EU har udskudt AI-reglerne. Det har du sikkert læst i sidste uge, og det passer også. Bare ikke om den del der begyndte at gælde for dig i søndags.
Den 27. juli 2026 trådte Digital Omnibus on AI (den digitale samlelov om AI) i kraft, og den skubbede kravene til højrisikosystemer næsten halvandet år. Det var den historie der blev delt.
Seks dage senere, den 2. august, trådte artikel 50 i AI-forordningen i kraft. Den blev ikke udskudt. Den handler om gennemsigtighed, og den rammer noget helt andet end de store højrisikosystemer. Den rammer chatbotten på din forside. Den rammer det billede din marketingafdeling fik genereret. Den rammer den tekst du udgav uden at nogen reelt læste den igennem.
Det er den forskel jeg bruger denne artikel på. For jeg tror en del danske virksomheder læste den første overskrift, åndede lettet op, og gik glip af den anden.
TL;DR: Omnibussen flyttede højrisikokravene fra august 2026 til december 2027 og august 2028. Den flyttede ikke artikel 50. Gennemsigtighedskravene gælder fra 2. august 2026. De gælder også for dig, hvis du bare bruger AI og ikke bygger det. Bøderamme op til 15 mio. euro eller 3 procent af global omsætning. Der er én lempelse værd at kende: systemer der allerede var på markedet før 2. august har frist til 2. december 2026 på den maskinlæsbare mærkning.
Europa-Kommissionens side om den regulatoriske ramme for AI →
Hvad der flyttede sig, og hvad der ikke gjorde
Lad os få datoerne på plads, for det er her forvirringen sidder.
Omnibussen hedder formelt forordning (EU) 2026/1744. Den blev vedtaget 8. juli 2026 og trådte i kraft 27. juli 2026. Den ændrer AI-forordningen fra 2024 på en række punkter.
Det den flyttede:
- Højrisikosystemer i bilag III (listen over selvstændige systemer inden for blandt andet ansættelse, uddannelse, kreditvurdering og retshåndhævelse) rykkede fra 2. august 2026 til 2. december 2027.
- Højrisikosystemer i bilag I (AI der er indbygget i produkter som allerede er reguleret, for eksempel maskiner og medicinsk udstyr) rykkede fra 2. august 2027 til 2. august 2028.
- Fristen for at medlemslandene skal have deres regulatoriske sandkasser klar rykkede til 2. august 2027.
- Lempelserne for små og mellemstore virksomheder blev udvidet til også at dække små midcap-selskaber, altså under 750 ansatte og 150 mio. euro i omsætning.
Det den ikke flyttede:
- Artikel 50. Gennemsigtighedskravene. De gælder fra 2. august 2026, præcis som planlagt.
Og det den tilføjede:
- To nye forbud fra 2. december 2026 mod AI-værktøjer der genererer seksuelt materiale af personer uden deres samtykke og mod AI-genereret materiale med seksuelt misbrug af børn. De to har den hårdeste bøderamme i hele forordningen, op til 35 mio. euro eller 7 procent.
Så billedet er ikke at EU trak i håndbremsen. Billedet er at EU flyttede den del der kræver et compliance-projekt, og lod den del stå der kræver at du ved hvad du har kørende.
Hvad artikel 50 helt konkret kræver af dig
Artikel 50 har fire dele. To af dem falder på udbyderen, altså den der har lavet systemet. To af dem falder på anvenderen, altså dig der bruger det i din virksomhed. Det er en skelnen der er værd at holde fast i, for mange antager at det hele er leverandørens problem. Det er det ikke.
Artikel 50, stk. 1. Sig at det er en AI. Hvis et AI-system taler direkte med et menneske, skal mennesket få det at vide. Kravet falder på udbyderen, og oplysningen skal gives senest ved første interaktion, tydeligt og adskilt fra resten. Ikke i en fodnote. Ikke i handelsbetingelserne. Der er en undtagelse hvis det er indlysende for en almindeligt oplyst person, men det er en snæver undtagelse, og den bør ikke være din plan.
Artikel 50, stk. 2. Mærk det der bliver genereret. Systemer der genererer syntetisk indhold, altså lyd, billede, video eller tekst skabt af AI, skal mærke det i et maskinlæsbart format. Maskinlæsbar mærkning vil sige at mærket ligger i selve filen eller i metadata, så et detektionsværktøj kan aflæse det, i modsætning til et synligt mærkat mennesker kan se. Kravet falder på udbyderen. Almindelig hjælp til redigering, for eksempel stavekontrol eller lettere sproglig justering, er undtaget.
