AI Act gælder nu: Hvad skal almindelige danske virksomheder faktisk gøre?

EU's AI Act er ikke længere kun noget, virksomheder kan notere sig kommer på et tidspunkt i fremtiden. En væsentlig del af reglerne gælder nu.

Den 2. august 2026 begyndte blandt andet gennemsigtighedskravene i AI Acts artikel 50 at gælde. Det betyder helt konkret, at virksomheder i en række situationer skal gøre det tydeligt, når mennesker kommunikerer direkte med et AI-system, eller når bestemte typer indhold er genereret eller manipuleret med AI.

Det lyder umiddelbart enkelt. Men som med så meget anden EU-regulering bliver det hurtigt mindre enkelt, når man stiller de praktiske spørgsmål:

• Har du en AI-chatbot på hjemmesiden?
• Har du bygget en telefonagent, der besvarer kundehenvendelser?
• Bruger kundeservice AI til automatisk at svare på mails?
• Bruger marketing ChatGPT til artikler?
• Laver du billeder med generativ AI?
• Bruger medarbejderne Copilot eller andre AI-værktøjer i det daglige arbejde?

Og skal du nu til at sætte et stort “DENNE TEKST ER SKREVET MED AI” på alt, hvad virksomheden udgiver?

Det korte svar på det sidste spørgsmål er: Nej.

AI Act indeholder ikke et generelt krav om, at alle tekster, billeder eller mails, som AI på en eller anden måde har hjulpet med, skal mærkes synligt som AI-genererede. Til gengæld findes der nogle ret konkrete situationer, hvor gennemsigtighed nu er et krav. Og for mange almindelige virksomheder er de faktisk forholdsvis overskuelige, når man først får skilt reglerne ad.

Denne artikel er derfor ikke tænkt som en juridisk gennemgang af hele AI Act. Formålet er langt mere praktisk: Hvad bør en almindelig dansk virksomhed konkret undersøge og gøre?

AI Act er relevant, selv om du ikke udvikler AI

En af de misforståelser, jeg jævnligt møder omkring AI-regulering, er, at reglerne primært vedrører virksomheder, der udvikler deres egne AI-modeller. Det gør de ikke.

AI Act skelner blandt andet mellem en udbyder af et AI-system og en virksomhed, der anvender et AI-system professionelt.

En virksomhed, som anvender et AI-system under sit ansvar, vil typisk være det, AI Act kalder en deployer. Det kan eksempelvis være en virksomhed, der bruger en ekstern AI-tjeneste i sin kundeservice, marketing eller interne administration.

En virksomhed kan derimod blive betragtet som provider, hvis den selv udvikler – eller får udviklet – et AI-system og bringer det på markedet eller tager det i brug under eget navn eller varemærke.

Det er en vigtig forskel. Hvis din virksomhed bare bruger en almindelig AI-tjeneste internt, er det ikke det samme som at udvikle et AI-produkt. Men hvis du bygger eksempelvis en AI-baseret kundeportal, chatbot, telefonagent eller SaaS-løsning under virksomhedens eget navn, bør rollen vurderes mere konkret.

Det er altså ikke nok at sige: “Vi bruger jo bare en API fra en anden AI-leverandør.” Det afgørende kan være den samlede løsning og den rolle, virksomheden har i værdikæden.

Det vigtigste nye krav: Mennesker skal vide, når de kommunikerer med AI

Artikel 50 indeholder et meget konkret princip: Når et AI-system er udviklet til at kommunikere direkte med mennesker, skal personen som udgangspunkt informeres om, at vedkommende kommunikerer med AI, medmindre det allerede er åbenlyst.

EU-Kommissionens vejledning beskriver fire centrale elementer. Der skal være tale om et AI-system, systemet skal være udviklet til reel tovejskommunikation, AI'en skal kommunikere direkte med personen uden en menneskelig mellemmand, og kommunikationen skal foregå med et menneske. Rene maskine-til-maskine-processer og AI, der alene arbejder i baggrunden, falder derfor ikke ind under netop dette krav. Det gør det lettere at omsætte reglen til praksis.

Har du en AI-chatbot på hjemmesiden?

Så er dette et af de oplagte steder at kigge først. Hvis besøgende på virksomhedens hjemmeside kan åbne en chat og føre en samtale direkte med AI, bør det være tydeligt fra starten, at chatbotten er AI.

