AI-forordningen i Danmark: hvad din SMV reelt skal tjekke

Måske er det en fra teamet, der er begyndt at bruge Copilot i den daglige sagsbehandling. Måske er det jeres CRM- eller ERP-leverandør, der uden varsel har tilføjet en AI-drevet forecasting-funktion til abonnementet, I allerede betaler for. Og så dukker ordene "AI-forordningen" op i et nyhedsbrev fra brancheforeningen, eller i en mail fra en kunde, der spørger, om I er "compliant" — med en undertone af, at I måske allerede er bagud, uden at nogen i virksomheden har taget en egentlig beslutning om det. Denne artikel er skrevet for at give jer et konkret svar, ikke en juridisk opremsning.

En EU-forordning, der allerede gælder i Danmark — uden en dansk lov imellem

Forordning (EU) 2024/1689, AI-forordningen (på engelsk AI Act), er som navnet antyder en forordning, ikke et direktiv. Den gælder derfor umiddelbart i Danmark, uden at Folketinget skal vedtage en selvstændig lov for at indføre den i dansk ret — modsat et EU-direktiv, som først skal implementeres nationalt. Forpligtelserne træder i kraft i etaper: forbudte AI-praksisser har været forbudt siden den 2. februar 2025, kravene til AI-modeller til almen brug (general-purpose AI) trådte i kraft den 2. august 2025. Hovedparten af reglerne for højrisikosystemer skulle oprindeligt gælde fra den 2. august 2026, men den såkaldte Digital Omnibus-pakke, der trådte i kraft den 27. juli 2026, udskød denne frist til den 2. december 2027. Det, der stadig mangler i flere medlemsstater, Danmark inklusive, er den formelle udpegning af de nationale markedsovervågningsmyndigheder, som artikel 70 kræver — et arbejde, der går i forskelligt tempo rundt om i EU.

I Danmark rammer det her et marked, hvor AI allerede er dybt integreret i den offentlige sektor, og hvor mange af leverandørerne bag de systemer er små og mellemstore virksomheder, ikke kun store IT-koncerner. Kommuner og styrelser har i flere år brugt algoritmiske værktøjer til at understøtte sagsbehandling på socialområdet, i beskæftigelsesindsatsen og i kontrollen af offentlige ydelser, og en del af den udvikling er sket i samarbejde med eller leveret direkte af danske SMV'er inden for welfare-tech. Når en kommune eller en styrelse stiller krav om dokumentation af et AI-system, I har leveret eller tilpasset, er det i praksis sådan, AI-forordningen først når mange virksomheder — via en kunde eller et udbud, før den når dem via en myndighedshenvendelse.

Hvem fører tilsyn med AI-forordningen i Danmark? Datatilsynets rolle

Datatilsynet er Danmarks uafhængige databeskyttelsesmyndighed og forbliver kompetent for ethvert AI-system, der behandler personoplysninger — hvilket dækker de fleste situationer, en dansk SMV støder på i praksis: rekruttering, kundescoring, chatbots med adgang til kundedata eller automatiseret sagsbehandling. Hvad angår den formelle udpegning af de markedsovervågningsmyndigheder, som artikel 70 i AI-forordningen kræver, er arbejdet i Danmark — som i flere andre medlemsstater — endnu ikke fuldt afsluttet på tidspunktet for denne artikel. Betragt dette afsnit som en status, I bør holde løbende øje med, snarere end det endelige svar på den fremtidige tilsynsstruktur.

Risikoniveauerne kort fortalt

Forordningen behandler ikke alle AI-systemer ens, men skelner mellem fire niveauer. Et lille antal praksisser er forbudt på grund af uacceptabel risiko, for eksempel generel social scoring af personer. Et højrisikoniveau regulerer følsomme anvendelser — rekruttering, vurdering af medarbejdere, kreditvurdering og adgang til væsentlige offentlige ydelser — med skærpede krav til risikostyring, dokumentation og menneskeligt tilsyn. Et begrænset risikoniveau medfører primært gennemsigtighedskrav, som at oplyse, at et indhold er AI-genereret, eller at kunden taler med en chatbot. Og et minimalt risikoniveau, hvor de fleste hverdagsværktøjer hører hjemme, medfører ingen nye væsentlige forpligtelser.

Sanktionerne: beløb, det er værd at kende

Sanktionssystemet er fastsat i artikel 99 og er identisk i hele EU, Danmark inklusive. Formålet er at forebygge konkrete risici, ikke at inddrive bøder — men det er alligevel nyttigt at kende størrelsesordenerne:

• Op til 35 millioner euro eller 7 % af den globale årsomsætning, alt efter hvad der er højst, for forbudte AI-praksisser.
• Op til 15 millioner euro eller 3 % af den globale årsomsætning for de fleste øvrige overtrædelser, herunder forpligtelser for udbydere og idriftsættere af højrisikosystemer.
• Op til 7,5 millioner euro eller 1 % af den globale årsomsætning for forkerte eller vildledende oplysninger til myndighederne.

En detalje, der er relevant for en SMV: artikel 99, stk. 6, foreskriver udtrykkeligt mere forholdsmæssige og gunstigere lofter for SMV'er og startups. Reglerne er ikke bygget til at behandle en virksomhed med femten ansatte som en multinational koncern, selvom ovenstående beløb stadig udgør referencerammen.

Hvad din virksomhed bør tjekke i praksis

Fremfor at lære lovtekst udenad betaler det sig at stille nogle konkrete spørgsmål om jeres faktiske AI-brug:

• Er I "udbyder" (udvikler eller lader udvikle et AI-system) eller "idriftsætter" (køber og bruger færdige værktøjer)? Langt de fleste danske SMV'er er idriftsættere, ikke udbydere.
• Falder nogen af jeres AI-anvendelser inden for et område, der er listet som højrisiko i bilag III — f.eks. udvælgelse af kandidater, medarbejdervurdering, kreditvurdering eller adgang til offentlige ydelser?
• Bruger I en kundevendt chatbot, eller offentliggør I AI-genereret indhold uden at markere det? Den slags udløser typisk gennemsigtighedskrav, selv uden at være højrisiko.
• Ved I med sikkerhed, hvilken allerede anvendt software i virksomheden der har fået tilføjet en AI-funktion inden for det seneste år, uden at nogen formelt har vurderet den?

Generel information, ikke juridisk rådgivning

Alt ovenstående er generel vejledende information, ikke juridisk rådgivning om jeres specifikke situation. AI-forordningen indeholder nuancer, en artikel ikke kan dække fuldt ud, og dens anvendelse afhænger af hver virksomheds konkrete AI-brug — ligesom den endelige tilsynsstruktur i Danmark stadig er under udformning. Når Komplya udgiver denne type indhold, skelner vi tydeligt mellem, hvad der er juridisk gennemgået, og hvad der stadig er et arbejdsdokument, så I kan bruge informationen med den viden.

Den hurtigste vej fra "det her rammer nok os" til et klart svar er at gennemgå jeres faktiske AI-anvendelser, én ad gangen. Besvar et kort spørgeskema om jeres AI-brug, og få et letforståeligt billede af jeres sandsynlige situation.