EU’s AI-forordning (AI Act), forklaret.

Hvad AI-forordningen er (og ikke er)

AI-forordningen er en produktsikkerhedslignende regulering af AI-systemer, der bringes på EU-markedet, eller hvis output bruges i EU. Den regulerer ikke ”AI” som teknologi — den regulerer specifikke anvendelser efter risiko. Jo højere risiko for sundhed, sikkerhed eller grundlæggende rettigheder, desto tungere forpligtelser. Det meste hverdags-AI (spamfiltre, anbefalingswidgets, stavekontrol, AI-funktioner i produktivitetsværktøjer) er minimal risiko og får slet ingen nye pligter.

De fire risikoniveauer

Alt i forordningen hviler på denne klassificering:

• Uacceptabel risiko — totalforbudt siden den 2. februar 2025: social scoring, udnyttende eller manipulerende teknikker, umålrettet indsamling af ansigtsbilleder, følelsesgenkendelse på arbejdspladser og i skoler (snævre sikkerhedsundtagelser), biometrisk kategorisering for at udlede følsomme egenskaber samt biometrisk fjernidentifikation i realtid i det offentlige rum til retshåndhævelse (begrænsede undtagelser). Fra den 2. december 2026 forbyder 2026-ændringen desuden udtrykkeligt AI-systemer, der genererer intime billeder uden samtykke eller CSAM.
• Høj risiko — tilladt, men strengt reguleret: AI brugt som sikkerhedskomponent i regulerede produkter (bilag I — maskiner, medicinsk udstyr, elevatorer…) eller i følsomme anvendelser (bilag III — rekruttering og medarbejderledelse, karaktergivning i uddannelse, kreditvurdering, essentielle tjenester, retshåndhævelse, migration, retsvæsen). Pligterne omfatter risikostyring, datagovernance, teknisk dokumentation, logning, menneskeligt tilsyn, test af nøjagtighed/robusthed og registrering i en EU-database.
• Begrænset risiko — gennemsigtighedskrav (artikel 50): fortæl folk, når de interagerer med et AI-system (chatbots), mærk AI-genereret eller manipuleret billed-/lyd-/videoindhold (deepfakes), mærk syntetisk indhold maskinlæsbart, og oplys om AI-genereret tekst, der offentliggøres for at informere offentligheden om emner af offentlig interesse.
• Minimal risiko — alt andet: ingen nye forpligtelser, frivillige adfærdskodekser opmuntres.

Tidslinjen i 2026 — opdateret efter Digital Omnibus

Forordningen trådte i kraft den 1. august 2024 og skulle have været næsten fuldt gældende den 2. august 2026. I november 2025 foreslog Kommissionen ”Digital Omnibus on AI” for at forenkle og forskyde det; Parlamentet godkendte den 16. juni 2026, og Rådet gav sin endelige godkendelse den 29. juni 2026. De vigtigste datoer nu:

• 2. februar 2025 — forbuddene mod praksisser med uacceptabel risiko og kravene om AI-kompetencer trådte i kraft.
• 2. august 2025 — forpligtelser for udbydere af AI-modeller til almen brug (GPAI): teknisk dokumentation, ophavsretspolitik, resuméer af træningsdata; ekstra pligter for modeller med systemisk risiko — samt EU’s AI-kontor og governance-strukturer.
• 2. august 2026 — forordningen bliver generelt gældende: gennemsigtighedskrav (artikel 50), bøder og de fleste øvrige bestemmelser. Maskinlæsbar mærkning af syntetisk indhold får en overgangsperiode til den 2. december 2026 for systemer, der allerede var på markedet før den 2. august 2026.
• 2. december 2026 — nye forbud mod AI, der genererer intime billeder uden samtykke og CSAM, træder i kraft.
• 2. december 2027 — højrisikokrav for anvendelser i bilag III (rekruttering, kreditvurdering, uddannelse…) — udskudt 16 måneder fra den oprindelige dato i august 2026.
• 2. august 2028 — højrisikokrav for produktindlejret AI efter bilag I (medicinsk udstyr, maskiner…) — udskudt et år fra august 2027. Nationale reguleringsmæssige sandkasser skal være klar senest den 2. august 2027.

Hvem der skal overholde den

Forpligtelserne knytter sig til roller i værdikæden: udbydere (der udvikler eller bringer et AI-system på EU-markedet under eget navn), brugere (der anvender et AI-system professionelt) samt importører og distributører. Rækkevidden er ekstraterritorial — en SaaS fra USA eller Storbritannien, hvis AI-output bruges i EU, er omfattet. SMV’er får visse lempelser: forenklet dokumentation, prioriteret adgang til sandkasser og bøder, der begrænses til det laveste af de to beløb i stedet for det højeste.

Hvad AI-forordningen betyder for din hjemmeside

For de fleste virksomheder er de første reelle berøringspunkter gennemsigtighedsreglerne, der gælder fra august 2026 — de handler om, hvad besøgende ser på din side:

• AI-chatbots og assistenter på din side skal gøre det klart, at den besøgende taler med en maskine (medmindre det er åbenlyst ud fra konteksten).
• AI-genererede eller AI-manipulerede billeder, lyd og video (deepfakes), som du offentliggør, skal mærkes synligt som kunstigt genereret eller manipuleret.
• Syntetiske medier bør bære maskinlæsbar mærkning (f.eks. metadata/vandmærkning) — mærkningspligten for systemer fra før aug. 2026 gælder fra den 2. december 2026.
• AI-skrevet tekst, der offentliggøres for at informere offentligheden om emner af offentlig interesse, skal oplyses som AI-genereret, medmindre den har været igennem menneskelig redaktionel gennemgang med ansvarspåtagelse.
• Bruger du AI til rekruttering, kreditvurdering eller andre anvendelser i bilag III, så forbered dig på højrisikoregimet, der gælder fra den 2. december 2027.
• AI-kompetencer: organisationer, der bruger AI professionelt, bør tage skridt til, at medarbejderne forstår de systemer, de betjener.

Bøder

Bødestrukturen er bevidst GDPR-lignende: op til 35 mio. € eller 7% af den globale årsomsætning (alt efter hvad der er højest) for forbudte praksisser; op til 15 mio. € eller 3% for de fleste andre overtrædelser, herunder højrisiko- og GPAI-pligter; op til 7,5 mio. € eller 1% for at give myndigheder ukorrekte eller vildledende oplysninger. For SMV’er er hvert loft det laveste af de to beløb. Håndhævelsen deles mellem nationale markedsovervågningsmyndigheder og, for GPAI-modeller, EU’s AI-kontor.

Hvordan Beacon passer ind

Beacon scanner allerede, hvad søgemaskiner og AI-crawlere faktisk ser på din hjemmeside — robots.txt-politikker, renderet indhold, strukturerede data og oplysninger. Vi bygger videre på det fundament med en AI Act-parathedsscanning: et automatiseret tjek af din hjemmesides besøgendevendte gennemsigtighedssignaler (chatbot-oplysning, mærkning af AI-indhold, maskinlæsbar mærkning og tilhørende metadata) med en prioriteret rettelsesliste. Det bliver ikke juridisk rådgivning — men den viser dig konkret, hvad din side eksponerer i dag, og hvad du skal rette først.