AI Act og GDPR: hvad danske virksomheder skal vide om AI i 2026

For de fleste danske virksomheder handler AI-reglerne i 2026 om fire ting: I skal understøtte medarbejdernes AI-færdigheder, persondata må kun behandles i værktøjer med de rigtige aftaler, realistisk AI-genereret indhold skal i visse tilfælde mærkes, og nogle former for AI er forbudt. De tunge krav til højrisiko-AI er udskudt til december 2027 og august 2028 med EU's digitale omnibus-pakke.

Artiklen er en praktisk gennemgang skrevet ud fra de officielle kilder pr. oktober 2026. Den er ikke juridisk rådgivning, så tal med en jurist, hvis I er i tvivl om jeres konkrete situation.

AI-forordningens tidslinje, som den ser ud nu

AI-forordningen (forordning (EU) 2024/1689, ofte kaldet AI Act) gælder direkte i alle EU-lande. Den trådte i kraft 1. august 2024 og indfases gradvist. I november 2025 foreslog EU-Kommissionen en række forenklinger, den såkaldte digitale omnibus om AI. Rådet gav den endelige godkendelse 29. juni 2026, og ændringerne blev vedtaget 8. juli 2026 som forordning (EU) 2026/1744. De trådte i kraft 27. juli 2026.

Fristerne efter ændringerne, ifølge Kommissionens oversigt og den konsoliderede artikel 113:

Overgangsreglen for mærkning står i den konsoliderede artikel 111, stk. 4. Digitaliseringsstyrelsen har en dansk gennemgang af alle ændringerne.

Bruger I AI til at screene ansøgere eller vurdere medarbejdere, kan systemet være højrisiko efter bilag III, der dækker beskæftigelse. I så fald giver udskydelsen tid til at forberede jer, og det er klogt at bruge den.

Hvem fører tilsyn i Danmark

Digitaliseringsstyrelsen koordinerer implementeringen af AI-forordningen i Danmark og er det centrale kontaktpunkt. Indtil videre forventes Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen at føre tilsyn med reglerne om forbudt AI. Tilsynet med højrisiko-AI bliver fordelt efter sektor og var ifølge styrelsen endnu ikke endeligt på plads. EU-Kommissionens AI-kontor fører tilsyn med AI-modeller til almen brug, som dem bag ChatGPT, Claude og Gemini.

Artikel 4: krav om AI-færdigheder

Artikel 4 er den regel, der rammer bredest, fordi den gælder alle virksomheder, der bruger AI-systemer i deres arbejde. Forordningen kalder jer "idriftsættere", og det omfatter al professionel brug. Kun rent privat brug er undtaget, jf. definitionen i artikel 3.

Med omnibussen blev ordlyden blødt op. Før stod der, at man så vidt muligt skulle sikre et tilstrækkeligt niveau af AI-færdigheder. Den gældende artikel 4 siger nu, at udbydere og idriftsættere skal træffe foranstaltninger, der understøtter udviklingen af AI-færdigheder hos deres personale og andre, der bruger systemerne på deres vegne. Der står samtidig, at forpligtelsen ikke kræver, at man garanterer et bestemt niveau hos den enkelte medarbejder. Det er altså stadig et krav, men et krav om indsats, ikke om et bestemt resultat.

Hvad det betyder i praksis, beskriver EU-Kommissionen i sin Q&A om AI-færdigheder:

• Der er ikke krav om et bestemt kursus eller et certifikat.
• Det er ikke nok bare at bede medarbejderne læse brugsanvisningen.
• Medarbejdere, der fx bruger ChatGPT til annoncetekster eller oversættelser, bør kende de konkrete risici, som hallucinationer.
• I kan føre en intern oversigt over træning og vejledninger.
• Tilsyn og håndhævelse gælder fra august 2026.

Omsat til hverdagen betyder det tre ting: træn folk på de værktøjer og opgaver, de faktisk bruger, skriv retningslinjer ned, og gem dokumentation for, hvem der har fået hvilken træning.

GDPR: persondata i AI-værktøjer

AI-forordningen ændrer ikke GDPR. Hvis I lægger personoplysninger ind i et AI-værktøj, er det en behandling af personoplysninger, og I er som udgangspunkt dataansvarlige. Datatilsynet har samlet sin vejledning på en side om kunstig intelligens.

Ingen persondata i private og gratis konti

Mange forbrugerplaner kan bruge jeres samtaler til at træne modellerne. Hos Anthropic gælder det fx Claude Free, Pro og Max, hvor brugeren selv vælger, om samtaler må bruges til træning, og hvor data gemmes i op til fem år, hvis træning er slået til (Anthropic). Det er ikke et sted til kundelister, CV'er eller sager om navngivne medarbejdere.

Vælg erhvervsplaner med databehandleraftale

Når en leverandør behandler personoplysninger på jeres vegne, er den databehandler, og ifølge Datatilsynet skal der være en databehandleraftale. Datatilsynet forventer også, at I som dataansvarlige fører et vist tilsyn med, at aftalen overholdes.

De store leverandører tilbyder det på deres erhvervsplaner. OpenAI træner som udgangspunkt ikke på data fra ChatGPT Business, Enterprise og API og kan indgå en databehandleraftale (OpenAI). Hos Anthropic er databehandleraftalen automatisk en del af de kommercielle vilkår, der gælder for Claude for Work (Team og Enterprise) og API'et (Anthropic).

Gennemsigtighed over for kunder og medarbejdere

Hvis I bruger AI til at behandle oplysninger om kunder, ansøgere eller medarbejdere, skal det fremgå af jeres privatlivspolitik, ligesom ved enhver anden behandling. Overvej også, om behandlingen kræver en konsekvensanalyse. Datatilsynet har en skabelon til konsekvensanalyse ved AI på siden om kunstig intelligens.

