Maurice Müller
Senior Content Manager
Maurice Müller er journalist og content strategist med erfaring inden for trykte og digitale medier. Hos Formalize omsætter han komplekse compliance- og regulatoriske emner til klart og praktisk indhold for fagfolk inden for compliance, risiko og sikkerhed på tværs af Europa.
Centrale pointer
Forpligtelser vedrørende højrisiko-AI for selvstændige systemer er udskudt fra august 2026 til december 2027. For AI, der er integreret i regulerede produkter, gælder udskydelsen til august 2028.
GPAI-modeller, generelt forbudte anvendelser og generelle gennemsigtighedsforpligtelser gælder fortsat efter den oprindelige tidsplan. Kun kravene om vandmærkning i art. 50, stk. 2, er blevet tilpasset med en overgangsperiode indtil 2. december 2026 for systemer, der allerede er på markedet.
Kun 5 til 15 % af de AI-systemer, der er ibrugtaget i organisationer, falder ind under EU's AI-forordnings anvendelsesområde, men tilstødende reguleringer som GDPR, NIS2 og DORA gælder stadig for resten.
Udsættelsen skyldes manglen på færdiggjorte tekniske standarder, ikke lempede regulatoriske forventninger.
Passivitet er ikke en strategi: arbejdet med opgørelse, klassificering og governance bør allerede være i gang.
Hvad er EU's AI-forordning?
EU's AI-forordning (Forordning (EU) 2024/1689) er en produktsikkerhedsforordning, som fastsætter specifikke krav til AI-modeller og -systemer, der ibrugtages i EU. Det er det første overordnede regelsæt for AI i Europa og gælder direkte i alle medlemsstater – til forskel fra et direktiv, som kræver gennemførelse i national lovgivning.
Forordningen anvender en risikobaseret tilgang og opdeler AI-systemer i fire risikoniveauer: uacceptabel risiko (forbudt), høj risiko, begrænset risiko og minimal risiko. De fleste compliance-forpligtelser fokuserer på kategorien med høj risiko.
En af de mest almindelige fejl, organisationer begår, er at behandle AI-forordningen som en cybersikkerhedsforordning. Det er det ikke. Den har sit afsæt i produktsikkerhedslovgivningen og indeholder eksplicitte beskyttelser af grundlæggende rettigheder. Denne forskel har stor betydning for, hvordan organisationer griber compliance an, og hvilke interne teams der skal stå i spidsen for det. Et cybersikkerhedsteam alene vil ikke være nok.
Hvad er den digitale omnibus om AI, og hvad ændrede den?
Den digitale omnibus om AI er en række målrettede ændringer af EU's AI-forordning, som blev formelt vedtaget i juli 2026. Den var en del af en bredere EU-forenklingsindsats, der delvist var drevet af bekymringer om regulatorisk kompleksitet beskrevet i Mario Draghis rapport fra 2024 om EU's konkurrencedygtighed.
Den primære årsag til ændringen var praktisk: Størstedelen af de tekniske standarder, der var nødvendige for at udmønte kravene i AI-forordningen for højrisikosystemer i praksis, var ikke færdiggjort. Uden disse standarder havde organisationer ingen klar måde at dokumentere compliance på. Omnibus-pakken forlængede fristerne for at tilpasse dem til det tidspunkt, hvor standarderne forventes at være tilgængelige.
Frister forlænget for højrisiko-AI-systemer
Selvstændige højrisiko-AI-systemer oplistet i bilag III (som dækker anvendelsesscenarier såsom rekrutteringsværktøjer, kreditvurdering, retshåndhævelse, uddannelse og grænsekontrol) skal nu overholde kravene senest den 2. december 2027, forlænget fra den 2. august 2026.
Højrisiko-AI-systemer indbygget i regulerede produkter under bilag I (såsom medicinsk udstyr, maskiner og køretøjer) udskydes til den 2. august 2028, forlænget fra den 2. august 2027.
Nye forbud tilføjet
Omnibus-pakken introducerer nye forbudte AI-praksisser, der dækker systemer, som genererer uønsket intimt billedmateriale og materiale med seksuelt misbrug af børn. Disse gælder med det samme.
Gennemsigtighedsforpligtelser justeret
Krav om vandmærkning og oplysning om syntetisk indhold i henhold til artikel 50, stk. 2, gælder nu fra den 2. december 2026 for systemer, der allerede er på markedet. Nye systemer skal overholde kravene fra den dato, de bringes i omsætning.