Her ligger den ene lempelse: systemer der allerede var bragt på markedet før 2. august 2026, har frist til 2. december 2026 på dette punkt. Alt der kommer på markedet fra 2. august og frem, skal mærke fra dag ét.
Artikel 50, stk. 3. Sig det hvis du aflæser følelser eller kategoriserer biometrisk. Bruger du systemer til følelsesgenkendelse eller biometrisk kategorisering, skal du informere de personer der udsættes for det, og du skal i øvrigt overholde databeskyttelsesreglerne. Kravet falder på dig som anvender.
Artikel 50, stk. 4. Mærk deepfakes og offentligt orienterende AI-tekst. Udgiver du billede, lyd eller video der er genereret eller manipuleret så det ligner virkelige personer eller hændelser, skal du oplyse det. Udgiver du AI-genereret tekst med det formål at oplyse offentligheden om spørgsmål af almen interesse, skal du også oplyse det. Kravet falder på dig som anvender.
Undtagelsen i sidste led er den vigtigste sætning i hele artiklen for de fleste virksomheder: du slipper for mærkningen hvis teksten har været gennem menneskelig gennemgang og redaktionelt ansvar. Nogen skal altså have læst den og stå på mål for den.
Sådan lyder pligten i den engelske sprogversion.
Deployers of an AI system that generates or manipulates text which is published with the purpose of informing the public on matters of public interest shall disclose that the text has been artificially generated or manipulated.
Fem indvendinger jeg hører, og hvad jeg svarer
Jeg har haft den her samtale nok gange til at kende rækkefølgen.
"Vi laver ikke AI. Vi bruger det bare."
Præcis derfor. Stk. 3 og stk. 4 falder på anvenderen, ikke på udbyderen. Du kan købe hele din AI-værktøjskasse hos andre og stadig sidde med to af de fire pligter. Kontrakten med din leverandør flytter dem ikke.
"EU har jo udskudt reglerne."
De udskød højrisikodelen. Den del handler om systemer der vurderer ansøgere, tildeler kredit eller styrer kritisk infrastruktur. Hvis det ikke er dig, var den udskydelse ikke din nyhed. Din nyhed var artikel 50, som trådte i kraft til tiden.
"Vi er for små til at det gælder."
Der er ingen størrelsesundtagelse i artikel 50. Lempelserne i omnibussen handler om dokumentationsbyrden i højrisikoreglerne, ikke om gennemsigtighed. En virksomhed med 25 ansatte og en chatbot har samme pligt som en med 2.500.
"Vores leverandør har styr på det."
Måske på deres del. Spørg dem konkret hvad de har gjort ved stk. 1 og stk. 2, og få det skriftligt. Men stk. 3 og stk. 4 bliver hos dig uanset hvad de svarer.
"Vi er en dansk virksomhed der sælger til danskere. Det her er for de store internationale."
Det er en forordning. Den gælder direkte, uden at Danmark skal implementere den først. Digitaliseringsstyrelsen koordinerer tilsynet herhjemme, og tilsynet er sektoropdelt, så det er din sædvanlige sektormyndighed du skal forholde dig til. Forordningen rækker i øvrigt også ud over EU: den gælder også udbydere uden for EU, hvis output bruges her.
Og så det spørgsmål ingen stiller højt: hvad nu hvis vi bare lader være. Bøderammen for artikel 50 er op til 15 mio. euro eller 3 procent af den samlede globale årsomsætning, alt efter hvad der er højest. Det er en ramme, ikke en forventet bøde, og medlemslandene fastsætter selv de konkrete sanktioner inden for den. Men rammen fortæller noget om hvor alvorligt lovgiver mener det.
Her er min holdning: de flyttede den forkerte brik
Nu bevæger jeg mig fra fakta til vurdering, og jeg markerer det tydeligt.
Omnibussen ændrede også artikel 4, kravet om AI-kompetence. Den pligt har gældt for alle udbydere og anvendere siden 2. februar 2025. Den gamle formulering sagde at man skulle tage foranstaltninger for, så vidt muligt, at sikre et tilstrækkeligt niveau af AI-kompetence hos sine medarbejdere. Den nye siger at man skal tage foranstaltninger for at understøtte udviklingen af AI-kompetence, og den tilføjer udtrykkeligt at der ikke kræves noget bestemt niveau.
Den ændring trådte i kraft med omnibussen den 27. juli.
Det var forkert rækkefølge.
