De fleste virksomheder opdager først, at AI Act rammer dem, når en kunde, en leverandør eller en intern audit spørger: “Kan I dokumentere, at jeres AI er compliant?” På det tidspunkt er det ofte for sent at gøre det nemt og billigt.
I denne artikel får du et praktisk overblik over, hvad AI Acts indfasning betyder i hverdagen: hvilke systemer der typisk bliver ramt, hvilke deadlines og arbejdsgange der ændrer sig, og hvordan du kan forberede dig uden at kvæle innovationen. Du får også konkrete eksempler, typiske faldgruber og en handlingsplan, du kan bruge som afsæt i din egen organisation.
Kort fortalt: AI Act er EU’s fælles regelsæt for udvikling, udbud og brug af kunstig intelligens, især hvor AI kan påvirke sikkerhed, rettigheder eller centrale beslutninger. Det betyder noget, fordi kravet ikke kun handler om “jura” — men om dokumentation, data, leverandørstyring og drift.
AI Act i praksis: hvad ændrer sig for virksomheder?
AI Act bliver ofte omtalt som en “compliance-opgave”, men den praktiske betydning er, at AI går fra at være et IT-initiativ til at blive et tværgående ansvar på linje med informationssikkerhed og GDPR. Du skal kunne vise, hvordan et AI-system er valgt, testet, overvåget og styret.
For mange virksomheder vil de største ændringer ligge i tre ting: 1) systemklassificering (hvilken risikokategori falder jeres AI i?), 2) dokumentationskrav (hvad skal I kunne fremvise?), og 3) løbende governance (hvordan sikrer I, at systemet fortsat opfører sig som forventet, når data og kontekst ændrer sig?).
Mini-konklusion: AI Act gør “AI i drift” til et kontrolleret miljø, hvor sporbarhed og ansvarlighed bliver en del af hverdagsprocesser.
Indfasningen: hvorfor timing er en konkurrencefordel
Indfasning betyder, at kravene træder i kraft over tid, og at forskellige typer AI bliver ramt forskelligt. Den praktiske udfordring er, at forberedelse ikke kan klares i en sprint: du skal have styr på jeres AI-portefølje, jeres leverandørkæde og jeres interne beslutningsprocesser.
Vil du have en mere præcis gennemgang af, hvornår de centrale dele forventes at gælde, kan du se hvornår gælder AI Act og bruge det som reference i din interne planlægning.
Timing bliver en konkurrencefordel, fordi de virksomheder der forbereder sig tidligt typisk kan:
- genbruge artefakter (risikovurderinger, testprotokoller, databeskrivelser) på tværs af projekter
- forhandle bedre kontrakter med leverandører, før standardvilkår “låses”
- undgå stop-and-go implementeringer, hvor projekter sættes på pause pga. manglende dokumentation
- få hurtigere godkendelser i indkøb, IT-sikkerhed og compliance
Mini-konklusion: Tidlig forberedelse handler mindre om at “skynde sig” og mere om at skabe en gentagelig proces, så AI kan skaleres uden kaos.
Hvilke AI-løsninger bliver typisk ramt i en dansk virksomhed?
Mange tror, at AI Act kun gælder “avanceret” AI. I praksis vil en stor del af AI i virksomheder være enten indlejret i standardsoftware eller leveret som en cloud-tjeneste. Det kan stadig udløse krav til jer som bruger (deployers) eller som udbyder, afhængigt af jeres rolle.
Eksempler på AI i drift, der ofte kræver afklaring
- rekrutterings- og HR-værktøjer, der scorer kandidater eller foreslår frasortering
- kredit- og risikomodeller i finans, leasing eller B2B-kreditvurdering
- kundeservice-chatbots, der håndterer klager, opsigelser eller rådgivning med konsekvenser for kunden
- overvågning/fraud-detection, der kan føre til spærring af konti, afvisning af transaktioner eller ekstra kontrol
- AI i kvalitetskontrol/produktion, hvis den påvirker sikkerhed eller kritiske beslutninger
Generativ AI: den skjulte udbredelse
Generativ AI (fx tekst- og billedmodeller) er ofte kommet ind ad bagdøren: medarbejdere bruger værktøjer til e-mails, tilbud, kode eller opsummering af møder. Her opstår praktiske spørgsmål som: bliver fortrolige data sendt ud? Kan output genbruges i kundemateriale uden kvalitetssikring? Og kan I dokumentere, hvilke prompt- og datapraksisser der bruges?
