AI Act 2026: det gælder nu, og det kommer 2. december

EU’s AI Act, på dansk AI-forordningen (forordning (EU) 2024/1689), gælder direkte i Danmark. De fleste regler har gældt siden 2. august 2026, og den næste frist er 2. december 2026, hvor to nye forbud træder i kraft og en overgangsperiode for mærkning af AI-indhold slutter. Reglerne for højrisiko-AI er udskudt til december 2027 og august 2028 med den digitale omnibus om AI, forordning (EU) 2026/1744. Vi har læst forordningsteksterne på EUR-Lex, Kommissionens AI Act Service Desk og den danske lov om tilsyn på retsinformation.dk den 3. november 2026. Artiklen er en gennemgang af reglerne, ikke juridisk rådgivning.

Sådan fungerer AI-forordningen

Europa-Kommissionen kalder forordningen den første retlige ramme for kunstig intelligens nogensinde. Den trådte i kraft 1. august 2024, men reglerne indfases i etaper. Den regulerer AI efter risiko, ikke efter teknologi. Er du i tvivl om, hvad der overhovedet tæller som AI, forklarer vi det i Hvad er kunstig intelligens?

• Uacceptabel risiko: praksisser, der er forbudt, fx social scoring.
• Høj risiko: fx AI, der sorterer ansøgere, vurderer kreditværdighed eller bruges i uddannelse og kritisk infrastruktur. Her gælder strenge krav.
• Gennemsigtighed: fx chatbots og deepfakes. Folk skal vide, at de taler med en AI eller ser kunstigt skabt indhold.
• Minimal risiko: fx spamfiltre og AI i computerspil. Her kommer der ingen nye krav.

Derudover gælder særlige regler for AI-modeller til almen brug, de store modeller bag tjenester som ChatGPT, Gemini og Claude. Forordningen skelner mellem udbydere, der udvikler et AI-system eller sætter det på markedet under eget navn, og idriftsættere, der bruger det i deres arbejde. En virksomhed, der blot bruger et færdigt AI-værktøj, er idriftsætter.

Tidslinje: hvad gælder, og hvad kommer

Hvad ændrede omnibussen?

Den digitale omnibus om kunstig intelligens er forordning (EU) 2026/1744 af 8. juli 2026. Den blev offentliggjort i EU-Tidende den 24. juli 2026 og trådte i kraft tredjedagen efter, den 27. juli 2026. Begrundelsen i teksten er, at standarder og nationale myndigheder ikke var klar i tide, så kravene til højrisikosystemer ville blive dyrere at opfylde end forventet. De vigtigste ændringer:

• Højrisiko udskudt til 2. december 2027 (bilag III) og 2. august 2028 (bilag I). Oprindeligt skulle bilag III have gældt fra 2. august 2026.
• To nye forbud i artikel 5 fra 2. december 2026.
• Overgang for mærkning: Udbydere af generative systemer, der var på markedet før 2. august 2026, har til 2. december 2026 til at opfylde kravet om maskinlæsbar mærkning (ny artikel 111, stk. 4).
• Blødere krav om AI-færdigheder: Artikel 4 kræver nu, at udbydere og idriftsættere “træffer foranstaltninger til at støtte udviklingen af AI-færdigheder” hos personalet. Der kræves ikke et bestemt niveau hos den enkelte.
• Mere magt til AI-kontoret: Det får eneansvar for tilsynet med AI-systemer, som bygger på en model til almen brug fra samme udbyder, og med AI i meget store onlineplatforme og søgemaskiner (artikel 75, stk. 1), med nye beføjelser i artikel 75a–75d.
• Lettelser for små midcapvirksomheder (SMC’er), som nu får samme bødeloft som SMV’er for overtrædelser uden for forbuddene.

Hvad er forbudt?

Siden 2. februar 2025 har det i EU været forbudt at bringe i omsætning, ibrugtage eller bruge AI-systemer til:

• skadelig manipulation og udnyttelse af sårbarheder, fx på grund af alder eller handicap,
• social scoring,
• at forudsige, om en person vil begå kriminalitet, udelukkende ud fra profilering,
• ukritisk indsamling af ansigtsbilleder fra internettet eller overvågningskameraer til databaser,
• følelsesgenkendelse på arbejdspladser og i uddannelse, undtagen af medicinske eller sikkerhedsmæssige grunde,
• biometrisk kategorisering, der udleder fx race, politisk holdning eller seksuel orientering,
• biometrisk fjernidentifikation i realtid på offentlige steder til retshåndhævelse, med snævre undtagelser.

Fra 2. december 2026 kommer to forbud til. Det første rammer AI-systemer, der laver realistiske billeder, video eller lyd af en identificerbar persons intime dele eller seksuelle handlinger uden personens udtrykkelige samtykke. Det andet rammer AI-systemer, der laver materiale med seksuelt misbrug af børn. For udbydere gælder forbuddet systemer, der er beregnet til det, og systemer, hvor det er et forudsigeligt resultat, og hvor der ikke er rimelige sikkerhedsforanstaltninger, der forhindrer det. En almindelig billedgenerator med effektive filtre er altså ikke forbudt i sig selv. Vores oversigt over AI-billedgeneratorer viser, hvilke tjenester det handler om.

