AI-forordningen for små virksomheder: hvad gælder nu, og hvad er udskudt

To krav i AI-forordningen gælder allerede for en almindelig dansk virksomhed, der bruger AI: kravet om AI-færdigheder hos personalet, som har været gældende siden 2. februar 2025, og gennemsigtighedskravene, som trådte i kraft 2. august 2026. De tunge krav til højrisiko-systemer er udskudt til 2. december 2027 og 2. august 2028.

Resten af artiklen forklarer, hvad de to krav betyder i praksis, hvad der ikke gælder endnu, og hvem der fører tilsyn.

Først: bruger I AI, eller udvikler I den?

Forordningen skelner mellem den, der udbyder et AI-system, og den, der bruger det. Bruger I ChatGPT, Microsoft Copilot eller et AI-værktøj, I har købt, er I bruger.

Langt de fleste danske virksomheder er brugere. Det er godt nyt, for hovedparten af forpligtelserne i forordningen hænger på udbydere og på systemer med høj risiko.

Næste skridt er at se på, hvad I bruger AI til. Forordningen inddeler anvendelser efter risiko, og for de fleste almindelige anvendelser, altså at skrive tekst, opsummere, oversætte eller lave udkast, er svaret lav risiko. Så gælder der ingen specifikke krav ud over de to, der beskrives herunder.

Tidslinjen

DatoHvad trådte i kraft1. august 2024Forordningen trådte i kraft2. februar 2025Forbudte former for AI-praksis og kravet om AI-færdigheder2. august 2025Regler for AI-modeller til almen brug, styring og sanktioner2. august 2026Gennemsigtighedskrav og resten af den almindelige anvendelse2. december 2027Højrisiko-systemer i bilag III2. august 2028Højrisiko-systemer i bilag I

De to sidste datoer blev rykket i 2026. De var oprindeligt sat tidligere.

Krav 1: AI-færdigheder, gældende siden februar 2025

Kravet står i forordningens artikel 4 og gælder alle AI-systemer omfattet af forordningen, uanset risikoklassificering. Det rammer altså også håndværkeren, der bruger ChatGPT til at skrive tilbud.

Efter den ændring, der blev vedtaget i 2026, skal virksomheden træffe foranstaltninger, der understøtter udviklingen af AI-færdigheder hos personalet. Der står udtrykkeligt, at man ikke skal garantere et bestemt niveau hos den enkelte medarbejder.

I praksis betyder det, at medarbejderne skal vide, hvad værktøjerne kan, hvad de ikke kan, og 🔗hvad man ikke skriver ind i dem🔗. En skriftlig instruks og en introduktion er nok for de fleste. Der er ikke krav om et kursusbevis pr. ansat.

Krav 2: Gennemsigtighed, gældende siden august 2026

Kravene står i artikel 50 og handler om, at folk skal kunne se, hvornår de har med AI at gøre.

🔗Bruger I en chatbot på hjemmesiden🔗, skal brugerne oplyses om, at de taler med et AI-system og ikke et menneske. Det gælder også en simpel supportbot.

Udgiver I AI-genereret indhold, herunder billeder, lyd eller video, der ligner virkelige personer eller begivenheder, skal det mærkes tydeligt. Der er også krav om maskinlæsbar mærkning, som for systemer, der var på markedet før 2. august 2026, først gælder fra 2. december 2026.

Manglende overholdelse af gennemsigtighedskravene kan udløse bøder på op til 15 mio. EUR eller 3 pct. af den globale omsætning.

Hvad der ikke gælder jer endnu

Det er værd at vide, hvad der ikke er aktuelt, både fordi det sparer arbejde, og fordi der bliver solgt en del rådgivning på en hastighed, der ikke er der.

Kravene til højrisiko-systemer gælder fra 2. december 2027 for systemerne i bilag III og fra 2. august 2028 for bilag I. Bilag III dækker blandt andet AI, der bruges i rekruttering og personaleledelse. Bruger I AI til at sortere jobansøgninger, er I altså i den kategori, men reglerne gælder først om halvandet år.

