AI Act uden juristsprog

AI Act er forordning (EU) 2024/1689. En forordning gælder direkte i Danmark — der kommer ikke en dansk lov, du skal vente på. Formålet er at sikre, at AI-systemer, der bruges i EU, er sikre og respekterer grundlæggende rettigheder, samtidig med at der stadig er plads til at udvikle og bruge teknologien.

Forordningen behandler ikke al AI ens. Nogle få anvendelser er forbudte. Et afgrænset felt kaldes højrisiko og har tunge krav. En gruppe systemer har transparenskrav — modtageren skal vide, at der er AI involveret. Resten er almindelig anvendelse uden særlige systemkrav. Det betyder, at når du bruger et chatværktøj til at skrive et mødereferat, er du typisk i den sidste kategori.

Du skal ikke udvikle AI for at være omfattet. Den, der tager et AI-system i brug under egen myndighed i sin virksomhed, kaldes idriftsætter og har sine egne pligter. Hvor tunge de er, afhænger af, hvad systemet bruges til. Rollerne er modul 3.

AI Act handler om systemet og anvendelsen. GDPR handler om personoplysningerne. Bruger I AI på data om mennesker, gælder begge dele samtidig — og i praksis er det oftest GDPR, der først sætter grænser for, hvad I må lægge ind i værktøjet. Det tager vi i modul 8.

Artikel 3 definerer et AI-system som et maskinbaseret system, der er designet til at fungere med en grad af autonomi, som kan tilpasse sig efter idriftsættelse, og som ud fra input udleder, hvordan det skaber output — for eksempel forudsigelser, indhold, anbefalinger eller beslutninger, der kan påvirke fysiske eller virtuelle miljøer.

Det afgørende er, om systemet selv udleder resultatet, eller om et menneske har skrevet reglen på forhånd. Et regneark, der lægger tal sammen, følger en regel, du har bestemt. En sprogmodel, der skriver et svar, udleder ordene ud fra mønstre i sine data. Det første er automatisering. Det andet er AI.

Almindelige regneark og formler. Regelbaserede workflows af typen 'hvis felt A er tomt, send mail B'. Søgefunktioner, der matcher på ord. Statistik, I selv har defineret. Disse falder uden for definitionen — men husk, at GDPR stadig gælder for data i dem.

Prognoseværktøjer, anbefalingsmotorer i standardsoftware og scoringsmodeller ligger i gråzonen. Her kan svaret afhænge af, hvordan leverandøren har bygget systemet. Notér dem som 'undersøg nærmere' og spørg leverandøren direkte — de skal kunne svare.

Artikel 113 fastlægger en trinvis anvendelse. Forordningen trådte i kraft i august 2024. Reglerne om forbudte praksisser og om AI-færdigheder fik virkning 2. februar 2025. Reglerne om generelle AI-modeller og de nationale myndigheder fulgte i august 2025. Hovedparten af de øvrige regler, herunder store dele af højrisikoreglerne, følger i august 2026, og enkelte forpligtelser for produktintegreret AI har en længere frist.

Forbuddene og kravet om AI-færdigheder er allerede virkning. Det er derfor, kurset starter med register, screening og kompetencer: det er de tre ting, du både kan gøre nu og får brug for senere.

Forbudt: må ikke bruges, uanset samtykke eller gode intentioner. Højrisiko: tilladt, men med krav til dokumentation, datakvalitet, menneskeligt tilsyn og logning. Transparens: tilladt, men modtageren skal kunne se, at det er AI. Øvrige: ingen særlige systemkrav — men jeres egne regler, GDPR og god skik gælder stadig.

Anvendelsesdatoer og vejledninger opdateres. Brug forordningens artikel 113 og Kommissionens officielle side som kilde, og skriv datoen for din seneste kontrol ind i jeres dokumentation.