Hvad blev ikke ændret
Den grundlæggende opbygning i AI-forordningen er uændret. Det risikobaserede klassifikationsrammeværk, de fire niveauer, forpligtelserne for general-purpose AI-modeller (GPAI) og AI-kontorets tilsynsrolle forbliver alle uændrede. Fristforlængelsen gælder ikke for GPAI-forpligtelser eller for de generelle forbudte anvendelsesscenarier, der allerede er trådt i kraft.
Hvem gælder EU's AI-forordning for?
AI-forordningen skelner primært mellem to roller i AI-værdikæden.
Udbydere er organisationer, der udvikler et AI-system og bringer det i omsætning eller tager det i brug under eget navn eller varemærke. Dette omfatter organisationer, der udvikler AI-systemer udelukkende til intern brug: Hvis I bygger et system, der aldrig har været på markedet før, og tager det i brug internt, betragtes I som udbyder i henhold til forordningen.
Idriftsættere er organisationer, der anvender et AI-system i en erhvervsmæssig sammenhæng. Hvis I bruger et AI-værktøj, der er udviklet af en leverandør, er I ibrugtageren. Jeres forpligtelser afhænger af systemets risikoklassificering, og hvad jeres leverandør er ansvarlig for i henhold til kontrakten.
En vigtig nuance: Hvis en ibrugtager anvender et AI-system på en måde, som udbyderen ikke havde til hensigt, eller som er udtrykkeligt forbudt i deres servicevilkår (for eksempel ved at anvende et generelt værktøj til et højrisikoscenarie), kan ibrugtageren automatisk blive udbyder af et højrisikosystem.
At fastlægge jeres rolle for hvert system, I bruger eller bygger, er det første skridt i ethvert AI-compliance-program. Formalizes compliance-platform til EU's AI-forordning er bygget specifikt til idriftsættere og hjælper teams med at kortlægge AI-systemer, klassificere anvendelsesscenarier og vedligeholde dokumentation, der er klar til revision, samlet ét sted.
Hvad er de centrale compliance-steps?
Udsættelsen af fristen ændrer ikke på compliance-arbejdet. Den ændrer, hvornår forpligtelserne bliver håndhævbare.
Opbyg og vedligehold en AI-oversigt
Dokumentér ethvert AI-system, som jeres organisation udbyder eller tager i brug. For hvert system besvares følgende: Udgør det et AI-system i henhold til forordningen? Hvad er jeres rolle (udbyder eller idriftsætter)? Kan I dokumentere og forsvare den begrundelse over for en auditor?
Klassificér det enkelte system
Fastlæg risikoklassificeringen for hvert AI-system baseret på dets anvendelsesscenarie og kontekst. Klassificering er ikke en engangsøvelse. Hvis et system ændrer formål eller anvendes i en ny kontekst, kan dets klassificering ændre sig. Bemærk, at visse nationale vejledninger om klassificering i henhold til AI-forordningen er blevet kritiseret for at behandle det som en cybersikkerhedsøvelse: Vejledning på EU-plan fra AI-kontoret bør være den primære reference.
Vurder jeres forpligtelser og aftal en RACI med leverandører
Afdæk for hvert system, hvilke forpligtelser der gælder, og hvem der er ansvarlig for hvad. Hvis I tager et højrisiko-AI-system i brug, som er udviklet af en leverandør, bør jeres leverandør kunne forklare sin compliance-køreplan frem mod fristen i december 2027.
Omsæt krav til operationel governance
Krav skal omsættes til politikker, processer, uddannelsesprogrammer og overvågningsprocedurer. Dette er ikke dokumentation for dokumentationens skyld. Det er fundamentet for audit-parathed, indsamling af dokumentation og løbende tilsyn.
Overvåg løbende
Compliance er ikke et projekt med en slutdato. AI-systemer ændrer sig, anvendelsesscenarier udvikler sig, og den regulatoriske vejledning opdateres løbende. Indbyg overvågning i den normale drift og ikke kun i spurter op til fristen.