Du behøver ikke nødvendigvis møde kunden med en halv sides juridisk tekst. Tværtimod. Informationen skal være klar og tydelig senest ved den første interaktion. En praktisk formulering kunne eksempelvis være:

“Du skriver med vores AI-assistent. Den kan hjælpe med almindelige spørgsmål. Du kan altid bede om at blive stillet videre til et menneske.”

Det fortæller kunden det væsentlige uden at gøre dialogen besværlig.

Jeg ville samtidig anbefale, at virksomheden tager stilling til, hvad chatbotten må og ikke må:

• Må den give konkrete priser?
• Må den love leveringstider?
• Må den rådgive om kontraktforhold?
• Kan den oprette en ordre?
• Kan den ændre kundedata?
• Kan den sende oplysninger videre til medarbejdere?
• Og hvad sker der, når den ikke kender svaret?

Det sidste handler ikke kun om AI Act. Det handler også om at bygge en løsning, man faktisk tør sætte foran sine kunder.

Hvad med en AI-telefonagent?

Samme grundprincip er relevant. Hvis en kunde ringer til virksomheden og bliver mødt af en stemmebaseret AI-agent, der kan føre en egentlig samtale, bør kunden vide, at det er AI.

Her ville jeg gøre det helt enkelt og nævne det som noget af det første i samtalen. For eksempel:

“Hej, du taler med vores AI-assistent. Jeg kan hjælpe dig med…”

Derefter kan samtalen fortsætte naturligt. Det er efter min vurdering også bedre for kundeoplevelsen.

En telefonagent bliver ikke dårligere af, at kunden ved, den er AI. Problemerne opstår snarere, hvis kunden efter flere minutters samtale opdager, at vedkommende troede, der sad et menneske i den anden ende. Gennemsigtigheden kan derfor være en fordel frem for en begrænsning. Og en godt implementeret AI-agent bør under alle omstændigheder have klare regler for, hvornår et menneske skal overtage.

Hvad hvis AI kun hjælper medarbejderen?

Her bliver forskellen vigtig. Forestil dig, at en kunde sender en mail. AI analyserer mailen og udarbejder et svarforslag. En medarbejder læser derefter svaret, retter det og sender det til kunden.

I den situation kommunikerer kunden ikke nødvendigvis direkte med AI. EU-Kommissionens vejledning fremhæver netop, at artikel 50's direkte-interaktionskrav vedrører situationer, hvor AI-systemet selv kommunikerer med personen og ikke gør det gennem en menneskelig mellemmand.

Det betyder ikke, at alle andre regler forsvinder. Men det betyder, at man ikke bør gøre AI Act simplere, end den er, ved at konkludere: “Hvis AI har været involveret et eller andet sted, skal kunden altid informeres.” Sådan er artikel 50 ikke formuleret. Det er den konkrete anvendelse, der er afgørende.

Skal AI-genererede artikler mærkes?

Her forventer jeg en del forvirring de kommende måneder. For nej: AI Act siger ikke, at enhver virksomhed, der bruger ChatGPT som skrivehjælp, automatisk skal sætte et AI-mærke på alle sine artikler.

Artikel 50 har et mere specifikt krav. Hvis en virksomhed med AI genererer eller manipulerer tekst, som offentliggøres med det formål at informere offentligheden om forhold af offentlig interesse, skal AI-brugen som udgangspunkt oplyses. Men der er en vigtig undtagelse, hvis indholdet har været underlagt reel menneskelig gennemgang eller redaktionel kontrol, og en fysisk eller juridisk person har det redaktionelle ansvar for offentliggørelsen.

EU-Kommissionen nævner blandt andet politik og demokratiske processer, offentlig administration, retsvæsen, grundlæggende rettigheder, offentlig sikkerhed, folkesundhed, miljøbeskyttelse, forbrugersikkerhed samt økonomiske, politiske, videnskabelige eller kulturelle udviklinger, der kan indgå i den offentlige debat.

Det interessante er derfor ikke alene: “Har AI skrevet noget af teksten?” Det interessante er også: “Hvad handler teksten om, hvordan er den blevet til, og hvem har faktisk taget redaktionelt ansvar for den?”

