyder visse praksisser og kræver særlige beskyttelsesforanstaltninger og dokumentation for højrisiko-AI. Gennemsigtighed, AI-færdigheder og modeludbyderpligter skal undersøges særskilt; art. 113 fastlægger den trinvise anvendelse.
AI-forordningen og dens aktuelle status.
EU AI Act er en direkte gældende EU-forordning og ikke en frivillig sikkerhedsstandard. Forordning (EU) 2024/1689 fastlægger pligter for AI-systemer og AI-modeller til almen brug. Det velkendte overblik over AI Act-risikoklasser er en hjælp i starten; en konkret beslutning kræver desuden virksomhedens rolle og den tilsigtede anvendelse.
Forordning (EU) 2026/1744 har ændret AI-forordningen og gælder siden den 27. juli 2026. Dens art. 1, nr. 40, ændrer tidsplanen i art. 113 i AI-forordningen: For højrisikosystemer efter art. 6, stk. 2, og bilag III gælder kapitel III, afdeling 1 til 3, som udgangspunkt fra den 2. december 2027, og for produktvejen efter art. 6, stk. 1, og bilag I fra den 2. august 2028. Art. 6, stk. 5, er undtaget.
Den generelle anvendelsesdato er fortsat den 2. august 2026. Forbud og AI-færdigheder samt regler om modeller til almen brug har egne tidligere datoer; enkelte nyligt tilføjede forbud gælder først fra den 2. december 2026. Forlængelsen af visse højrisikofrister udskyder derfor ikke AI-forordningen som helhed. For allerede tilgængeliggjorte systemer og modeller skal overgangsreglerne i art. 111 desuden undersøges.
Hvem EU AI Act gælder for.
EU AI Act vedrører efter art. 2 navnlig udbydere, som bringer AI-systemer i omsætning på EU-markedet eller tager dem i brug, samt idriftsættere med hjemsted eller lokation i EU. Visse aktører uden for EU er også omfattet, når systemoutput bruges i EU. Importører, distributører og produktfabrikanter har egne roller. Rent privat, ikkeerhvervsmæssig anvendelse skal behandles anderledes end brug i virksomheden.
En virksomhed bør afklare sin rolle for hvert anvendelsestilfælde. Indkøb af en ekstern tjeneste fastlægger ikke endeligt rollen for alle applikationer, der bygges ovenpå. Model og færdigt system er også forskellige vurderingsobjekter. Formål, tilgængeliggørelse og faktisk anvendelse skal derfor indgå i undersøgelsen; en klassificering af hele virksomheden alene ud fra modelnavnet er for upræcis.
AI Act-pligter afhænger af rolle og anvendelse.
AI Act-pligterne udgør ikke en ensartet foranstaltningspakke for al AI-anvendelse. Følgende områder giver orientering; de gældende artikler og datoer skal fastlægges for hvert system og hver rolle.
Undersøg forbud og højrisikoklassificering.
Art. 5 beskriver forbudte praksisser, og art. 6 højrisikoklassificeringen. Produktvejen forbinder tilknytningen til bilag I med den nødvendige tredjepartsvurdering; den anden vej vedrører opregnede anvendelsestilfælde i bilag III. Ikke alle applikationer i en nævnt branche er automatisk højrisiko. Undtagelser kræver en begrundet undersøgelse af den konkrete funktion.
Udvikl AI-færdigheder.
Art. 4 kræver i sin ændrede affattelse foranstaltninger, der støtter udvikling af AI-færdigheder. Forhåndsviden, erfaring, opgaver og anvendelseskontekst skal medregnes. Udbydere og idriftsættere skal ikke garantere et bestemt individuelt kompetenceniveau. Et generelt kursusbevis erstatter derfor hverken valget af passende foranstaltninger eller arbejdet med de anvendte systemer.
Udform højrisiko-AI sikkert og sporbart.
Højrisikokravene i art. 9 til 15 vedrører blandt andet risikostyring, data, dokumentation, registreringer, information, menneskeligt tilsyn samt nøjagtighed, robusthed og cybersikkerhed. Udbyderpligter og kvalitetsstyring efter art. 17 organiserer arbejdet. Hvilke krav der gælder hvornår, følger af den konkrete ordning og anvendelsestidsplanen.
Varetag ansvaret i driften.
Idriftsætterpligterne efter art. 26 adskiller sig fra udbydernes opgaver. Når højrisikoreglerne gælder, indgår navnlig drift efter instruktionerne, passende menneskeligt tilsyn og overvågning af anvendelsen. Tilsyn kræver kompetente personer med reel handlemulighed; udpegning af en ansvarlig instans alene beviser ikke en effektiv indgriben i arbejdsgangen.
Gennemfør gennemsigtighed målrettet.
Art. 50 indeholder særlige oplysnings- og mærkningspligter for bestemte systemer og output. Det omfatter eksempelvis genkendelig kontakt med AI og håndtering af bestemte kunstigt genererede indholdstyper. Hvem der skal oplyse eller mærke, afhænger af bestemmelse og rolle. En generel regel for alle dokumenter, der internt er bearbejdet med AI, kan ikke udledes heraf.
Betragt modelpligter særskilt.
Kapitel V indeholder egne pligter for udbydere af AI-modeller til almen brug, på engelsk General-Purpose AI eller GPAI. Yderligere krav vedrører modeller med systemisk risiko. Brugen af en sådan model gør ikke automatisk virksomheden til modeludbyder; samtidig afklarer modeldokumentationen endnu ikke alle pligter for det system, der er bygget på den.
Implementeringen begynder med anvendelsestilfældet.
Registrer formål og anvendelse.
Beskriv som praktisk begyndelse, hvilken opgave et AI-system varetager, hvem der bruger det, og hvilke personer eller beslutninger dets output vedrører.