Mini-konklusion: Start med at finde AI “i periferien” — det er ofte dér, den største compliance-gæld opstår.
Fra lovtekst til arbejdsgang: sådan ser compliance ud i praksis
AI Act bliver først håndterbar, når den oversættes til konkrete kontrolpunkter. I praksis handler det om at etablere et “spor” fra formål → data → model → test → drift → overvågning → ændringer. Det er den samme disciplin, mange kender fra ISO 27001 eller GDPR, men med AI-specifikke elementer som modelperformance, bias og robusthed.
Minimums-setup: de dokumenter og rutiner, der typisk skal på plads
- AI-inventar: en liste over AI-systemer (inkl. dem i standardsoftware), formål, ejer, leverandør og datatyper.
- Risikoklassificering: vurdering af om systemet er forbudt, højrisiko, begrænset risiko eller minimal risiko.
- Data- og inputkontrol: hvor data kommer fra, hvilke kvalitetskrav der gælder, og hvordan dataændringer håndteres.
- Test og validering: målinger før go-live (fx præcision, falske positiver, fairness-indikatorer, robusthed).
- Human oversight: hvem kan overstyre, hvornår, og hvordan dokumenteres beslutninger?
- Driftsovervågning: alarmer ved performance-drift, fejltyper og ændringer i inputmønstre.
- Change management: hvad udløser re-test, og hvem godkender ændringer?
Det lyder omfattende, men i mange virksomheder kan 70–80% dækkes af skabeloner og en fast proces. Det vigtigste er, at det ikke bliver et engangsprojekt, men et sæt gentagelige kontroller.
Mini-konklusion: Den praktiske genvej er at bygge et “AI management system” med samme logik som jeres øvrige governance — ikke at opfinde et parallelt spor.
Hvad koster det at blive klar? Tænk i modenhed frem for “én stor regning”
Spørgsmålet “hvad koster det?” har sjældent et enkelt svar, fordi det afhænger af, hvor meget AI I har i drift, og hvor reguleringsfølsomt jeres domæne er. Men der er en nyttig måde at tænke på: omkostningen følger jeres modenhed.
Som tommelfingerregel ser jeg (i praktiske implementeringer) tre budgetspor, der ofte bliver undervurderet:
- Overblik og inventar: tid til at kortlægge AI, lave rollefordeling og få styr på leverandørlandskab.
- Dokumentation og test: etablering af testpakker, logning, målepunkter og “evidence” til audit.
- Drift og vedligehold: løbende monitorering, re-træning, incident-håndtering og ændringsstyring.
En praktisk sammenligning: Hvis GDPR var “datakortlægning og politikker”, er AI Act typisk mere som at indføre en kvalitetsstyring for beslutningsstøtte — med krav om, at det virker stabilt over tid, og at man kan forklare, hvad der skete, når noget går galt.
Mini-konklusion: Den billigste strategi er at etablere standarder og skabeloner nu, så nye AI-projekter ikke skal “opfinde compliance” fra bunden.
Typiske fejl (og hvordan du undgår dem)
De største faldgruber handler sjældent om ond vilje — de handler om, at AI bliver implementeret hurtigt, mens governance halter bagefter. Her er fejl, jeg ser igen og igen, og hvad der virker i praksis.
Fejl 1: “Det er leverandørens problem”
Mange AI-løsninger købes som standardsoftware, og det er fristende at antage, at leverandøren bærer hele byrden. Men som bruger har du stadig ansvar for kontekst, data, opsætning og brugsmønstre. Modtræk: indfør en fast leverandør-checkliste og kræv dokumentation, før indkøb godkendes.
Fejl 2: Ingen ejer i forretningen
Når AI ejes af IT alene, mangler der ofte en forretningsansvarlig, der kan definere acceptkriterier: hvornår er systemet “godt nok”, og hvad er en uacceptabel fejlrate? Modtræk: udpeg en systemejer i forretningen og en teknisk ejer, og giv dem fælles KPI’er.