Menneskelig gennemgang skal være reel

Her er en detalje, som er værd at hæfte sig ved. EU-Kommissionen præciserer, at en overfladisk kontrol ikke nødvendigvis er nok til at kunne kaldes menneskelig eller redaktionel gennemgang.

At køre teksten gennem stavekontrol eller rette enkelte grammatiske fejl tæller ikke i sig selv som egentlig redaktionel kontrol. Der skal være en bevidst gennemgang af indholdets substans af en person med relevante kompetencer og faglig vurdering. Ved redaktionel kontrol skal den ansvarlige reelt kunne godkende, ændre eller forkaste tekstens indhold, herunder eksempelvis kontrollere fakta og kilder.

Det synes jeg faktisk er en ganske fornuftig skillelinje. Hvis AI fungerer som værktøj i en almindelig redaktionel proces, hvor et menneske undersøger emnet, vurderer oplysningerne, ændrer teksten og tager ansvar for det færdige resultat, er situationen noget andet end en fuldautomatisk artikelmaskine, der genererer og publicerer hundrede artikler uden menneskelig kontrol.

Det er også sådan, jeg selv mener, virksomheder bør arbejde med AI-genereret content. AI må gerne gøre arbejdet hurtigere. Det bør bare ikke fjerne det menneskelige ansvar.

En automatisk AI-nyhedsside er noget andet

Forestil dig i stedet denne arbejdsgang: Et system finder selv aktuelle nyheder. AI genererer en artikel. AI laver overskrift og billede. Artiklen bliver automatisk publiceret. Ingen har læst den først.

Hvis indholdet samtidig handler om emner af offentlig interesse, er vi meget tættere på præcis den situation, som artikel 50's oplysningskrav vedrører. Her bør virksomheden altså ikke bare tænke over SEO, kvalitet og faktatjek. Den bør også tænke transparens ind i selve publiceringsflowet.

Det er et godt eksempel på, hvorfor compliance fungerer bedst, når den bygges ind i automationsflowet fra begyndelsen – frem for at blive tilføjet bagefter som endnu et manuelt trin.

Hvad med AI-billeder?

Der er to regler, som ofte bliver blandet sammen.

Udbydere af generative AI-systemer, der genererer syntetisk tekst, billeder, lyd eller video, skal som udgangspunkt sørge for, at output kan mærkes maskinlæsbart og identificeres som kunstigt genereret eller manipuleret. Der findes blandt andet undtagelser for standardmæssig redigering og situationer, hvor input ikke ændres væsentligt.

Det er først og fremmest en udbyderforpligtelse. Det er derfor ikke det samme som et generelt krav om, at en almindelig virksomhed skal skrive “AI-genereret billede” under hvert dekorativt AI-billede på sin hjemmeside.

Men der findes særskilte regler om deepfakes.

Deepfakes skal som udgangspunkt oplyses

AI Act definerer deepfake i relation til AI-genereret eller manipuleret billede, lyd eller video, der ligner eksisterende personer, genstande, steder, enheder eller begivenheder på en måde, hvor indholdet fejlagtigt kan fremstå autentisk eller sandt.

Hvis virksomheden anvender sådan indhold professionelt, skal det som udgangspunkt fremgå tydeligt, at indholdet er kunstigt genereret eller manipuleret. Det skal være noget, et menneske faktisk kan opfatte. En skjult teknisk metadata-markering er ikke i sig selv tilstrækkelig til deployerens oplysningspligt omkring deepfakes.

Der gælder en mildere tilgang ved tydeligt kunstneriske, kreative, satiriske eller fiktive værker, hvor oplysningen kan gives på en måde, der ikke ødelægger oplevelsen.

Det er endnu en grund til ikke at reducere reglerne til: “Alt AI skal mærkes.” Konteksten betyder noget.

Maskinlæsbar mærkning – skal din virksomhed selv bygge det?

For mange almindelige virksomheder: sandsynligvis ikke. Kravet om, at syntetisk tekst, lyd, billeder og video skal kunne mærkes maskinlæsbart og opdages som AI-genereret eller AI-manipuleret, ligger i artikel 50, stk. 2 hos udbyderen af det generative AI-system.