Mærkning af AI-genereret indhold i marketing

Artikel 50 gælder fra 2. august 2026 og har to sider:

Udbyderne af generative værktøjer skal mærke output i et maskinlæsbart format, så det kan genkendes som AI-genereret. Det er leverandørernes opgave, ikke jeres.

Idriftsættere, altså jer, skal oplyse, at indhold er kunstigt genereret eller manipuleret, når det er en deepfake. En deepfake er ifølge artikel 3 AI-genererede eller manipulerede billeder, lyd eller video, der ligner eksisterende personer, genstande, steder, enheder eller begivenheder, og som fejlagtigt vil fremstå som ægte. Er indholdet en del af et tydeligt kunstnerisk, kreativt, satirisk eller fiktivt værk, er kravet begrænset til at oplyse om det på en måde, der ikke ødelægger oplevelsen af værket.

AI-genereret tekst, der offentliggøres for at informere offentligheden om emner af offentlig interesse, skal også mærkes. Det gælder ikke, hvis teksten har været igennem menneskelig gennemgang eller redaktionel kontrol, og en person eller virksomhed har det redaktionelle ansvar.

For marketing betyder det i praksis:

• Et realistisk AI-billede eller en AI-video af en person, en butik eller en begivenhed, som kan forveksles med virkeligheden, skal mærkes.
• En tydeligt stiliseret illustration eller en åbenlyst fantasifuld scene fremstår ikke ægte og falder derfor typisk uden for definitionen, men vurder det konkret.
• Tekster, som en medarbejder har gennemgået, og som virksomheden har det redaktionelle ansvar for, er som udgangspunkt dækket af undtagelsen.

Kommissionen har udgivet retningslinjer om gennemsigtighed for AI-genereret indhold med eksempler. Min anbefaling er enkel: lav én fast regel for, hvordan I mærker realistiske AI-billeder og AI-video, fx "Billedet er lavet med AI" i billedteksten, og brug den konsekvent. Det er lettere end at vurdere fra opslag til opslag.

Tjekliste: 7 punkter til en intern AI-politik

En AI-politik behøver ikke være lang. Den skal være så kort, at folk læser den, og så konkret, at de kan bruge den.

Intern AI-politik for [virksomhed]   Version [dato]   Ansvarlig: [navn]

1. Godkendte værktøjer
   Vi bruger [værktøj] på vores erhvervsplan. Private konti og gratisversioner
   må ikke bruges til arbejdsopgaver.

2. Data
   Ingen personoplysninger, kundedata, kontrakter eller fortrolige tal i
   værktøjer uden databehandleraftale. Er du i tvivl, så anonymisér eller lad være.

3. Kvalitet og fakta
   Alt AI-genereret indhold gennemgås af en medarbejder før brug.
   Tal, navne, citater og kilder tjekkes altid.

4. Mærkning
   Realistiske AI-billeder og AI-video af personer, steder eller begivenheder
   mærkes med "Lavet med AI". Vi bruger ikke AI til at efterligne rigtige
   personer uden deres samtykke.

5. Forbudte og følsomme områder
   Vi bruger ikke AI til at træffe beslutninger om ansættelse, løn eller
   kundekredit uden menneskelig vurdering og godkendelse fra [ansvarlig].

6. Træning
   Alle, der bruger AI i arbejdet, får introduktion til værktøjet, denne
   politik og typiske fejl som hallucinationer. Vi fører en oversigt over,
   hvem der har fået hvilken træning.

7. Ansvar og opdatering
   [Navn] ejer politikken, besvarer spørgsmål og opdaterer den mindst
   hvert halve år, eller når vi tager nye værktøjer i brug.

Punkt 6 kan indgå i jeres dokumentation for indsatsen efter artikel 4. Punkt 2 og 4 er dem, der oftest kræver en konkret vurdering.

Vil I have hjælp til at komme i gang, laver jeg AI-workshops for virksomheder, hvor teamet bliver trænet i at bruge AI på jeres egne opgaver, og hvor vi samtidig får styr på retningslinjer og en oversigt over træningen, som I kan bruge som dokumentation.

Har I brug for en plan for hele indførelsen, har jeg skrevet en guide til AI i små virksomheder på 30 dage.

Ofte stillede spørgsmål

Gælder AI Act for små virksomheder?

Ja, AI-forordningen gælder også for små virksomheder, der bruger AI i arbejdet. For de fleste er det mest relevante kravet om AI-færdigheder i artikel 4, forbuddene i artikel 5 og mærkningskravene i artikel 50. De omfattende krav til højrisiko-AI gælder kun bestemte anvendelser, fx rekruttering, og er udskudt til december 2027.

Må man bruge ChatGPT eller Claude med persondata?

Kun med en plan, hvor leverandøren er databehandler, og der er en databehandleraftale, og kun når I i øvrigt har lovligt grundlag for behandlingen. Private og gratis konti bør ikke bruges til personoplysninger. OpenAI og Anthropic træner som udgangspunkt ikke deres modeller på data fra erhvervsplaner som ChatGPT Business og Claude Team.

Skal man skrive, at et opslag er lavet med AI?

Det afhænger af indholdet. Realistiske AI-billeder, lyd og video, der ligner virkelige personer, steder eller begivenheder og fejlagtigt kan fremstå som ægte, skal mærkes efter artikel 50 fra 2. august 2026. Tekst, som en medarbejder har gennemgået, og som virksomheden har det redaktionelle ansvar for, er som udgangspunkt undtaget.