EU AI Act for midmarket — hvad du faktisk skal gøre

EU AI Act er trådt i kraft, men tidslinjen blev tegnet om kort før den bed. Den 2. august 2026 trådte Artikel 50-transparenskravene i kraft — I skal fortælle folk, når de taler med et AI-system. High-risk-forpligtelserne blev derimod udskudt af Digital Omnibus (forordning (EU) 2026/1744, offentliggjort 24. juli 2026): selvstændige Annex III-systemer til 2. december 2027, AI indlejret i regulerede produkter til 2. august 2028. Udskudt er ikke aflyst — og for midmarket-virksomheder med 200–5.000 ansatte er udfordringen fortsat ikke mangel på information, men mangel på en konkret plan der passer til jeres størrelse og ressourcer.

Denne guide er ikke et juridisk dokument. Den er en pragmatisk køreplan skrevet til den IT-leder, EA-ansvarlige eller compliance-koordinator der skal omsætte AI Act til handling uden et dedikeret compliance-team.

Hvad EU AI Act faktisk kræver af jer

AI Act indfører en risikobaseret regulering. Det betyder at kravene afhænger af hvilken slags AI I deployer, og hvilken rolle I spiller: er I udbyder (provider), som bygger AI-systemer, eller deployer, som tager andres AI-systemer i brug?

De fleste midmarket-virksomheder er deployere. I deployer systemer som Microsoft Copilot, chatbots fra jeres ERP-leverandør, eller AI-drevne rekrutteringsværktøjer. Som deployer har I færre forpligtelser end en udbyder — men I er ikke fri.

Forpligtelserne for deployere af high-risk AI inkluderer:

• AI literacy-program: Alle medarbejdere der arbejder med AI-systemer skal have relevant træning (Article 4).
• Menneskelig tilsyn: High-risk AI-systemer skal have et defineret tilsynsregime, herunder klare regler for hvornår et menneske kan gribe ind eller stoppe systemet.
• Brugsbeskrivelse og teknisk dokumentation: I skal dokumentere hvad systemet gør, hvem der bruger det, og under hvilke betingelser.
• Logning og sporbarhed: Automatisk logning af systemaktivitet i relevant omfang.
• Transparens over for berørte: Brugere der interagerer med AI-systemer skal informeres.

For systemer med minimal risiko (f.eks. spam-filtre, anbefalingsalgoritmer uden individuel profilering) er kravene langt lavere. Her er transparensanbefalinger frivillige.

De 20 ting du skal have styr på — en prioriteret oversigt

AI Act's krav kan kortlægges i seks kategorier. Her er en prioriteret rækkefølge for midmarket:

A. Organisation

A1 — AI-ansvarlig rolle: Udpeg enten en AI Officer eller tilknyt ansvaret til en eksisterende rolle (CTO, IT-chef). Dokumentér hvem der ejer AI-compliancen.

A2 — Governance-struktur: Beskriv beslutningsprocessen for onboarding af nye AI-systemer. Hvem godkender? Hvem vurderer risiko? En simpel beslutningsmatrice er nok til at starte.

A3 — AI-politik: En skrevet politik med formål, risikoramme, acceptable og uacceptable anvendelser samt ansvarsdeling. Den behøver ikke fylde 30 sider.

A4 — Incident-håndtering: Hvad gør I, hvis et AI-system fejler, producerer bias-ramt output, eller bruges uhensigtsmæssigt? En simpel incident-log og eskalationsprocedure er minimum.

B. Kortlægning

B1 — AI inventory: En register over alle AI-systemer i drift. Inkludér navn, leverandør, formål, brugergruppe og foreløbig risikovurdering. Shadow AI (f.eks. ChatGPT-brug uden IT-sanktion) skal også med.

B2 — Risikoklassificering: Klassificér hvert system som uacceptabelt / høj risiko / begrænset risiko / minimal risiko. Brug Annex III som reference for high-risk kategorier.

B3 — Brugsbeskrivelse: For hvert high-risk system, skriv en kort beskrivelse af den tilsigtede brug, brugergruppe og potentielle effekt på berørte individer.

C. Træning

C1 — AI literacy baseline: Vurder det nuværende kompetenceniveau. Identificér hvem der træner med hvad.