Hvis din virksomhed bare anvender et eksisterende AI-værktøj, er du ikke automatisk den part, der skal udvikle selve watermarking- eller metadata-teknologien. Hvis du derimod udvikler eller får udviklet et generativt AI-system og sætter det i drift under dit eget navn, kan situationen være anderledes. Her er det igen afgørende at få fastslået virksomhedens rolle.

EU har samtidig udarbejdet en frivillig Code of Practice om transparens af AI-genereret indhold, og der findes valgfrie EU-ikoner, som kan bruges til visse mærkningssituationer. Ikonerne er frivillige; selve oplysningskravet er ikke frivilligt, når man falder inden for reglerne.

Der er en begrænset overgangsperiode – men kun på ét område

Der findes en overgangsperiode til 2. december 2026 for visse generative AI-systemer, der allerede var på markedet før 2. august 2026. Men overgangsperioden vedrører den tekniske mærknings- og detektionsforpligtelse i artikel 50, stk. 2.

Det er altså ikke en generel fire måneders frist, hvor virksomheder bare kan ignorere de øvrige transparensregler. Det er en vigtig detalje, fordi den modsatte konklusion hurtigt kan sprede sig, når de nye regler bliver kogt ned til korte opslag på sociale medier.

Hvad med ChatGPT og Copilot på medarbejdernes computere?

Her er artikel 50 ikke nødvendigvis det mest interessante. Der findes en anden del af AI Act, som mange virksomheder bør interessere sig mindst lige så meget for: AI literacy.

Artikel 4 stiller krav om, at virksomheder, der udvikler eller anvender AI-systemer, træffer relevante foranstaltninger omkring AI-kompetencer hos medarbejdere og andre personer, der arbejder med systemerne på virksomhedens vegne. Kravet har faktisk været gældende siden 2. februar 2025. Efter ændringer i 2026 kræves der ikke et bestemt certificeret kompetenceniveau, men AI literacy er fortsat en forpligtelse.

EU-Kommissionen anbefaler blandt andet, at virksomheden forholder sig til, hvilke AI-systemer organisationen bruger, medarbejdernes eksisterende viden, systemernes risici og den konkrete kontekst, de bruges i.

Der er ikke krav om et bestemt AI-certifikat, og AI Act kræver heller ikke, at alle virksomheder udpeger en særlig “AI Officer”. Et internt register over undervisning, vejledninger og andre tiltag kan derimod bruges som dokumentation.

For en almindelig mindre virksomhed behøver det derfor ikke udvikle sig til et kæmpe projekt. Men “medarbejderne bruger bare det AI, de har lyst til” er heller ikke en særlig holdbar strategi.

En simpel intern AI-politik kan løse meget

Jeg ville som minimum få skrevet nogle klare interne rammer. Ikke et dokument på 47 sider, som ingen læser. Men konkrete svar på de spørgsmål, medarbejderne faktisk står med:

• Hvilke AI-værktøjer må vi bruge?
• Må vi lægge kundeoplysninger ind?
• Må vi indsætte interne dokumenter?
• Må vi bruge AI til kode?
• Må AI skrive direkte til kunder?
• Hvilke svar skal altid gennemgås af et menneske?
• Hvem har ansvar for faktatjek?
• Hvornår må AI udføre handlinger automatisk?
• Hvordan håndterer vi fortrolige oplysninger?
• Og hvad gør vi, hvis vi er i tvivl?

Det giver både mere sikker brug og langt mere ro omkring AI i organisationen.

GDPR forsvinder ikke, fordi AI Act er kommet

AI Act erstatter ikke GDPR. Hvis virksomheden sender personoplysninger ind i et AI-system, skal databeskyttelsesreglerne stadig overholdes. Selve AI Act præciserer også, at reglerne gælder sideløbende med blandt andet EU's databeskyttelsesregler.

Datatilsynet har flere gange advaret om, at medarbejdere kan komme til at lægge personoplysninger ind i generative AI-værktøjer uden, at arbejdspladsen har taget stilling til det. Tilsynet anbefaler derfor organisatoriske rammer og retningslinjer for medarbejdernes brug af generativ AI.

Det betyder i praksis, at en virksomhed ikke bør nøjes med at spørge: “Er vores AI-chatbot mærket korrekt?” Man bør også spørge: “Hvilke data sender vi egentlig gennem den?” Der kan ligge den væsentligste risiko et helt andet sted end i selve AI-mærkningen.

