EU AI Act 2026: 5 krav din virksomhed skal opfylde fra 2. august

Den 2. august 2026 træder de mest vidtrækkende krav i EU's AI-forordning i kraft for virksomheder, der anvender høj-risiko AI-systemer. For danske virksomheder, der bruger AI til rekruttering, kreditvurdering, biometrisk identifikation eller kritisk infrastruktur, er fristen ikke en fjern fremtidsudsigt — den er nu. Forordning (EU) 2024/1689, også kaldet EU AI Act, pålægger disse virksomheder fem konkrete forpligtelser, der kan betyde bøder på op til 30 mio. euro ved overtrædelse.

Her er de 5 krav, din virksomhed skal opfylde fra 2. august 2026.

Hvad er høj-risiko AI ifølge EU AI Act?

EU AI Act opdeler AI-systemer i risikoniveauer. Et AI-system klassificeres som høj-risiko (bilag III i forordningen), hvis det anvendes inden for kategorier som:

• Biometrisk identifikation og kategorisering
• Kritisk infrastruktur (el, vand, trafik)
• Uddannelse og erhvervsuddannelse
• Ansættelse og ledelse af arbejdstagere
• Adgang til vigtige offentlige tjenester (kredit, social sikring, nødtjenester)
• Retshåndhævelse
• Migration, asyl og grænseovervågning
• Retspleje og demokratiske processer

Anvender din virksomhed AI til automatisk cv-screening, chatbot-baseret kreditvurdering eller ansigtsgenkendelse ved adgangskontrol, er du sandsynligvis omfattet. Datatilsynet forventes at blive den primære tilsynsmyndighed i Danmark.

Krav 1: Et fungerende risikostyringssystem

Artikel 9 i EU AI Act kræver, at udbydere og brugere af høj-risiko AI-systemer etablerer et løbende risikostyringssystem — ikke en engangsvurdering, men en kontinuerlig proces.

Systemet skal:

1. Identificere og analysere kendte og rimeligvis forudsigelige risici forbundet med AI-systemet
2. Estimere og evaluere de risici, der kan opstå ved korrekt brug og ved rimeligt forudseelig fejlanvendelse
3. Implementere passende risikobegrænsende foranstaltninger
4. Teste AI-systemet for at verificere, at risici er håndteret effektivt

À retenir: Et risikostyringssystem er ikke et dokument — det er en levende proces. Virksomheder, der allerede har ISO 31000-certificering, har et godt udgangspunkt, men skal tilpasse den til AI-specifikke risici.

Praktisk trin: Udpeg én ansvarlig person (f.eks. en AI-compliance officer) til at ejerskabe risikostyringssystemet og sikre kvartalsvise revisioner.

Krav 2: Høj datakvalitet og ansvarlig datastyring

Artikel 10 fastlægger strenge krav til de data, der bruges til at træne, validere og teste høj-risiko AI-systemer. Data skal være relevante, repræsentative, fejlfrie og fuldstændige i forhold til det formål, AI-systemet er designet til.

Det indebærer konkret:

• Dokumentation af datakilder og indsamlingsmetoder
• Analyse af mulige bias i træningsdata (f.eks. geografisk eller demografisk skævhed)
• Overensstemmelse med GDPR — EU AI Act og Databeskyttelsesforordningen (GDPR, Forordning (EU) 2016/679) er tæt sammenvævet
• Adskillelse af trænings-, validerings- og testdatasæt

En dansk HR-software-virksomhed, der bruger historiske ansættelsesdata til at score kandidater, skal eksempelvis dokumentere, om disse data afspejler strukturel bias i rekrutteringen, og om de er indsamlet med gyldigt samtykke.

Krav 3: Detaljeret teknisk dokumentation og automatisk logføring

Artikel 11 og 12 kræver, at høj-risiko AI-systemer ledsages af omfattende teknisk dokumentation, og at systemerne automatisk logger aktiviteter for at muliggøre sporbarhed.

Dokumentationen skal som minimum indeholde:

• En generel beskrivelse af AI-systemets formål og anvendelsesområde
• Systemets arkitektur, herunder algoritmer og beregningsressourcer
• Beskrivelse af de data, der er anvendt til træning, validering og test
• Testresultater, herunder fejlrater opdelt på demografi, hvis relevant
• En erklæring om overensstemmelse (EU-overensstemmelseserklæring)

Logfunktionen skal automatisk registrere hændelser som systemets aktiveringsperioder, referencedata, og tilfælde, hvor systemet ikke har kunnet give et resultat. Disse logfiler skal opbevares i minimum seks måneder efter systemets anvendelse, eller — for systemer, der bruges af offentlige myndigheder — i minimum et år [EU AI Act, artikel 12, stk. 1].

Virksomheder kan med fordel bruge EU AI Acts officielle annex IV som skabelon for teknisk dokumentation — strukturen er beskrevet direkte i forordningsteksten.

Krav 4: Reel menneskelig overvågning og indgrebsmulighed

Artikel 14 er et af de mest vidtgående krav: høj-risiko AI-systemer skal designes og implementeres, så mennesker reelt kan overvåge, forstå og om nødvendigt afbryde systemet. "Overvågning" er ikke tilstrækkeligt, hvis den ansatte blot rubber-stamper AI'ens beslutninger.