Det betyder ikke, at området er frit indtil da. Bruger I AI i rekruttering, behandler I personoplysninger om ansøgere, og der gælder databeskyttelsesforordningen fuldt ud i dag.

Hvem fører tilsyn i Danmark

Digitaliseringsstyrelsen er tilsynsmyndighed for AI-forordningen i Danmark. Det er altså ikke Datatilsynet, som mange antager. Datatilsynet fører fortsat tilsyn med reglerne om personoplysninger.

AI-modeller til almen brug, altså de store sprogmodeller, håndhæves af Europa-Kommissionen og ikke nationalt. Det er relevant, hvis I nogensinde er i tvivl om, hvem I skal henvende jer til: som bruger af et værktøj er det Digitaliseringsstyrelsen, ikke Kommissionen.

En ting, der ofte blandes sammen

AI-forordningen kræver ikke, at en almindelig virksomhed laver en fortegnelse over sine AI-værktøjer, når de er lavrisiko.

Det er databeskyttelsesforordningen, der kræver det, fordi et AI-værktøj, der behandler personoplysninger, er en behandling ligesom alle andre systemer. Leverandøren bliver databehandler, der skal være en 🔗databehandleraftale🔗 efter artikel 28, og behandlingen skal stå i 🔗fortegnelsen🔗 efter artikel 30.

Skelnen betyder noget, hvis nogen spørger, hvorfor I har lavet arbejdet. Svaret er GDPR. Gevinsten er, at I samtidig har det, der skal til for at leve op til de to AI-krav.

Den praktiske vej

Uanset hvilken vinkel man tager, ender man samme sted. I skal vide:

Hvilke AI-værktøjer der er i brug i virksomheden, også dem ingen har spurgt om lov til.

Hvem der ejer dem internt, altså hvem der har oprettet abonnementet og svarer på spørgsmål om det.

Hvilke oplysninger de behandler, og om de bruges i opgaver med personoplysninger.

Om der er en databehandleraftale med leverandøren, og hvor leverandøren ligger.

Det er den samme dokumentation, I skal have på jeres øvrige systemer. Er den på plads, kan I både svare kunden, der spørger, og leve op til artikel 4 og 50.

FAKTIVE-platformen laver den dokumentation for de systemer, virksomheden bruger, herunder fortegnelsen over behandlingsaktiviteter, databehandleraftaler og leverandøroverblik.

Ofte stillede spørgsmål

Gælder AI-forordningen for min virksomhed på 12 ansatte? Ja, forordningen har ingen nedre størrelsesgrænse. Men omfanget afhænger af, hvad I bruger AI til. Bruger I almindelige værktøjer til at skrive og opsummere, er der to krav, der gælder: AI-færdigheder og gennemsigtighed, hvis I har en chatbot eller udgiver AI-genereret indhold.

Hvad er forskellen på udbyder og idriftsætter? Udbyderen udvikler AI-systemet eller sætter sit navn på det. Idriftsætteren bruger det. Bruger I et værktøj, I har købt, er I idriftsætter, og hovedparten af forordningens krav gælder ikke jer.

Er ChatGPT et højrisiko-AI-system? Nej, ikke i sig selv. Risikoen følger anvendelsen, ikke værktøjet. Bruger I det til at skrive udkast, er det lav risiko. Bruger I det til at sortere jobansøgninger, hører den anvendelse til i bilag III, hvor reglerne gælder fra 2. december 2027.

Hvem fører tilsyn med AI-forordningen i Danmark? Digitaliseringsstyrelsen. Reglerne om personoplysninger hører fortsat under Datatilsynet, og AI-modeller til almen brug håndhæves af Europa-Kommissionen.

Skal vi lave en liste over vores AI-værktøjer? Ja, men kravet kommer fra databeskyttelsesforordningen og ikke fra AI-forordningen. Behandler et AI-værktøj personoplysninger, skal det stå i fortegnelsen over behandlingsaktiviteter efter artikel 30.

Denne artikel er generel vejledning og ikke juridisk rådgivning. Hvilke krav der præcist gælder for jeres virksomhed, afhænger af sektor, størrelse og risiko.

Senest opdateret: 22. august 2026.