EU's AI-forordning og rådgivningsbranchen: det har ændret sig
6 minutters læsning
Den frist, alle holdt øje med, er netop flyttet til december 2027. To andre trådte i kraft i august. Her er, hvad et rådgivningsfirma skal gøre nu.
EU's AI-forordning (AI Act) har tre datoer, der allerede gælder, og én, der netop er flyttet. Hvis jeres firma har ventet på én samlet frist i AI-forordningen at planlægge efter, har det aldrig helt passet, og den digitale omnibuspakke fra juli 2026 har gjort det endnu mindre rigtigt. Nogle forpligtelser har gældt i over et år, mens den, de fleste forberedte sig på, er udskudt 15 måneder. Her forklarer vi, hvad det betyder for et konsulenthus eller analysefirma, der bruger AI i kundearbejdet.
Det trådte i kraft 2. august 2026
To ting skete den dag, og ingen af dem var den frist, alle talte om. Gennemsigtighedskravene i artikel 50 kan nu håndhæves: Udbydere og idriftsættere skal oplyse, når indhold er genereret med AI, mærke syntetisk lyd og video og fortælle folk, når de taler med en chatbot og ikke med et menneske. Samtidig fik AI-kontoret sine håndhævelsesbeføjelser over for udbydere af AI-modeller til almen brug (GPAI), altså de virksomheder, der udvikler de modeller, firmaer faktisk bruger i hverdagen.
Forpligtelserne for selvstændige højrisikosystemer under bilag III skulle oprindeligt gælde fra samme dato, men det gjorde de ikke. Den digitale omnibuspakke, der trådte i kraft 27. juli 2026, udskød fristen til 2. december 2027. Står der stadig august 2026 ud for højrisikokravene i jeres compliancekalender, er den post forældet.
Hele tidslinjen i rækkefølge
| Dato | Det trådte i kraft | Hvem det gælder |
|---|---|---|
| 2. februar 2025 | Forbud mod bestemte former for AI-praksis; kravet om AI-færdigheder hos medarbejderne begynder | Alle udbydere og idriftsættere |
| 2. august 2025 | Forpligtelser for AI-modeller til almen brug: dokumentation, gennemsigtighed, begrænsning af systemisk risiko | Udbydere af AI-modeller til almen brug |
| 2. august 2026 | Gennemsigtighedskrav (oplysning om AI-genereret indhold, mærkning af deepfakes, oplysning om chatbots); AI-kontorets håndhævelse over for GPAI-udbydere | Udbydere og idriftsættere, hvis systemer genererer indhold eller interagerer med mennesker |
| 2. december 2027 (flyttet fra august 2026) | Højrisikokrav for selvstændige systemer under bilag III: rekruttering, kreditvurdering, uddannelse, kritisk infrastruktur | Udbydere og idriftsættere af netop de systemtyper |
| 2. august 2028 | Højrisikokrav for AI indbygget i allerede regulerede produkter under bilag I: medicinsk udstyr, maskiner, legetøj | Producenter af de produkter |
Europa-Kommissionens servicedesk for AI-forordningen har den officielle udgave af tidslinjen. Omnibuspakken rørte ikke ved de tidligere forpligtelser: forbudte former for praksis, AI-færdigheder, GPAI-udbydernes pligter og gennemsigtighedsreglerne. Kun højrisikodatoerne for bilag III og bilag I er flyttet.
Derfor gælder den flyttede frist nok ikke jer
Højrisikostatus under bilag III dækker ikke AI, der bruges til vigtigt arbejde i almindelighed. Bilaget oplister bestemte systemtyper: ansættelse og ledelse af arbejdstagere, kreditvurdering og kreditværdighed, uddannelse og bedømmelse af eksamener, retshåndhævelse, migration og grænsekontrol og en håndfuld andre oplistede kategorier. Hertil kommer AI indbygget i produkter som medicinsk udstyr eller maskiner under bilag I.
En researchassistent, et skriveværktøj eller en platform til kundearbejde, der bruges til analyser, rapporter eller første udkast, falder ikke i sig selv ind under bilag III. Det bliver kun relevant, hvis resultatet går direkte ind i en af de oplistede anvendelser. Et firma, der bygger et værktøj, som træffer automatiske ansættelsesbeslutninger, eller en kreditvurderingsmodel til en kunde, står et andet sted end et firma, der bruger AI til at researche og skrive den rapport, et menneske derefter gennemgår og leverer. De fleste konsulenthuse, bureauer og rådgivningsvirksomheder hører til i den anden gruppe, og for dem er fristen i december 2027 slet ikke fristen for deres daglige brug af AI.