Brug af AI til rekruttering og medarbejdere kræver ekstra opmærksomhed

Nogle AI-anvendelser går langt videre end artikel 50. AI-systemer, der anvendes til bestemte opgaver inden for rekruttering og medarbejderstyring, kan eksempelvis være klassificeret som højrisiko. Kommissionen nævner blandt andet AI til målrettede jobannoncer, analyse og filtrering af jobansøgninger og evaluering af kandidater. Andre højrisikoområder omfatter blandt andet dele af uddannelse, kreditvurdering, kritisk infrastruktur, biometriske systemer og visse offentlige områder.

Hvis virksomheden anvender AI i den type beslutninger, bør man derfor ikke nøjes med denne artikel. Her skal løsningen vurderes mere konkret.

En chatbot er én ting. En beslutningsmotor er noget andet.

Det er også en nyttig måde at tænke AI Act på. En chatbot, der fortæller kunden virksomhedens åbningstider, er én type risiko. Et AI-system, der vurderer, om en person skal ansættes, få kredit eller modtage en bestemt ydelse, er noget helt andet.

AI Act er netop bygget op omkring en risikobaseret tilgang. Derfor giver det ikke meget mening at have én generel regel som: “Vi bruger AI.” Det interessante spørgsmål er: “Hvor bruger vi AI, hvad gør systemet, hvilke data får det, og hvilken betydning har resultatet for mennesker?” Når man kan svare på det, bliver resten af arbejdet meget lettere.

Hvad skal almindelige virksomheder konkret gøre nu?

Hvis jeg skulle gennemgå en mindre eller mellemstor virksomheds AI-brug i morgen, ville jeg begynde ret jordnært.

Det er ikke nødvendigvis kompliceret. Men det kræver, at nogen faktisk laver kortlægningen.

Start med et AI-register – også selv om du kun har fem medarbejdere

Jeg synes, virksomheder med fordel kan lave et lille internt register over deres AI-brug. Det behøver ikke være et nyt enterprise-system. Et regneark kan være rigeligt. For hvert system kan virksomheden notere:

• hvilket AI-værktøj eller system der anvendes
• hvad det bruges til
• hvem der bruger det
• om det kommunikerer direkte med eksterne personer
• hvilke data det modtager
• om output automatisk publiceres eller udfører handlinger
• hvem der kvalitetssikrer resultatet
• hvem der internt ejer processen

Når først det findes, har virksomheden et langt bedre fundament både for AI Act, GDPR, sikkerhed og almindelig drift. Og ikke mindst bliver det synligt, hvis der findes “shadow AI” – altså værktøjer, som medarbejdere har taget i brug uden nogen egentlig beslutning eller risikovurdering.

Transparens behøver ikke gøre AI dårligere

Jeg ser egentlig positivt på mange af gennemsigtighedskravene. En god AI-løsning behøver ikke foregive at være et menneske for at være nyttig. Hvis en kunde får løst sit problem på 30 sekunder af en AI-agent, bliver løsningen ikke mindre værdifuld, fordi kunden ved, det er AI.

Tværtimod kan man designe forventningerne rigtigt fra begyndelsen: AI'en kan løse standardopgaver hurtigt. Mennesker tager over, når situationen kræver vurdering, empati eller beslutningskompetence. Den kombination er efter min vurdering langt mere interessant end at prøve at skjule, hvor AI indgår.

Compliance bør bygges ind i løsningen – ikke klistres på bagefter

Hvis du udvikler en AI-chatbot, telefonagent eller et automatiseret workflow, er det langt lettere at tænke kravene ind, mens systemet bygges:

• Et informationsfelt i chatbotten.
• En kort disclosure i starten af telefonsamtalen.
• Logging af, hvornår et menneske har godkendt en artikel.
• En regel om, at bestemte output ikke må publiceres automatisk.
• Et system til escalation til en medarbejder.
• Adgangskontrol omkring persondata.
• Dokumentation af modeller, prompts og integrationer.

Det er almindeligt godt systemdesign. Og det er typisk billigere end at opdage seks måneder senere, at systemets arkitektur gør det svært at dokumentere, hvem der har gjort hvad.

Hvad kan bøderne blive?

Overtrædelser af artikel 50 kan i yderste konsekvens være omfattet af administrative bøder på op til 15 millioner euro eller op til 3 procent af virksomhedens samlede globale årsomsætning fra det foregående regnskabsår.