C2 — Træningsplan: Lav en årsplan for AI literacy-træning delt på roller (beslutningstagere, brugere, IT).

C3 — Dokumentation af træning: Registrér gennemførte forløb med dato, deltager og indhold. Enkelt regneark dur til at starte.

D. Risikovurdering

D1 — FRIA for high-risk: Fundamental Rights Impact Assessment for alle high-risk AI-systemer. Fem-trins vurdering af effekt på grundlæggende rettigheder.

D2 — DPIA-koordination: Koordinér med GDPR-ansvarlig om overlap mellem DPIA og FRIA for systemer der behandler personoplysninger.

D3 — Teknisk dokumentation: For high-risk systemer, opbyg dokumentation i henhold til Article 11: system-arkitektur, træningsdata-beskrivelse, ydeevnemetrikker, kendte begrænsninger.

D4 — Automatisk logning: Identificér og implementér logging-krav per system i henhold til Article 12 og 26.

E. Leverandører

E1 — Kontraktgennemgang: Gennemgå eksisterende AI-kontrakter. Sørg for at leverandøren dokumenterer systemets Annex III-status og leverer relevant teknisk dokumentation.

E2 — AI due diligence: Indfør en due diligence-tjekliste for nye AI-leverandører.

E3 — Løbende overvågning: Sæt en proces for at modtage og reagere på opdateringer fra leverandører om compliance-status, ændringer i AI-systemet og incidents.

F. GDPR og transparens

F1 — AI-genereret output mærkning: For systemer der producerer output til kunder eller brugere, indfør synlig markering af AI-genereret indhold.

F2 — Menneskelig intervention: Dokumentér for hvert high-risk system, hvordan menneskelig tilsyn er operationaliseret.

F3 — GDPR-koordination: Opdatér privatlivspolitikker og RoPA (Register of Processing Activities) til at afspejle AI-systemer.

Prioritering: hvad starter du med?

Med 102 dage til deadline er rækkefølgen vigtig. En realistisk prioritering for en midmarket-virksomhed der starter fra nul:

Uge 1–2: Kortlæg og klassificér Start med AI inventory. I kan ikke prioritere det I ikke ved eksisterer. Brug tre spørgsmål per system: Hvad gør det? Hvem berøres? Hvad er konsekvenserne af fejl?

Uge 3–4: Risikovurder high-risk systemer Brug Annex III-listen og kør FRIA for systemer der falder inden for high-risk kategorier. Fokusér på systemer med direkte menneskelig effekt: rekruttering, kredit, sundhed, uddannelse.

Uge 5–8: Opbyg governance-fundament Udpeg AI-ansvarlig, skriv AI-politik, lav incident-procedure. Dette er policy-arbejde der ikke kræver tekniske ressourcer.

Uge 9–12: Dokumentation og leverandørdialog Indhent dokumentation fra leverandører af high-risk systemer. Start teknisk dokumentationsopbygning for inhouse AI-systemer.

Løbende: Træning AI literacy er ikke et engangsforløb. Start med ledelsesniveauet, ryd ned til bruger-niveau.

Hvad er realistisk for en midmarket-virksomhed?

Vær ærlig med jer selv: I har ikke ressourcerne til at køre AI Act som en stor enterprise gør det. Og det behøver I heller ikke. Reguleringsmyndighederne ser på proportionalitet. Det der kræves af en 300-personers produktionsvirksomhed er ikke det samme som af en 3.000-personers finanskoncern.

Det realistiske mål er:

• AI inventory der er komplet nok: Ikke perfekt, men dækkende for de systemer der faktisk har effekt.
• Governance der er enkel nok til at holde: En AI-politik du faktisk vedligeholder er bedre end en 50-siders policy der ikke opdateres.
• Dokumentation der matcher risikoen: Brug jeres kræfter på high-risk systemer. Minimal-risk systemer kræver minimal indsats.
• Processer der kan gentages: Incident-håndtering, due diligence, træning — det skal være simpelt nok til at det faktisk sker.