Gennemsigtighed: chatbots, deepfakes og mærkning

Artikel 50 har gældt siden 2. august 2026. Den indeholder fire pligter:

• Chatbots: Udbyderen skal sørge for, at folk får at vide, at de taler med en AI, medmindre det er åbenlyst ud fra sammenhængen.
• Generativt indhold: Udbydere af systemer, der laver tekst, billeder, lyd eller video, skal mærke indholdet i et maskinlæsbart format, så det kan genkendes som kunstigt.
• Deepfakes: Den, der bruger AI til at lave en deepfake, skal oplyse, at indholdet er kunstigt skabt eller manipuleret. Ved tydeligt kunstneriske eller satiriske værker er kravet mildere.
• Tekst om samfundsforhold: AI-genereret tekst, der offentliggøres for at informere offentligheden, skal mærkes, medmindre et menneske har redigeret den og har det redaktionelle ansvar.

Desuden skal folk informeres, når der bruges følelsesgenkendelse eller biometrisk kategorisering på dem. Maskinlæsbar mærkning er noget andet end de AI-detektorer, der gætter ud fra teksten. Vi har testet AI-detektorer på dansk, og de rammer langt fra altid rigtigt.

De store modeller: krav til OpenAI, Google og Anthropic

Siden 2. august 2025 skal udbydere af AI-modeller til almen brug blandt andet udarbejde teknisk dokumentation, have en politik for overholdelse af ophavsret og offentliggøre et resumé af det indhold, modellen er trænet på. Modeller, der allerede var på markedet før den dato, har frist til 2. august 2027. De mest kraftfulde modeller med systemisk risiko skal derudover evaluere og afbøde risici, indberette alvorlige hændelser og sikre cybersikkerhed. Tilsynet ligger hos Kommissionens AI-kontor. Hvordan modellerne adskiller sig i praksis, gennemgår vi i ChatGPT vs Gemini vs Claude.

Håndhævelsen er gået i gang. Ifølge nyhedsbureauet Agence Europe bekræftede Kommissionens talsperson den 1. september 2026, at AI-kontoret havde sendt anmodninger om oplysninger til mere end 30 AI-udbydere, om sikkerhed og om ophavsret og gennemsigtighed. Navnene blev ikke oplyst. Ifølge MLex sagde EU’s digitalchef Henna Virkkunen i et interview den 9. oktober, at OpenAI, Anthropic og Meta er blandt dem. Euronews skrev den 14. oktober, at AI-kontoret har sendt anmodninger til OpenAI og Anthropic efter hændelser under test af deres modeller i sommer. Juridiske eksperter, som Euronews citerer, mener, at forordningen ikke dækker modeller, der stadig er under test.

Bøder

Artikel 99 sætter lofterne for de bøder, medlemslandene fastsætter. Det højeste beløb af de to gælder, men for SMV’er, herunder iværksættere, gælder det laveste:

Kommissionen kan give bøder efter artikel 101, hvis en modeludbyder bryder reglerne, ikke svarer på en anmodning om oplysninger eller giver forkerte svar, eller nægter Kommissionen adgang til at evaluere modellen. Artikel 75c, som omnibussen indførte, giver AI-kontoret ret til at træffe afgørelse om manglende overholdelse og pålægge tvangsbøder. Forældelsesfristen er fem år. I Danmark straffes overtrædelser af forbuddene med bøde efter lov nr. 467, og forældelsesfristen er også her fem år.

Hvad sker der lige nu?

Kommissionen har sendt et udkast til en gennemførelsesforordning i høring. Den fastsætter procedurereglerne for de sager, Kommissionen selv fører efter artikel 75c og 75d: aktindsigt i sagens akter, retssikkerhedsgarantier og forældelsesfrister for bøder. Høringen på Kommissionens portal Have your say åbnede 12. oktober og lukker 9. november 2026 kl. 23.59.

Hvem fører tilsyn i Danmark?

Digitaliseringsstyrelsen er centralt kontaktpunkt og koordinerer implementeringen. Fordelingen af tilsynet står i lov nr. 467 af 14. maj 2025 om supplerende bestemmelser til forordningen om kunstig intelligens, som er gældende ifølge retsinformation.dk. Tabellen er vores sammenstilling af lovens § 2:

Det bør danske virksomheder gøre nu

Tjeklisten er vores egen, bygget på forordningsteksten og omnibussen. Den passer til en typisk mindre virksomhed, der bruger AI-værktøjer, men ikke selv udvikler AI-modeller.

1. Lav en liste over jeres AI-værktøjer. Skriv for hvert værktøj navn, leverandør, hvad det bruges til, hvem der bruger det, og hvilke data der kommer ind.
2. Find jeres rolle. Bruger I et færdigt værktøj, er I idriftsætter. Bygger I en chatbot på en model og sætter den på jeres hjemmeside under eget navn, kan I blive udbyder med flere pligter.
3. Tjek listen mod forbuddene. Pas især på følelsesgenkendelse af medarbejdere og biometrisk kategorisering efter følsomme træk. Det har været forbudt siden februar 2025.
4. Mærk chatbots og deepfakes. Kunder skal kunne se, at de skriver med en AI. AI-skabte billeder, lyd og video, der ligner virkeligheden, skal oplyses som kunstige.
5. Find mulig højrisiko-brug. AI til at sortere jobansøgere, vurdere medarbejdere eller kreditværdighed kan være højrisiko efter bilag III. Kravene gælder fra 2. december 2027, men spørg leverandøren nu, hvordan de vil opfylde dem.
6. Styrk AI-færdighederne. Lav en kort intern vejledning og en introduktion for dem, der bruger værktøjerne, og skriv ned, hvad I har gjort.
7. Gennemgå aftalerne med leverandører. Afklar, hvem der er udbyder, og hvilken dokumentation I kan få.
8. Hold øje med de danske regler. Følg Digitaliseringsstyrelsens side om AI-forordningen og et nyt lovforslag. Spørgsmål kan sendes til [email protected]. Persondataforordningen gælder stadig ved siden af.

Ofte stillede spørgsmål

Kilder og metode