Ikke fordi lempelse i sig selv er forkert. Men fordi artikel 50 tændte seks dage senere, og artikel 50 er en regel medarbejdere bryder ved et uheld, ikke ved en beslutning. Marketing udgiver en AI-skrevet tekst om et emne af almen interesse, uden at nogen reelt tog redaktionelt ansvar. En udvikler sætter en agent på hjemmesiden og glemmer oplysningen ved første interaktion. En medarbejder deler et genereret billede der ligner en rigtig person. Ingen af de tre bliver fanget af en compliance-afdeling. De bliver fanget af folk der ved at reglen findes.
Så Kommissionen fjernede det målbare i uddannelsespligten i samme måned som den tændte en pligt der kun virker hvis folk er uddannet. Det er min indvending. Den handler om timing, ikke om politik.
Der er en konsekvens mere, som jeg ikke har set nogen tale om. Store virksomheder træner deres folk alligevel. De har uddannelsesbudgetter, og de stopper ikke fordi en ordlyd blev blødere. De virksomheder der stille og roligt dropper AI-træningen nu, er de mindre. Ikke fordi de er ligeglade, men fordi den målbare bar er væk, og fordi ingen spørger. Nettoeffekten er at afstanden i kompetence mellem store og små virksomheder bliver større, ikke mindre. Det kan næppe have været meningen med en forenkling.
Og lad mig sige det lige ud: jeg sælger workshops og rådgivning i AI-kompetence, så jeg har en interesse i at virksomheder træner deres folk. Læs min holdning med det i baghovedet. Jeg sænker ikke selv barren hos mine kunder, uanset hvad ordlyden nu siger.
Et mærkat er ikke det samme som at overholde reglen
Stadig min vurdering, ikke en paragraf. Jeg ser to reaktioner komme, og jeg mener begge er blindgyder.
Reaktion nummer et bliver at sætte "skrevet med AI" i bunden af alt. Reaktion nummer to bliver at lade en medarbejder klikke godkend på en tekst og kalde det redaktionelt ansvar.
Ingen af delene virker.
Den generelle mærkning virker ikke, fordi den gør mærket meningsløst. Hvis alt er mærket, siger mærket ingenting, og du har stadig ikke gjort det artiklen faktisk beder om: maskinlæsbar mærkning på det genererede indhold, og en tydelig oplysning på det rigtige tidspunkt i den rigtige kanal. Et udsagn i din sidefod er ikke maskinlæsbart.
Det hurtige godkend-klik virker ikke, fordi undtagelsen i stk. 4 kræver reel menneskelig gennemgang og redaktionelt ansvar. En overfladisk godkendelse er ikke redaktionelt ansvar. Kommissionens egne retningslinjer fra 20. juli 2026 er ret klare på det punkt. Hvis du vil bruge undtagelsen, skal du kunne pege på en person der læste teksten og står på mål for indholdet.
Der findes en genvej der faktisk hjælper. Kommissionen offentliggjorde 10. juni 2026 en adfærdskodeks for gennemsigtighed i AI-genereret indhold, og omkring 190 virksomheder og organisationer havde skrevet under ved udgangen af juli. Den er frivillig. Men den kommer med et fælles EU-ikonsæt til mærkning, og hvis du følger den, har du en dokumenteret vej til at vise at du opfylder kravet. Følger du den ikke, skal du selv kunne godtgøre at din metode er lige så god.
Jeg vil hellere have en kunde der har gjort tre ting rigtigt end tolv ting halvt.
Tabellen i bunden af mine artikler
Hvis du har læst noget herinde før, har du set en tabel i bunden. Den viser hvad jeg lavede, og hvad AI lavede, på netop den artikel. Jeg har fået spørgsmålet et par gange om hvorfor den er der.
Det er derfor. Reglen kom.
Jeg er ikke en nyhedsudgiver, og en fagartikel fra en konsulent er ikke automatisk en tekst om et spørgsmål af almen interesse i forordningens forstand. Så jeg kunne formentlig have ladet være. Jeg gjorde det alligevel, fordi jeg hellere ville have vanen på plads inden datoen end at skulle finde ud af det bagefter. Og fordi jeg gerne vil kunne fortælle en kunde hvordan det ser ud i praksis uden at gætte.
Det er den samme øvelse jeg beder kunder om at lave: find de tre steder hvor AI møder et menneske eller forlader huset, og gør det rigtige der. Ikke tolv steder. Tre.
Hvad det betyder for dig
Ejere og ledere i SMV'er
Din reflekshandling på en overskrift som denne er at trække i håndbremsen. Lad være. Du har ikke et højrisikosystem, og det er ikke den ende du skal starte i.
