Om 51 dage – den 2. august 2026 – træder hovedparten af EU's AI Act i håndhævelse. Bøderne er højere end GDPR. Reglerne rammer langt flere danske virksomheder, end de fleste tror. Og en overraskende stor del af de SMV'er, vi taler med, har endnu ikke åbnet emnet.
Det er på tide.
Hvad er EU AI Act?
EU AI Act er verdens første samlede regulering af kunstig intelligens. Loven trådte formelt i kraft 1. august 2024, men reglerne udrulles trinvist over flere år. Den vigtigste milepæl ligger lige om hjørnet: 2. august 2026 er den dag, hvor EU AI Office får håndhævelsesbeføjelser, og hvor reglerne for høj-risiko AI-systemer (Annex III) og transparens (Artikel 50) finder anvendelse.
Lovens grundidé er enkel: AI-systemer kategoriseres efter risiko, og krav til dem skaleres derefter.
| Risikoniveau | Eksempler | Konsekvens |
|---|---|---|
| Uacceptabel risiko | Social scoring, manipulativ AI, biometrisk masseovervågning | Forbudt (trådte i kraft februar 2025) |
| Høj risiko | AI til ansættelse, kreditvurdering, undervisning, kritisk infrastruktur | Omfattende krav fra 2. august 2026 |
| Begrænset risiko / transparens | Chatbots, deepfakes, AI-genereret indhold | Mærkning og oplysningspligt fra 2. august 2026 |
| Minimal risiko | Spam-filtre, AI i computerspil | Ingen særlige krav |
Dertil kommer en særskilt sporing for GPAI – generelle sprogmodeller som GPT, Claude, Gemini, Llama – med egne forpligtelser for udbyderne.
De vigtigste datoer
- 2. august 2025: GPAI-forpligtelser trådte i kraft for nye modeller på markedet. Eksisterende modeller har frist til 2. august 2027.
- 2. august 2026: Håndhævelse begynder. Høj-risiko regler (Annex III) og transparens (Artikel 50) gælder.
- 7. maj 2026: EU vedtog politisk aftale om en "AI Act Omnibus" – en justering der forlænger nogle deadlines for høj-risiko systemer. Detaljerne forhandles stadig.
- 2. august 2027: Resterende regler for høj-risiko produkter (Annex I – f.eks. medicinsk udstyr og maskiner) finder anvendelse.
Selv hvis Omnibus-pakken lemper enkelte krav, ændrer det ikke ved, at transparens-reglerne i Artikel 50 og GPAI-forpligtelserne er fuldt operative.
Hvad betyder det for en almindelig dansk SMV?
De fleste danske SMV'er udvikler ikke selv AI. Men I bruger det. Og det er nok til at I er omfattet – som "deployer", på dansk ofte oversat til idriftssætter. Konkret kan det betyde:
Hvis I bruger en chatbot på jeres hjemmeside: Brugeren skal tydeligt informeres om, at de taler med en AI – ikke et menneske. Ingen "Hej, jeg hedder Sara" der lader som om hun er en kollega.
Hvis I bruger AI til at sortere ansøgere eller vurdere medarbejdere: Det er høj-risiko. I skal sikre, at systemet er konformitetsvurderet, at I har dokumentation, og at der er menneskeligt tilsyn med beslutninger.
Hvis I publicerer AI-genereret indhold (tekst, billeder, video): Det skal mærkes maskin-læsbart, og synligt for brugeren hvis det er deepfake eller realistisk indhold.
Hvis I bruger ChatGPT, Claude eller Copilot internt: Selv her gælder principper om datahåndtering, og I bør have en intern AI-politik der beskriver, hvilke data der må sendes til hvilke systemer.
Hvis I udvikler eller finjusterer egne AI-modeller: Så er I udbyder, og kravene er væsentligt højere.
Bøderne
Lad os ikke pakke det ind. Maksimumsbøderne er:
- 35 mio. EUR eller 7 % af global årlig omsætning – det højeste af de to – for forbudte AI-systemer
- 15 mio. EUR eller 3 % for overtrædelse af forpligtelser
- 7,5 mio. EUR eller 1 % for at give vildledende oplysninger til myndighederne
Til sammenligning er GDPR-loftet på 20 mio. EUR eller 4 %. AI Act er altså strengere – også på papiret.
For GPAI-udbydere kan EU AI Office derudover kræve modeller fjernet fra markedet, begrænset eller tilbagekaldt.
Hvad skal I gøre nu?
Vi anbefaler en tre-trins tilgang for SMV'er:
1. Kortlæg. Lav en liste over alle AI-systemer, I bruger – både dem I selv har valgt (chatbots, copilots, billedgeneratorer), og dem der sniger sig ind via leverandørers software (CRM-features, Office-Copilot, kundeservice-værktøjer). I kan ikke styre, hvad I ikke kender.
2. Klassificér. For hvert system: Hvilken risikokategori falder det under? Hvem er udbyder, og hvem er deployer? Hvilke data går ind i det, og hvor ender de? Det er den her øvelse, der typisk afslører overraskelser.
3. Reducér eksponeringen. Hvor det giver mening, bør I overveje lokale AI-løsninger. Når modellen kører på jeres egen server, kontrollerer I præcis, hvilke data der bruges, hvordan output håndteres, og kan dokumentere det. Compliance bliver dermed en konsekvens af arkitekturen – ikke en kamp ovenpå.
Lokale LLM-servere og europæiske platforme som Office.eu er værktøjer i den retning. Også her gælder: jo mere af stakken I selv kontrollerer, jo lettere er compliance.
Den ærlige status
EU AI Act er ikke perfekt lov. Den er kompleks, kritiseret for at ramme europæiske udbydere hårdere end amerikanske (som kan vælge ikke at tilbyde visse modeller i EU), og Omnibus-justeringerne i maj 2026 viser, at selv lovgiverne selv erkender, at den næppe rammer plet i første forsøg.
Men loven er der. Håndhævelsen begynder om 51 dage. Og bøderne er reelle.
For en dansk SMV er det vigtigste budskab: I behøver ikke være eksperter i juraen. I behøver bare at vide, hvor I står, dokumentere det, og være parate til at justere. Det er overkommeligt – men det starter med en samtale.
Vil du vide mere?
Hos Schnack Data hjælper vi danske virksomheder med at kortlægge AI-brug, vurdere risiko og bygge løsninger – ofte lokale – der gør compliance til en bivirkning frem for et projekt.
Kontakt os for en uforpligtende snak om, hvor jeres virksomhed står i forhold til EU AI Act.