En bemærkning om SMV'er og Small Mid-Caps
Da de fleste EU-virksomheder er SMV'er, udvider den digitale omnibus også de eksisterende forenklingstiltag. SMV'er og startups – og ikke kun mikrovirksomheder som tidligere – kan nu dokumentere overholdelse af visse elementer i det obligatoriske kvalitetsstyringssystem for højrisiko-AI-systemer på en forenklet måde. Andre lempelsesforanstaltninger er blevet udvidet til den nyligt oprettede kategori Small Mid-Cap (SMC), som er defineret som organisationer, der ikke er SMV'er, beskæftiger færre end 750 personer og har en årlig omsætning på højst 150 mio. EUR eller en samlet årlig balance på højst 129 mio. EUR.
Hvad med AI-systemer, der ikke er omfattet af EU's AI-forordning?
Dette er et af de vigtigste punkter at forstå. Ifølge Europa-Kommissionens egen konsekvensanalyse falder kun 5 til 15 % af de AI-systemer, der anvendes i organisationer, ind under EU's AI-forordning.
Det betyder ikke, at resten er uregulerede.
GDPR gælder for alle AI-systemer, der behandler personoplysninger, hvilket omfatter de fleste AI-værktøjer i den daglige drift. Organisationer er som dataansvarlige og/eller databehandlere ansvarlige for de data, de indfører i AI-systemer. Som et minimum kræver det, at man definerer eller opdaterer interne politikker, kriterier for dataklassifikation og brugsanvisninger.
NIS2 og DORA gælder for organisationer inden for deres respektive anvendelsesområde, og AI-systemer, der berører kritisk infrastruktur, hændelseshåndtering eller tredjepartsrisiko, vil sandsynligvis være relevante for disse compliance-forpligtelser – selvom samspillet mellem sektorspecifikke regler og AI-forordningen kan være komplekst og afhænger af den konkrete kontekst.
Sektorspecifik regulering, såsom regler for medicinsk udstyr, finansielle tjenesteydelser og kritisk infrastruktur, kan også stille krav til AI-systemer, der falder uden for EU's AI-forordning.
Internationale standarder som ISO 42001 og NIST AI Risk Management Framework giver brugbare rammer for governance, men de svarer ikke til overholdelse af EU's AI-forordning. En organisation med en moden ISO 42001-implementering vil have lettere ved compliance-processen for AI-forordningen, men de to rammeværk har forskellige formål og kan ikke erstatte hinanden.
Hvordan hænger AI-governance sammen med eksisterende GRC-frameworks?
For organisationer, der allerede håndterer NIS2, DORA, ISO 27001 eller GDPR, er AI-governance ikke et særskilt program. Det er en udvidelse af den eksisterende compliance-infrastruktur.
Kernekompetencerne er de samme: at risikovurdere, kortlægge kontroller, indsamle dokumentation og opretholde audit-parathed. Det, der ændrer sig, er emnet. AI-systemer, deres anvendelsesscenarier og hvordan de styres, træder i stedet for de regelsæt, som compliance-teams er vant til at arbejde med.
Organisationer, der allerede har strukturerede GRC-workflows, er bedre stillet i forhold til at løfte kravene til AI-governance, fordi den operationelle model er velkendt. Udfordringen er ofte ikke at forstå, hvad der skal ske, men at forbinde de rette teams og sikre, at AI-systemer registreres og klassificeres, før de tages i brug – ikke bagefter.
Sådan kommer I i gang
Det praktiske udgangspunkt er en fortegnelse. Før I kan foretage klassificering, kortlægning af forpligtelser eller due diligence af leverandører, skal I have et klart overblik over, hvilke AI-systemer jeres organisation udbyder eller anvender, hvad de gør, og hvem der er ansvarlig for dem.
Derfra er arbejdet stort set velkendt for enhver compliance-afdeling: klassificer, vurder forpligtelser, tildel ejerskab, dokumenter og opbyg dokumentation løbende i stedet for i en hektisk slutspurt før deadlinen.
Formalize understøtter AI-governance som en del af et bredere GRC-rammeværk, herunder kortlægning af AI-systemer, arbejdsgange til risikovurdering, hændelseshåndtering og foruddefinerede konfigurationer til både idriftsættere under EU's AI-forordning og organisationer, der implementerer ISO 42001. For organisationer, der allerede anvender Formalize til at håndtere NIS2, DORA eller ISO 27001, indgår AI-governance i den samme struktur i stedet for at skulle fungere som en seperat arbejdsgang.