Hvem fører tilsyn med AI-forordningen i Danmark?

I har fundet ud af, at jeres kundeservicechatbot eller jeres værktøj til at sortere jobansøgninger sandsynligvis er omfattet af AI-forordningen. Det næste, naturlige spørgsmål er praktisk, ikke juridisk: hvis noget går galt, hvem ringer så? Er det Datatilsynet, som I allerede kender fra GDPR? En helt ny myndighed oprettet specifikt til AI? Eller en blanding, afhængigt af branche? Det ærlige svar er, at Danmark, i skrivende stund, stadig er ved at få det spørgsmål endeligt afklaret — og netop den usikkerhed er en god grund til at forberede sig nu, uanset hvordan den endelige struktur lander.

Hvad artikel 70 kræver af hver medlemsstat

Artikel 70 i AI-forordningen pålægger hver medlemsstat at udpege mindst én bemyndigende myndighed, som skal vurdere og føre tilsyn med de organer, der certificerer visse AI-systemer, og mindst én markedsovervågningsmyndighed, som skal føre løbende tilsyn med, at AI-systemer på markedet rent faktisk overholder reglerne. Fristen for denne udpegning var den 2. august 2025. Forordningen foreskriver ikke en bestemt organisationsform: et medlemsland kan samle ansvaret hos én ny myndighed, fordele det mellem flere eksisterende tilsynsmyndigheder efter sektor, eller kombinere de to modeller. Danmark har, ligesom en stor del af de øvrige medlemsstater, ikke afsluttet denne udpegning inden for den oprindelige frist.

Danmarks proces: under afklaring

Arbejdet med at fastlægge, hvilken eller hvilke danske myndigheder der formelt skal udpeges som kompetente efter artikel 70, er i gang, men var på tidspunktet for denne artikel ikke endeligt afsluttet. Vi kan ikke med sikkerhed angive, præcis hvilket lovforslag eller hvilken bekendtgørelse der i sidste ende fastlægger strukturen, eller hvornår den træder endeligt i kraft — det er oplysninger, der ændrer sig løbende, og vi anbefaler at tjekke direkte hos Digitaliseringsstyrelsen og Datatilsynet for den aktuelle status, før I baserer beslutninger udelukkende på denne artikel. Det, der allerede tegner sig som retningen, er dog tydeligt: som i flere andre europæiske lande bygges den danske model sandsynligvis på eksisterende myndigheder frem for én helt ny AI-myndighed.

Datatilsynet: den mest sandsynlige hovedaktør, uanset formel titel

Uanset hvordan den endelige myndighedsstruktur ender med at se ud, står et par ting allerede fast. Datatilsynet forbliver Danmarks uafhængige databeskyttelsesmyndighed efter GDPR, en kompetence der ikke berøres af AI-forordningen, og som vi har gennemgået i vores artikel om GDPR og AI-forordningens pligter for danske virksomheder. Da de fleste AI-systemer, en dansk SMV støder på i praksis — rekrutteringsværktøjer, kundescoring, chatbots med adgang til kundedata — også behandler personoplysninger, er Datatilsynet allerede i dag den myndighed, flest danske virksomheder med rimelighed bør regne med at møde først, uanset hvilken formel rolle myndigheden til sidst får tildelt efter artikel 70. Det gør Datatilsynet til udgangspunktet for de fleste SMV'er, ikke nødvendigvis slutpunktet for enhver henvendelse.

Sektormyndigheder, der kan blive koblet på

For virksomheder i en allerede reguleret branche er det sandsynligt, at en anden, velkendt tilsynsmyndighed også bliver relevant, parallelt med Datatilsynet:

• Bank-, realkredit- og forsikringsvirksomhed, herunder kreditscoring og AI-drevet risikovurdering: Finanstilsynet.
• Sundhedsområdet og medicinsk udstyr, herunder AI-understøttet diagnostik: Lægemiddelstyrelsen og Styrelsen for Patientsikkerhed.
• Transport og infrastruktur: Færdselsstyrelsen.
• Arbejdsmiljø ved AI-understøttet vagtplanlægning eller præstationsovervågning: Arbejdstilsynet.
• Forbrugerbeskyttelse ved AI-drevet markedsføring eller prissætning: Forbrugerombudsmanden.
• Passer ingen af disse på jeres virksomhed? Så er Datatilsynet, som Danmarks etablerede databeskyttelsesmyndighed, det mest sandsynlige udgangspunkt.

Hvad det betyder for jeres SMV allerede nu

At den formelle myndighedsstruktur endnu ikke er helt på plads, betyder ikke, at der intet er at forholde sig til i mellemtiden. De forpligtelser, risikoniveauer og bødestørrelser, vi har gennemgået i vores guide til AI-forordningen for danske SMV'er, gælder allerede i dag, uanset hvilken myndighed der i sidste ende får ansvaret for at kontrollere overholdelsen. For de fleste SMV'er, der køber AI-funktioner frem for at udvikle dem selv, ændrer den endelige tilsynsstruktur sandsynligvis ganske lidt i den daglige praksis: så snart der behandles personoplysninger, er Datatilsynet det mest sandsynlige første kontaktpunkt, suppleret med en sektormyndighed, hvor branchen kræver det.

En tjekliste, der kan hjælpe jer med at orientere jer

• Behandler jeres AI-anvendelse personoplysninger, direkte eller indirekte? Så er Datatilsynet med stor sandsynlighed (med)ansvarlig, uanset hvordan artikel 70-udpegningen ender med at se ud.
• Opererer I i en allerede reguleret branche — finans, sundhed, transport, arbejdsformidling? Regn med, at den eksisterende tilsynsmyndighed også får en rolle i forhold til jeres AI-brug.
• Er der tale om en højrisikoanvendelse efter bilag III, som rekruttering, kreditvurdering eller medicinsk diagnostik? Så bør I regne med skærpet opmærksomhed, uanset hvilken myndighed der formelt udpeges.
• Stadig i tvivl efter de tre første spørgsmål? Datatilsynet er, som Danmarks etablerede databeskyttelsesmyndighed, det mest naturlige udgangspunkt for en dansk SMV.

Generel information, ikke juridisk rådgivning

Alt ovenstående er generel vejledende information, ikke juridisk rådgivning om jeres specifikke situation. Danmarks proces for at udpege kompetente myndigheder efter artikel 70 er i gang på tidspunktet for denne artikel, og både den præcise struktur og tidspunktet for dens ikrafttræden kan ændre sig. Når Komplya udgiver denne type indhold, skelner vi tydeligt mellem, hvad der er juridisk gennemgået, og hvad der stadig er et arbejdsdokument, så I kan bruge materialet med den viden.

Den hurtigste måde at se, hvilken myndighed der sandsynligvis bliver relevant for netop jeres virksomhed, er at gennemgå jeres faktiske AI-anvendelser én ad gangen. Besvar et kort spørgeskema om jeres AI-brug, og få et letforståeligt billede af jeres sandsynlige situation.