Værktøjer og infrastruktur

En AI inventory kan starte i et regneark. Men med ti eller tyve systemer begynder strukturen at smuldre. Overvej tidligt om I vil bruge et dedikeret AI governance-værktøj der kan:

• Holde AI-inventoryen struktureret og opdateret
• Tilknytte risikoklassificeringer per system
• Generere compliance-dokumentation (teknisk dokumentation, FRIA, AI-politik)
• Give overblik over governance-status på tværs af systemer

Et sådant værktøj behøver ikke koste enterprise-priser. Det vigtige er at det er designet til governance-arbejde, ikke blot som et regneark med fancy brugerflade.

Sanktioner og tilsyn: hvad sker der hvis I ikke efterlever?

Overtrædelse af AI Act kan resultere i bøder op til 35 millioner euro eller 7 % af den globale årsomsætning — det højeste beløb gælder. Det gælder udbydere og deployere af forbudte AI-systemer. For high-risk-systemer er bødeniveauet 15 millioner euro / 3 %.

Tilsynet håndteres af nationale kompetente myndigheder. I Danmark forventes Datatilsynet at spille en central rolle, særligt for AI-systemer der behandler personoplysninger. Der er endnu ikke vedtaget en dedikeret dansk AI-tilsynsmyndighed, men det arbejde er i gang.

Det vigtige er ikke bødernes størrelse — det er at tilsynet vil følge en risikobaseret tilgang. Myndigheder vil prioritere de organisationer der åbenlyst ignorerer loven, og de systemer der har størst potentiel skadevirkning. Midmarket-virksomheder der kan dokumentere en god-tro indsats — et AI inventory, en AI-politik, en FRIA for high-risk systemer — vil stå langt bedre end dem der ikke har rørt ved emnet.

Hvad er "proportionalitet" i praksis?

AI Act har et proportionalitetsprincip der anerkender at SMV'er og midmarket-virksomheder ikke kan møde de samme administrative krav som globale tech-giganter. Det betyder konkret:

• Forenklet teknisk dokumentation for virksomheder der ikke er udbydere men deployere
• Risikovurderinger der matcher systemets faktiske risiko — et chatbot-FAQ-system kræver ikke samme dokumentation som et rekrutteringsalgoritmesystem
• Fleksibilitet i implementering af AI literacy-programmer, så længe effekten dokumenteres

Det betyder ikke at proportionalitet er en frihavntilladelse. Det betyder at jeres compliance skal matche jeres faktiske AI-profil. Har I ingen high-risk systemer, er kravene minimale. Har I tre high-risk systemer, skal de tre have fuld behandling.

Det AI Act faktisk ændrer i jeres hverdag

Den mest undervurderede konsekvens af AI Act er ikke dokumentationskravene — det er leverandørdialogen. Fra 2026 vil I blive spurgt af jeres AI-leverandører: "Har I dokumenteret at I bruger systemet inden for dets tilsigtede brug?" Og I vil selv stille det spørgsmål til nye leverandører: "Kan I dokumentere at dette system ikke er high-risk, eller levere den nødvendige tekniske dokumentation?"

AI Act ændrer købsdialogen for AI-systemer permanent. Det er en sund ændring — men det kræver at I er klar.

Næste skridt

Start her:

1. Udfyld AI inventory skabelonen (download vores tjekliste som PDF)
2. Klassificér hvert system med Annex III som guide
3. Udpeg en AI-ansvarlig — selv en deltidsrolle er bedre end ingen
4. Skriv en simpel AI-politik — ét A4-ark med formål, ramme og ansvar
5. Start leverandørdialogen — kontakt jeres top-3 AI-leverandører og bed om AI Act-dokumentation

AI Act er ikke designet til at stoppe AI-innovation. Det er designet til at gøre AI-deployment trustworthy. Det er faktisk et rimeligt mål — og et der gavner jer, ikke blot reguleringsmyndighederne.

For virksomheder der ønsker at automatisere compliance-arbejdet, kan et AI governance-værktøj som Atlas erstatte regneark og dokumenttepper med en struktureret, revisionsklar platform. Men det vigtigste første skridt er ikke at vælge et værktøj — det er at lave inventoryen.

Governance handler om at vide hvad I deployer, hvem det berører, og hvad I gør hvis noget går galt. Det er god it-ledelse, uanset om loven kræver det.