Fejl 3: Man måler kun “accuracy”
Et system kan have høj præcision og stadig være problematisk, hvis det skaber skævheder, er sårbart over for inputændringer eller giver for mange falske positiver. Modtræk: definér et lille sæt driftsnære metrics, fx falsk positiv-rate, stabilitet over tid, og hvor ofte mennesker overstyrer output.
Mini-konklusion: Undgå at gøre AI Act til et dokumentprojekt. Det er en driftsdisciplin, og den skal have ejerskab, målinger og rutiner.
Sådan bygger du en forberedelsesplan på 30–60 dage
Du behøver ikke vente på fuld juridisk afklaring af hvert hjørne, før du kan starte. Der er en række “no-regret moves”, som næsten altid giver værdi: bedre overblik, bedre leverandørstyring og bedre kontrol med data.
- Uge 1–2: Lav et AI-inventar (inkl. pilotprojekter og “skygge-AI” i afdelinger). Prioritér de systemer, der påvirker kunder, ansatte eller adgang til ydelser.
- Uge 2–3: Lav en enkel risikoscreening og udpeg ejere. Hvis I er i tvivl om risikokategori, så behandl det midlertidigt som højere risiko i jeres governance.
- Uge 3–5: Standardisér leverandørkrav: databeskrivelser, test, logning, sikkerhed og support til audit. Få det ind i indkøbsflowet.
- Uge 5–8: Etablér driftsovervågning for de vigtigste løsninger: hvad måler I, hvor ofte, og hvad udløser handling?
- Løbende: Træn nøglepersoner (produkt, data, IT, juridisk, HR) i fælles begreber og beslutningskriterier.
Praktisk tip: hvis du kun kan nå én ting i første omgang, så etabler inventar + ejerstruktur. Uden det ved du ikke, hvor du skal sætte ind, og du kan ikke styre ændringer.
Mini-konklusion: 60 dage er nok til at skabe overblik, standarder og governance-rammer — og det gør resten af arbejdet markant lettere.
Bedste praksis: governance der ikke dræber innovation
En udbredt frygt er, at AI Act gør AI-arbejde langsomt. Men de virksomheder, der lykkes, bygger governance som “railway tracks”: klare spor, så teams kan bevæge sig hurtigt uden at falde af.
- Brug skabeloner til risikovurdering, testplan og beslutningslog, så hvert team ikke starter forfra.
- Indfør “stage gates” i AI-projekter: idé → pilot → begrænset produktion → fuld produktion, med klare krav pr. fase.
- Hold dokumentation tæt på arbejdet: gem evidens sammen med kode, konfiguration og release-noter, ikke i et separat slide-dæk.
- Design til forklarbarhed: vælg simpler modeller, når de løser opgaven godt nok; kompleksitet er en omkostning i drift.
- Lav incident-øvelser: hvad gør I, hvis modellen pludselig afviser 2× flere kunder end normalt?
Hvis du har arbejdet med informationssikkerhed, kender du mønsteret: de bedste kontroller er dem, der er indbygget i flowet. AI Act belønner netop den tilgang.
Mini-konklusion: God governance er ikke en bremseklods; det er en accelerator, når den er standardiseret og integreret i processer.
Hvem i organisationen skal involveres (og hvorfor det ofte går galt)
AI Act-beredskab falder ofte mellem stole, fordi AI ligger i krydsfeltet mellem forretning, IT, data og jura. En praktisk model er at etablere et lille tværgående forum, der kan træffe beslutninger hurtigt, og som har mandat til at stoppe eller ændre løsninger, når risikoen er for høj.
Typisk skal disse roller være repræsenteret:
- forretningsansvarlig/systemejer (formål, acceptkriterier, konsekvenser)
- data/ML-ansvarlig (modelvalg, test, monitorering)
- IT-drift og sikkerhed (logning, adgangsstyring, hændelseshåndtering)
- juridisk/compliance (kravfortolkning, dokumentation, kontrakter)
- procesejer i indkøb/vendor management (krav til leverandører)
Det går ofte galt, når governance bliver et “månedligt møde” uden beslutningskraft. Gør det i stedet operationelt: korte beslutningsveje, faste skabeloner og klare kriterier for, hvornår noget skal eskaleres.
Mini-konklusion: AI Act er tværgående, men det behøver ikke være tungt — hvis I giver få personer et tydeligt mandat og et enkelt beslutningsflow.