Afklar rolle og anvendelsesområde.
Dokumenter, hvilken aktørrolle Deres organisation har, og hvilken undersøgelse af EU-tilknytning og mulige undtagelser beslutningen bygger på.
Undersøg klassificeringen fagligt.
Undersøg forbud, højrisikoveje og gennemsigtighedsspørgsmål med de fagligt, teknisk og juridisk ansvarlige, og dokumenter begrundelsen.
Fastlæg pligter og datoer.
Tilknyt konkrete ansvarlige og den gældende anvendelsesdato til de relevante krav, herunder særskilte overgangsregler.
Forbind dokumentation og drift.
Planlæg nødvendige dokumenter, vurderinger og tilsyn, så de afspejler systemets faktiske anvendelse og den gældende dokumentationsvej.
Vurder ændringer på ny.
Som praktisk anbefaling bør De genvurdere beslutningerne ved ændringer i formål, funktionalitet, anvendelsesmiljø eller ansvar og dokumentere den nye status.
Dokumentationen følger den enkelte procedure.
AI-forordningen foreskriver ikke et ensartet certifikatkøb for alle virksomheder. For højrisiko-AI fastlægger art. 43 den gældende overensstemmelsesvurderingsprocedure. Alt efter systemet foreskrives intern kontrol eller medvirken fra et bemyndiget organ; produktregler kan være med til at bestemme proceduren. Dokumentation, eventuel EU-overensstemmelseserklæring, CE-mærkning og registrering skal hver især ses i den passende juridiske sammenhæng.
Et certifikat fra et bemyndiget organ skal skelnes fra et frivilligt ledelsessystemcertifikat. Art. 44, stk. 2, begrænser den deri regulerede gyldighed til højst fem år for systemer efter bilag I og fire år for systemer efter bilag III; den angivne periode og procedurens betingelser er afgørende. Disse grænser er ikke en generel gyldighed for al AI Act-dokumentation. Driftspligterne skal desuden fortsat overholdes.
Andre rammeværker understøtter forskellige opgaver.
For AI-produkter kan produktpligterne i Cyber Resilience Act, som skal undersøges selvstændigt, også være relevante.
ISO 42001 strukturerer et AI-ledelsessystem, mens NIST AI RMF giver en frivillig ramme for AI-risici. Begge kan understøtte organiseringen af arbejdet, men dokumenterer ikke automatisk overensstemmelse med EU AI Act. GDPR gælder fortsat selvstændigt ved behandling af personoplysninger; en AI Act-klassificering erstatter ikke en databeskyttelsesretlig undersøgelse.
I Secani.
Secani indeholder et redaktionelt virksomhedskatalog til EU AI Act med rolle- og profiloplysninger samt implementeringsvejledninger og dokumentationseksempler. Udbydere, idriftsættere og øvrige roller registreres særskilt. Hjælpemidlet understøtter struktureret arbejde; det erstatter hverken den faglige klassificering eller en lovpligtig vurderingsprocedure. Kataloget er ikke en myndighedsudstedt overensstemmelsesdokumentation.
Næste skridt.
Vælg et konkret AI-anvendelsestilfælde i drift eller under planlægning, og saml de fagligt og teknisk ansvarlige med den juridiske undersøgelse. Det første resultat bør være en begrundet beslutning om rolle, anvendelse og relevante pligter. Det danner en håndterbar dokumentationsplan; en ukontrolleret liste over alle forordningsartikler hjælper mindre.
Kilder.
- Europa-Kommissionen: Cyber Resilience Act
- AI-forordningen: konsolideret udgave af 27. juli 2026
- Forordning (EU) 2026/1744: Digital Omnibus on AI, navnlig art. 1, nr. 5 og 40
- Europa-Kommissionen: AI Act og anvendelsestidsplan
- Officiel AI Act Service Desk: art. 2, anvendelsesområde
- Officiel AI Act Service Desk: art. 4, AI-færdigheder
- Officiel AI Act Service Desk: art. 6, højrisikoklassificering
- Officiel AI Act Service Desk: art. 17, kvalitetsstyring
- Officiel AI Act Service Desk: art. 26, idriftsætterpligter
- Officiel AI Act Service Desk: art. 43, overensstemmelsesvurdering
- Officiel AI Act Service Desk: art. 44, certifikater
- Officiel AI Act Service Desk: art. 50, gennemsigtighedsforpligtelser
- Officiel AI Act Service Desk: art. 113, anvendelse
Ofte stillede spørgsmål.
Nej. Art. 6 knytter klassificeringen til bestemte produktkonstellationer eller opregnede anvendelsestilfælde med deres forudsætninger og undtagelser. Brugen af en kraftfuld model alene afgør ikke klassificeringen.
Nej. Rollen afhænger af tilgængeliggørelse, egen anvendelse og mulige ændringer. Kontrakten med en model- eller tjenesteudbyder afklarer ikke automatisk ansvaret for det færdige system.
Nej. Et AI-ledelsessystem kan organisere ansvar og procedurer, mens lovpligterne for den enkelte anvendelse skal undersøges særskilt. Et ledelsessystemcertifikat er ikke en generel dokumentation for alle krav i EU AI Act.
Nej. Den nødvendige dokumentation følger af rolle, system og gældende regler. Art. 43 skelner mellem flere overensstemmelsesvurderingsprocedurer; ikke alle procedurer kræver medvirken fra et eksternt organ.
Arbejd konkret med AI-ansvar.
Forbind krav, ansvar og dokumentation i Secani for Deres undersøgte anvendelsestilfælde.
Denne side forklarer AI-forordningen generelt. De gældende retsakter og undersøgelsen af det konkrete anvendelsestilfælde er afgørende.