Her er målestokken i stedet. Kan du på ti minutter svare på tre spørgsmål: hvor møder en kunde en AI hos os, hvor forlader AI-genereret indhold huset, og hvem hos os står på mål for den tekst vi udgiver. Kan du svare, er du et bedre sted end de fleste. Kan du ikke, er det der du starter, og det er en formiddags arbejde, ikke et projekt.
Drifts- og transformationsansvarlige
Du kommer til at eje det her, uanset hvem der beslutter det. Den operative konsekvens er en oversigt du ikke har i dag: hvert AI-system i drift, hvem der ejer det, om I er udbyder eller anvender af det, og hvilken af de fire pligter der rammer.
Den billige løsning er ét ark. En række per system. Én godkendt oplysningstekst der genbruges alle steder hvor et menneske møder en agent, så det ikke bliver forhandlet forfra hver gang. Og en note på hvert system om det var på markedet før 2. august 2026, for det afgør om fristen på maskinlæsbar mærkning er nu eller 2. december.
Salgs- og RevOps-ansvarlige
Du har to sider af det her, og de blandes ofte sammen.
Indad: agenter i dit CRM, scoring, opsummering af samtaler, udkast til sekvenser. Her er gennemsigtighedskravet sjældent det bindende. Det bindende er rettigheder og data. Hvem kan agenten se, og hvad sker der med kundedata undervejs.
Udad: en agent der taler med et rigtigt menneske på hjemmesiden eller i chatten. Der gælder stk. 1 uden diskussion. Oplysningen skal falde ved første interaktion, ikke når samtalen bliver akavet. Og hvis I bruger værktøjer der aflæser stemning eller sentiment på rigtige personer, er I ovre i stk. 3, hvor både oplysningspligten og databeskyttelsen gælder samtidig.
Bruger I AI til at skrive udgående tekst til navngivne kontakter, er det i øvrigt ikke det samme som tekst der oplyser offentligheden. Der vejer samtykkereglerne og markedsføringsloven tungest, ikke artikel 50.
Produkt- og udviklingsansvarlige
Har I selv bygget det I sælger, er I udbyder og ikke bare anvender. Det betyder at stk. 1 og stk. 2 lander på jeres bord, og det er den tungeste ende af artikel 50.
Eftermiddagsopgaven ser sådan her ud. Flyt oplysningen om at brugeren taler med en AI fra systemprompten ud i selve brugerfladen, for en instruks til modellen er ikke en garanti. Tjek om det I genererer bærer maskinlæsbar mærkning, og hvis I bygger på en model fra en leverandør, spørg dem hvad de leverer der. Slå op hvornår jeres system blev bragt på markedet, for det afgør om I har frist til 2. december på mærkningen. Og skriv ned hvem der er redaktionelt ansvarlig for det I udgiver.
Ti spørgsmål der afgør om I er der
Fem til din leverandør:
- Hvordan opfylder jeres system oplysningspligten ved første interaktion, og kan jeg se det i brugerfladen?
- Mærker I genereret indhold maskinlæsbart, og i hvilket format?
- Har I skrevet under på Kommissionens adfærdskodeks for gennemsigtighed i AI-genereret indhold?
- Var systemet bragt på markedet før 2. august 2026?
- Hvor kører databehandlingen, og hvad står der i databehandleraftalen om det?
Fem til jer selv:
- Hvor mange steder møder en kunde eller en ansøger et AI-system hos os?
- Hvem er navngivet redaktionelt ansvarlig for det vi udgiver med AI-hjælp?
- Bruger vi noget der aflæser følelser eller kategoriserer personer biometrisk, også indirekte?
- Ville en ny medarbejder kunne finde vores regel for AI-mærkning på under to minutter?
- Hvornår har vi sidst brugt en time på at lære teamet reglerne, ikke værktøjerne?
To lister, ti spørgsmål. Kan I svare på dem alle, er I færdige med artikel 50 for nu.
Databeskyttelse og hvor det kører
Artikel 50, stk. 3 peger direkte på databeskyttelsesreglerne. Det er ikke tilfældigt. Følelsesgenkendelse og biometrisk kategorisering rammer to regelsæt på én gang, og oplysningspligten i AI-forordningen fritager dig ikke fra GDPR.
For de fleste danske virksomheder er det praktiske spørgsmål stadig det samme som før: hvor ligger data, og hvem kan tilgå dem. Det er muligt at køre Claude med databehandling inden for EU, både via AWS Bedrock og via Google Vertex AI. Men det sker ikke af sig selv. Begge steder skal I aktivt vælge det europæiske endepunkt, altså den adresse jeres system kalder. Gør I ikke det, kører kaldet som standard globalt, og så har I en anden samtale med jeres jurist end den I troede.
