EU udskyder AI-forordningens hårdeste krav til 2027

På søndag skulle EU's AI-forordning have ramt sit tungeste nedslag. Højrisiko-reglerne med risikostyring, logning og menneskeligt tilsyn skulle begynde at gælde 2. august 2026. Det gør de ikke længere. Forordning (EU) 2026/1744 blev offentliggjort i EU-Tidende den 24. juli og trådte i kraft i dag, og den flytter fristen til 2. december 2027.

Det er den nyhed, overskrifterne bringer. Den mere brugbare er, at den frist de fleste danske virksomheder rent faktisk står over for, ikke er flyttet en dag.

Hvad der blev besluttet

Pakken hedder Digital Omnibus on AI og er Europa-Kommissionens forsøg på at lette den administrative byrde i den digitale lovgivning. Den ændrer AI-forordningen, maskinforordningen og luftfartsforordningen på én gang. Arbejdet begyndte med et kommissionsforslag i november 2025, landede som politisk aftale i maj og blev endeligt vedtaget hen over juni.

To frister rykker:

• Højrisiko-systemer i bilag III - de selvstændige systemer til biometri, kritisk infrastruktur, uddannelse, rekruttering, kreditvurdering og myndighedsudøvelse - går fra 2. august 2026 til 2. december 2027.
• Højrisiko-AI indbygget i regulerede produkter efter bilag I, altså medicinsk udstyr, maskiner, legetøj og elevatorer, går fra 2. august 2027 til 2. august 2028.

Begrundelsen er værd at hæfte sig ved, fordi den er usædvanligt ærlig. Kommissionen skriver, at tidslinjen skal bringes i overensstemmelse med, hvornår de harmoniserede standarder og værktøjer til overensstemmelsesvurdering faktisk foreligger. Oversat: kravene skulle have været opfyldt, før man havde færdiggjort de standarder, virksomhederne skulle måles op imod. Det er en reel forklaring, men det er også en indrømmelse af, at fristen aldrig var realistisk.

Det, der ikke blev udskudt

Her ligger den del, der er nem at overse i en uge med overskrifter om udskydelse. Artikel 50 om transparens er ikke rykket. Den gælder fra 2. august 2026, altså om seks dage.

Artikel 50 er samtidig den eneste del af forordningen, som langt de fleste danske virksomheder overhovedet bliver mødt af. Den siger to ting: en chatbot skal oplyse, at den er en AI og ikke et menneske, og AI-genereret indhold skal kunne identificeres som AI-genereret. Har jeres chatbot til hjemmesiden et fornavn og et profilbillede, men ingen oplysning om hvad den er, er det den rettelse, der haster.

For den maskinlæsbare mærkning af AI-genereret indhold er der en overgangsperiode. Systemer, der allerede er på markedet inden 2. august, har frist til 2. december 2026. I det endelige udkast blev den periode i øvrigt skåret ned fra seks måneder til tre, så også dér gik ændringen den stramme vej.

Det er ikke en afblæsning

Der er en fortolkning i omløb, som lyder på, at EU er ved at trække følehornene til sig på AI-regulering. Den holder ikke, når man læser resten af teksten.

Registreringspligten i EU-databasen består, om end med en lettere administrativ byrde for systemer, der er selvvurderet som ikke-højrisiko. Tilsynet med generelle AI-modeller er udvidet, så AI-kontoret nu fører tilsyn med alle systemer bygget på en generel model inden for samme koncern, ikke kun når udbyderen har lavet begge dele. Og der kom et helt nyt forbud til i artikel 5 mod systemer, der genererer seksuelt materiale med børn eller intime billeder uden samtykke, med frist 2. december 2026.

Lempelserne findes, men de handler om administration frem for indhold. SMV-forenklingerne er udvidet til også at omfatte små mid-cap-virksomheder, og fristen for de nationale regulatoriske sandkasser er rykket til 2. august 2027.

Pligterne er altså ikke blevet mindre. De er blevet senere. Det arbejde en virksomhed allerede har lagt i at kortlægge sine AI-systemer og skrive en politik, taber ikke værdi af den grund - det bliver blot ikke krævet af en myndighed lige med det samme. Det bliver derimod stadig efterspurgt af kunder i udbud, hvilket for de fleste er den mere nærværende af de to.

Hvad det betyder for danske virksomheder

Danmark topper EU-listen over AI-anvendelse med 42 procent af virksomheder med over ti ansatte mod et europæisk gennemsnit på 25. Det betyder også, at en større andel af danske virksomheder er omfattet af artikel 50, end tallene i Bruxelles antyder. Vi er det land, hvor flest har en chatbot, der skal mærkes.

Tre ting er konkrete nok til at handle på inden søndag:

• Tjek at jeres chatbot oplyser, at den er AI. Det er en tekstrettelse på under en time, og det er den eneste af forordningens frister, der falder i denne uge.
• Gennemgå det AI-genererede indhold, I sender ud. Billeder, tekster og lydklip skal kunne identificeres som AI-genereret. For systemer, der allerede kører, er der frist til 2. december.
• Stop ikke forberedelsen, hvis I var på vej mod højrisiko. Bruger I AI til rekruttering, kreditvurdering eller medarbejdervurdering, har I fået 16 måneder mere. Det er tid til at gøre arbejdet ordentligt, ikke en anledning til at lægge det væk - kravene om menneskeligt tilsyn er de samme, når de kommer.

Den reelle risiko ved denne uges nyhed er ikke, at nogen bliver overrasket over de nye 2027-frister. Den er, at en virksomhed læser "EU udskyder AI-forordningen", konkluderer at sagen er lukket, og derfor misser den ene frist, der faktisk gælder dem. Vil du have overblikket over, hvilke pligter der påhviler jer som idriftsætter, har vi samlet det i vores guide til AI Act for danske virksomheder, og er I i tvivl om, hvorvidt jeres anvendelse er højrisiko, er det værd at afklare med AI-rådgivning til danske virksomheder, før 2027 pludselig er tæt på.

Kilder: Forordning (EU) 2026/1744, EU-Tidende · Freshfields - EU AI Act unpacked · Gibson Dunn · Digitaliseringsministeriet