For SMV'er gælder særlige proportionalitetsprincipper, og ved sanktioner skal blandt andet overtrædelsens karakter og alvor, virksomhedens størrelse, ansvar, samarbejde med myndighederne og om handlingen var forsætlig eller uagtsom indgå i vurderingen.

Det er derfor ikke særlig hjælpsomt at præsentere AI Act som: “Glemmer du et AI-ikon, får du en millionbøde.” Sådan fungerer reglerne ikke. Men de meget høje maksimumsbeløb viser naturligvis, at virksomheder heller ikke bør ignorere kravene.

Min anbefaling: Gør det pragmatisk

For de fleste almindelige danske virksomheder ville jeg ikke begynde med at købe et stort AI-compliance-system. Jeg ville begynde med at skabe overblik:

• Find ud af, hvor AI allerede anvendes.
• Find de systemer, der taler direkte med kunder eller andre mennesker.
• Find de processer, hvor AI publicerer noget automatisk.
• Find de steder, hvor personoplysninger indgår.
• Find de anvendelser, hvor AI påvirker væsentlige beslutninger.
• Og sørg for, at medarbejderne ved, hvad de må.

For mange virksomheder vil man efter den øvelse opdage, at de nødvendige ændringer er forholdsvis konkrete. For andre viser gennemgangen måske, at en AI-løsning er mere kritisk, end man havde regnet med. Begge dele er værdifuldt at vide.

AI Act skal ikke være en grund til at stoppe med AI

Det synes jeg er en vigtig afslutning. Formålet bør ikke være, at medarbejderne bliver så nervøse for regler, at de holder op med at eksperimentere.

AI kan allerede automatisere store mængder trivielt arbejde, forbedre kundeservice, hjælpe med dokumentation, analysere data, understøtte medarbejdere og gøre helt nye produkter mulige. Men det skal ske med åbne øjne:

• Når kunden taler med AI, fortæller vi det.
• Når AI bruges til noget følsomt, undersøger vi risikoen.
• Når medarbejderen bruger AI, giver vi nogle fornuftige rammer.
• Når AI laver indhold, tager et menneske ansvar, hvor det er nødvendigt.
• Og når vi bygger automatiseringer, sørger vi for, at vi også kan forklare, hvordan de fungerer.

Det er ikke nødvendigvis bureaukrati. Det er i høj grad bare god digital praksis.

Er du i tvivl om, hvordan AI Act rammer din løsning?

Arbejder du allerede med en AI-chatbot, telefonagent, automatiseret kundeservice, generativt content eller andre AI-workflows, kan det være en god idé at få kortlagt løsningen, før du begynder at ændre alt muligt.

Jeg hjælper virksomheder med både den tekniske og praktiske side af AI-løsninger: hvordan systemerne er bygget, hvilke data der flyder mellem dem, hvor mennesker er inde over, hvilke processer der er automatiseret, og hvor det giver mening at bygge transparens og kontrol ind.

Jeg yder ikke juridisk rådgivning, men kan hjælpe med den tekniske kortlægning og implementering – og samarbejde med virksomhedens juridiske rådgiver, hvor der er behov for en egentlig juridisk vurdering.

Få gennemgået virksomhedens AI-brug

Har I allerede taget ChatGPT, Copilot, AI-agenter eller automatiserede AI-workflows i brug? Jeg hjælper med at kortlægge løsningerne og omsætte krav og risici til konkrete tekniske tiltag.

Skal jeg gennemgå jeres AI →

Kilder og videre læsning

Artiklen er baseret på den gældende AI Act samt EU-Kommissionens endelige vejledning om gennemsigtighedskravene i artikel 50, Kommissionens aktuelle Q&A om artikel 50 og AI literacy samt dansk vejledning fra Datatilsynet. Artikel 50 gælder fra 2. august 2026, mens AI literacy-forpligtelsen har været gældende siden februar 2025.

Bemærk: Denne artikel er generel information om AI Act og praktisk anvendelse af AI og udgør ikke juridisk rådgivning. Ved højrisiko-AI, større implementeringer eller tvivl om virksomhedens konkrete juridiske forpligtelser bør der indhentes relevant juridisk rådgivning.