Tre konkrete krav til menneskelig overvågning:

1. Forståelse og fortolkning: Det personale, der overvåger systemet, skal have kompetencerne til at forstå systemets kapaciteter og begrænsninger. Blindt follow-the-algorithm accepteres ikke.
2. Detektionsevne: Overvågningspersonale skal kunne identificere og reagere på anomalier, fejlfunktioner og utilsigtede udfald — herunder bias-relaterede mønstre.
3. Afbrydelsesmulighed: Systemet skal have en "stop-knap" — en mekanisme, der giver mulighed for at afbryde eller tilsidesætte AI'ens output i konkrete tilfælde.

I praksis betyder det, at virksomheder skal implementere struktureret træning for de medarbejdere, der arbejder med AI-systemet, og dokumentere denne træning. Et AI-baseret scoringssystem i et forsikringsselskab i Aarhus skal altså have en sagsbehandler, der kan tilsidesætte automatiske afvisninger og forklare afgørelsen over for kunden.

Se også, hvad USA's præsident strammer tech-reguleringen i 2026 betyder for sammenhængen med internationale AI-regler.

Krav 5: Robusthed, nøjagtighed og cybersikkerhed

Artikel 15 kræver, at høj-risiko AI-systemer er designet til at opnå en passende grad af nøjagtighed, robusthed og cybersikkerhed. Systemet skal fungere konsistent og pålideligt, også under uforudsete omstændigheder.

Det indebærer:

• Nøjagtighed: Systemet skal levere resultater, der er dokumenterbart korrekte for den tilsigtede anvendelse. Fejlrater skal dokumenteres og kommunikeres til brugerne.
• Robusthed: Systemet skal modstå fejl, angreb og variationer i input-data uden at producere farlige eller villedende resultater. Det inkluderer beskyttelse mod adversarial attacks (input-manipulation designet til at snyde AI-systemet).
• Cybersikkerhed: Systemet skal beskyttes mod uautoriseret adgang og forsøg på at manipulere træningsdata, AI-modellen eller output. NIS2-direktivet (Direktiv (EU) 2022/2555) stiller supplerende krav til virksomheder inden for kritisk infrastruktur.

À retenir: Robusthed er ikke en feature — det er et compliance-krav. Virksomheder bør udføre regelmæssige penetrationstest og sårbarhedsanalyser specifikt rettet mod AI-systemets angrebsflade, ikke kun den generelle IT-infrastruktur.

Deepfakes og AI-manipulerede data er allerede et problem, som Kick forbyder AI deepfakes: 5 ting din virksomhed skal vide behandler i detaljer.

Konsekvenser ved manglende overholdelse fra 2. august 2026

Overholdelse af EU AI Act er ikke valgfrit. Artikel 99 fastlægger et trestrenget sanktionssystem:

For SMV'er gælder altid den laveste af de to sanktionsgrænser. Det er Datatilsynet og den kommende nationale AI-myndighed, der forventes at håndhæve reglerne i Danmark i samarbejde med Europa-Kommissionen.

Udover bøderne risikerer virksomheder, at deres høj-risiko AI-system tages ud af drift — med potentielle driftsforstyrrelser og omdømmeskader til følge. Kunder og samarbejdspartnere vil i stigende grad kræve dokumentation for AI Act-compliance som betingelse for samarbejde, særligt inden for finans, forsikring og sundhed.

Virksomheder, der allerede har styr på GDPR-compliance, har et solidt fundament. Normal-app og dine data: GDPR-rettigheder for danskere i 2026 viser, hvordan databeskyttelse og AI-regulering hænger tæt sammen i den digitale hverdag.

Sådan forbereder din virksomhed sig inden 2. august

Compliance med EU AI Act kræver handling nu. Her er en prioriteret handlingsplan:

1. Kortlæg dine AI-systemer (nu): Gennemgå alle AI-løsninger i virksomheden og vurdér, om de falder under bilag III's høj-risiko kategorier. Hent EU-Kommissionens officielle klassificeringsguide som reference.
2. Udpeg en AI-compliance ansvarlig (inden 1. juli 2026): Én person eller funktion skal eje compliance-processen og koordinere med IT, jura og HR.
3. Auditr dine dataprocesser (inden 1. juli 2026): Gennemgå træningsdatasets for bias, mangler og GDPR-overensstemmelse.
4. Opbyg teknisk dokumentation (løbende): Brug EU AI Acts annex IV som skabelon og start dokumentationen i dag — ikke dagen før fristen.
5. Implementér menneskelig overvågning (inden 2. august 2026): Opdatér arbejdsgange og træn personale, der interagerer med AI-systemerne.
6. Test robusthed og sikkerhed (inden 2. august 2026): Udfør en dedikeret AI-sikkerhedsgennemgang med fokus på adversarial robusthed.

Avertissement: De oplysninger, der fremgår af denne artikel, er udelukkende af informativ karakter og udgør ikke juridisk rådgivning. Kontakt en advokat med speciale i EU-regulering og teknologiret for rådgivning om din virksomheds specifikke situation.