AI-forordningens frist, der allerede er overskredet — og hvad du gør nu
Den vigtigste efterlevelsesdato i EU's AI-forordning var 2. august 2026. En praktisk gennemgang af, hvilke forpligtelser der binder en mellemstor virksomhed — og hvilke der ikke gør.
EU's AI-forordning trådte i kraft i august 2024 med en trinvis tidsplan, og dens bredeste efterlevelsesdato — 2. august 2026 — passerede i sidste måned. Hvis ingen i din virksomhed havde noteret sig den, er du ikke et særtilfælde. Du er heller ikke nødvendigvis udsat. Størstedelen af forordningen gælder ikke for de fleste virksomheder, og den hurtigste vej til at få styr på det er at finde ud af, hvilken lille del der gælder for jer.
Udbyder eller idriftsætter
Forordningen fordeler pligterne mellem den organisation, der udvikler og bringer et AI-system i omsætning (udbyderen), og den organisation, der anvender et system under eget ansvar (idriftsætteren). Næsten alle de forpligtelser, folk bekymrer sig om — overensstemmelsesvurdering, teknisk dokumentation, CE-mærkning, kvalitetsstyringssystemer — ligger hos udbyderne. Køber du din AI hos leverandører, er du idriftsætter, og dine pligter er lettere og hovedsagelig organisatoriske.
To ting binder dig uanset hvad. Forbuddene mod praksisser med uacceptabel risiko har været gældende siden februar 2025. Det samme gælder artikel 4, som kræver, at du sikrer et tilstrækkeligt niveau af AI-færdigheder hos de medarbejdere, der betjener AI på dine vegne. Den har ingen tærskel og ingen undtagelse for mindre virksomheder. Uddannelsesdokumentationen er beviset.
Datoerne i rækkefølge
Februar 2025 bragte forbuddene og kravet om AI-færdigheder. August 2025 bragte forpligtelser for udbydere af generelle AI-modeller og aktiverede sanktionsordningen. August 2026 bragte reglerne for højrisikosystemer i bilag III-anvendelserne og gennemsigtighedsreglerne i artikel 50. August 2027 dækker AI indbygget som sikkerhedskomponent i produkter, der allerede er reguleret, samt ældre generelle AI-modeller.
Ét forbehold: Kommissionen har foreslået at udskyde nogle af højrisikofristerne, knyttet til, hvor langt de harmoniserede standarder er. Hold øje med det, men planlæg ikke efter det. Forbuddene, kravet om AI-færdigheder og gennemsigtighedsreglerne indgår ikke i den diskussion, og det er netop dem, en mellemstor virksomhed med størst sandsynlighed overtræder i dag.
Lav en liste, ikke en politik
Den første leverance er en fortegnelse, ikke en ramme. List hvert AI-system i brug, også dem I ikke bevidst har købt: CV-rangeringen i jeres rekrutteringssystem, scoringen i jeres kredit- eller svindelværktøj, den assistent økonomiafdelingen slog til sidste kvartal, chatbotten på hjemmesiden. Skygge-AI inde i indkøbt SaaS er der, hvor den reelle klassificeringsrisiko gemmer sig. Giv hver post en navngiven ejer i forretningen, ikke i IT.
Sortér dem derefter. Forbudte praksisser er sjældne, men ikke eksotiske — følelsesgenkendelse på arbejdspladsen er direkte forbudt, og flere HR- og trivselsværktøjer sælger præcis det. Bilag III's højrisikokategori dækker rekruttering og personaleledelse, kreditvurdering af enkeltpersoner, uddannelse og adgang til væsentlige tjenester. Gennemsigtighedsforpligtelserne dækker chatbots, syntetiske medier og AI-genereret tekst, der offentliggøres for at informere offentligheden. Alt andet er minimal risiko og medfører ingen forpligtelser. I en typisk mellemstor virksomhed er det langt størstedelen af listen.
Hvis noget lander i højrisikokassen
Som idriftsætter skal du:
- Bruge systemet i overensstemmelse med udbyderens brugsanvisning og gemme den.
- Tildele det menneskelige tilsyn til personer med kompetencen, uddannelsen og bemyndigelsen til at tilsidesætte systemet.
- Sikre, at inputdata er relevante og repræsentative for det tilsigtede formål.
- Opbevare automatisk genererede logfiler i mindst seks måneder.
- Informere medarbejderne og deres repræsentanter, inden systemet tages i brug.
- Oplyse berørte personer, når en afgørelse om dem involverer systemet, og forklare den på anmodning.
Det er en ledelsesopgave, ikke et ingeniørprogram.
Grænsen, du kan overskride uden at opdage det
Artikel 25 gør en idriftsætter til udbyder — med hele efterlevelsesbyrden — hvis du sætter dit eget navn eller varemærke på et system, ændrer det væsentligt eller omlægger et generelt system til en højrisikoanvendelse. Finjustér en model på jeres ansættelseshistorik og ret den mod kandidatscreening, og så har I overskredet grænsen. Vurdér enhver intern udvikling op mod den, inden den går i drift, og få indkøb til at bede leverandørerne om overensstemmelseserklæringen, brugsanvisningen og den logningsfunktion, I er forpligtet til at have.
Hvad der står på spil, og næste skridt
Forbudte praksisser udløser bøder på op til 35 mio. euro eller 7 % af den globale omsætning; de fleste andre overtrædelser op til 15 mio. euro eller 3 %, hvor SMV'er vurderes efter det laveste af de to beløb. Den realistiske risiko for en mellemstor virksomhed er ikke en bøde i overskrifterne, men et tilsynsspørgsmål, du ikke kan besvare — fra en myndighed, en revisor eller en kunde.
Giv det et kvartal. Kortlæg, klassificér, luk gennemsigtighedshullerne, dokumentér uddannelsen. Der hvor klassificeringen er reelt uklar, er det den byrde, det er værd at give videre til nogen, der gør det ofte — den del påtager vi os, når kunder spørger.