Det er ikke et krav i AI-forordningen. Det er et krav i mange indkøbsprocesser, hvilket i praksis er lige så bindende.
Det jeg selv gør nu
Jeg går mine egne ting igennem i denne uge. Chatbotten, oplysningsteksten, tabellen i bunden, og en note på hvert system om hvornår det kom i drift. Ikke fordi jeg forventer et tilsyn. Fordi jeg ikke kan sælge en gennemgang jeg ikke selv har lavet.
Hvis du vil have en der holder øje med den slags løbende, så du ikke selv skal læse forordninger om søndagen, er det præcis det en ekstern AI-lead på abonnement er til for. Vi gennemgår opsætningen hver måned, og du får besked når en dato som denne rykker.
Kilder
Primære kilder:
- Europa-Kommissionen, regulatorisk ramme for AI: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Forordning (EU) 2026/1744, Digital Omnibus on AI, EUR-Lex: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
- Retningslinjer for gennemsigtighedsforpligtelser, Europa-Kommissionen, 20. juli 2026: https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-content
- Adfærdskodeks for gennemsigtighed i AI-genereret indhold: https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content
- AI-forordningen, fuld tekst, EUR-Lex: https://eur-lex.europa.eu/legal-content/DA/TXT/?uri=OJ:L_202401689
- Digitaliseringsstyrelsen, tilsyn med AI-forordningen: https://digst.dk/tilsyn/ai-forordningen/
Tredjepartskilder:
- Artikel 50, gennemgang hos artificialintelligenceact.eu: https://artificialintelligenceact.eu/article/50/
- Future of Privacy Forum, revideret tidslinje efter omnibussen: https://fpf.org/blog/the-ai-act-implementation-timeline-what-changes-under-the-ai-omnibus/
Dette arbejde er udarbejdet i samarbejde med AI. Overordnet: AI cirka 76 procent, Kim cirka 24 procent. Ser man kun på selve produktionen, er tallet AI cirka 92 procent og Kim cirka 8 procent. Det er et kvalificeret skøn, ikke en målt log.
FAQ
Ofte stillede spørgsmål
Ja. Artikel 50 har ingen undtagelse for små virksomheder. Lempelserne i omnibussen fra juli 2026 gælder dokumentationskrav i højrisikoreglerne, ikke gennemsigtighed. Har du en chatbot eller udgiver du AI-genereret indhold, er du omfattet.
Udbyderen har udviklet systemet eller bringer det på markedet under sit eget navn. Anvenderen bruger systemet i sin virksomhed. Oplysning ved første interaktion og maskinlæsbar mærkning falder på udbyderen. Mærkning af deepfakes og oplysning om følelsesgenkendelse falder på anvenderen.
Nej. Kravet i artikel 50, stk. 4 rammer deepfakes og AI-genereret tekst der udgives for at oplyse offentligheden om spørgsmål af almen interesse. Har teksten været gennem reel menneskelig gennemgang med redaktionelt ansvar, gælder oplysningspligten ikke. Et generelt mærkat på alt er hverken krævet eller tilstrækkeligt.
Bøderammen er op til 15 mio. euro eller 3 procent af den samlede globale årsomsætning, alt efter hvad der er højest. At give urigtige oplysninger til myndighederne har en ramme på 7,5 mio. euro eller 1 procent. Det er rammer, ikke forventede bøder.
Digitaliseringsstyrelsen koordinerer tilsynet nationalt, og selve tilsynet er sektoropdelt, så din sædvanlige sektormyndighed fører tilsyn på sit område. Spørgsmål kan sendes til [email protected].
At mærket ligger i filen eller dens metadata, så et detektionsværktøj kan aflæse at indholdet er genereret af AI. Det er ikke det samme som en synlig tekst i bunden af en side. Et synligt mærkat kan være nødvendigt af andre grunde, men det opfylder ikke kravet i stk. 2 alene.
Kun en del af dem. Forordning (EU) 2026/1744 flyttede højrisikokravene til 2. december 2027 og 2. august 2028. Gennemsigtighedskravene i artikel 50 blev ikke flyttet og har været gældende siden 2. august 2026.
Ja. Både AWS Bedrock og Google Vertex AI tilbyder europæiske endepunkter, hvor behandlingen bliver inden for EU. Det kræver at I aktivt vælger det europæiske endepunkt, ellers kører kaldet globalt som standard. Det er ikke et krav i AI-forordningen, men det gør ofte samtalen med jurister og indkøbsafdelinger kortere.