For de fleste firmaer er det de forpligtelser, der allerede gælder, der betyder noget.
Det gælder for næsten alle firmaer lige nu
To forpligtelser kræver et rigtigt svar fra jeres firma, og en tredje ligger hovedsageligt hos jeres leverandør.
Kravet om AI-færdigheder hos medarbejderne har gældt siden februar 2025, og det er let at behandle det som noget, der skal krydses af, frem for noget, folk faktisk gør. Kravet er, at de, der bruger AI-systemer, forstår systemernes muligheder, begrænsninger og hensigtsmæssige brug. For et firma, der laver kundearbejde med AI, betyder det, at den, der gennemgår et udkast, ved, at et AI-udkast kan indeholde selvsikre, forkerte påstande, og tjekker kilderne, før arbejdet når kunden. Et politikdokument, som ingen har læst, opfylder ikke kravet.
Gennemsigtighedskravene gælder, når indhold er genereret med AI, eller når et system interagerer som et menneske, men om en bestemt leverance er omfattet, afhænger af leverancen. Tag det op med jeres egen juridiske rådgiver i stedet for selv at erklære jer i orden. Én ting kan I allerede nu gøre opmærksom på internt: En kundevendt chatbot eller AI-genereret indhold, der skal informere offentligheden, er omfattet af en oplysningspligt, som ikke fandtes før august 2026.
Forpligtelserne for udbydere af AI-modeller til almen brug ligger hos modelleverandøren, ikke hos det firma, der bruger modellen. Er jeres firma idriftsætter, ligger pligterne om dokumentation og systemisk risiko hos den, der har bygget modellen. Det, I med fordel kan spørge jeres egen leverandør om, er, om modellerne på platformen kommer fra udbydere, der opfylder de forpligtelser, for den risiko ligger hos modeludbyderen, et led før den enkelte idriftsætter.
Spørgsmål til AI-leverandøren, før I tror på »vi overholder AI-forordningen«
Siger en leverandør »vi er compliant« uden at gå i detaljer, svarer de på et spørgsmål, I ikke har stillet. Stil disse i stedet.
- Hvilke gennemsigtighedskrav i artikel 50 håndterer platformen som standard, og hvilke skal firmaet selv sætte op for hver anvendelse?
- Understøtter leverandøren medarbejdernes AI-færdigheder med rigtigt materiale, eller er det helt overladt til firmaet?
- Kræver noget af det kundevendte output, platformen laver, en oplysning, som firmaet skal tilføje manuelt?
- Hvis en anvendelse senere berører en kategori i bilag III, har leverandøren så en plan for det, eller ligger det helt uden for rammerne?
Kan en leverandør svare klart på alle fire, har de reelt styr på compliance. »Vi følger reguleringen tæt« besvarer ingen af dem.
Sådan hænger det sammen med hosting og adgang
Tidsplanen i reguleringen er én del af et firmas samlede AI-risiko. De andre dele er, hvor data hostes, hvem der kan se dem, og om aktiviteten logges. De følger ikke AI-forordningens tidsplan, og de betyder noget, uanset hvilken frist i bilag III der gælder for jer. AI-sikkerhed og tillid i kundearbejdet gennemgår, hvad I bør kræve af ethvert AI-værktøj, når det gælder hosting, træning og auditlog. Adgangsstyring til AI dækker rettighedssiden: om AI-værktøjet følger de adgangsregler, jeres firma allerede har. Det er et spørgsmål om kundernes tillid, uanset regulatorisk status.
Sådan gør Hebno
Hebno hoster kundedata i EU eller USA, efter kundens valg, og kundernes input bruges ikke til at træne nogen model. Aktiviteten registreres i en auditlog, så et firma kan svare, når en kunde spørger, hvordan AI er brugt på deres arbejde. Intet af det er juridisk rådgivning om, hvordan AI-forordningen gælder for jeres firmas konkrete leverancer. Det er et udgangspunkt for den samtale med jeres egen juridiske rådgiver og med enhver leverandør, hvis platform kommer i berøring med kundearbejde. Se sikkerhedssiden for alle detaljer, eller book en demo for at gennemgå jeres firmas opsætning.
