AI-forordningens forbud har indtil nu mest været noget, der stod i en EU-tekst. Fra 1. december 2026 får de en dansk adresse. Et udkast til bekendtgørelse, som Digitaliseringsstyrelsen har sendt i høring, udpeger de myndigheder, der skal føre tilsyn med forbuddene mod bestemte former for AI og med reglerne om, hvornår man skal oplyse, at der er AI i spil.
To navne står centralt. Digitaliseringsstyrelsen tager hovedparten, og Datatilsynet tager de forbud, der ligger tæt på persondata. Reglerne skal efter planen gælde fra 1. december, forudsat at den nye danske AI-lov er trådt i kraft til den tid. Det flytter AI-compliance fra et papir i skuffen til en myndighed, der kan kræve dokumentation og give bøder. Her er, hvem der kommer til at håndhæve hvad, og hvad I bør gøre inden.
Selve AI-forordningen gælder direkte i Danmark, men den overlader til hvert land at udpege, hvilke myndigheder der fører tilsyn, og at fastsætte sanktionerne. Det er den opgave, det nye bekendtgørelsesudkast løser. Udkastet handler om to ting: de forbudte former for AI-praksis i forordningens artikel 5 og gennemsigtighedsforpligtelserne i artikel 50. Begge regelsæt er allerede trådt i kraft på EU-plan, så det, der mangler, er den danske håndhævelse.
Den uafhængige dækning bekræfter kernen. A4 Medier beskrev den 2. november, at Digitaliseringsstyrelsen og Datatilsynet skal føre tilsyn med, at virksomheder og myndigheder overholder en række af EU's forbud mod bestemte former for brug af kunstig intelligens, og at reglerne skal gælde fra 1. december, hvis den nye AI-lov til den tid er trådt i kraft. Grundlaget er netop det udkast til bekendtgørelse, der nu er i høring.
Vi dækkede rammen, da den danske AI-lov blev kendt. Loven giver myndighederne beføjelserne og bøderammen, mens bekendtgørelsen fordeler ansvaret artikel for artikel. Vil I have baggrunden for selve tilsynsapparatet, så står den i vores gennemgang af AI Act-tilsynet i Danmark. Det nye her er fordelingen: hvem der konkret banker på, afhængigt af hvad I bruger AI til.
Digitaliseringsstyrelsen har allerede en fast rolle på forbudssiden. Styrelsen er efter sin egen beskrivelse tilsynsmyndighed for fem af de forbudte praksisser i artikel 5, stk. 1. Det drejer sig om skadelig manipulation, der kan forvolde betydelig skade på personer (litra a), udnyttelse af særlige sårbarheder på grund af alder, handicap eller en social eller økonomisk situation (litra b), social bedømmelse, der fører til ugunstig behandling af borgere (litra c), opbygning af ansigtsgenkendelsesdatabaser gennem ikkemålrettet indsamling af ansigtsbilleder (litra e) og udledning af følelser på arbejdspladser og uddannelsesinstitutioner (litra f).
Datatilsynet kommer ind for de resterende forbud. De handler om profilering og biometri, blandt andet biometrisk kategorisering, der udleder følsomme oplysninger om en person. Det er logisk, at de lander hos Datatilsynet, som i forvejen fører tilsyn med behandling af følsomme personoplysninger efter GDPR. For jer betyder det, at den samme sag kan ramme to regelsæt på én gang: et AI-system, der kategoriserer mennesker på biometri, skal både overholde forordningens forbud og persondatareglerne.
Fordelingen er ikke kun teknisk. Den afgør, hvem I skal svare, hvis der kommer en henvendelse. Et HR-værktøj, der analyserer ansøgeres ansigtsudtryk i videosamtaler, falder ind under følelsesgenkendelse og dermed Digitaliseringsstyrelsen. Et system, der inddeler kunder efter biometriske træk for at udlede noget følsomt, trækker Datatilsynet ind. Kender I ikke forskellen på forhånd, bruger I de første dyrebare dage på at finde ud af, hvem brevet overhovedet er fra.
Den anden halvdel af udkastet handler om artikel 50, altså gennemsigtighed. Det er det regelsæt, de fleste danske virksomheder reelt kommer i berøring med først, fordi det rammer helt almindelig brug af AI i marketing, kommunikation og kundeservice. Europa-Kommissionens faktaside opsummerer kravene: brugere skal oplyses, når de interagerer med et AI-system, udbydere skal sætte et maskinlæsbart mærke på syntetisk indhold, og den, der tager systemet i brug, skal oplyse om følelsesgenkendelse og biometrisk kategorisering og tydeligt markere deepfakes.
Kravene har været gældende siden 2. august 2026. Der er dog en overgang, man skal kende. Mærkningsforpligtelsen for generativ AI, der var bragt på markedet før 2. august 2026, har en overgangsfrist til december 2026. Med andre ord lukker vinduet for at få mærkning på plads på eksisterende systemer i samme måned, som det danske tilsyn efter planen træder i kraft. Vi har tidligere gennemgået, hvad mærkningspligten fra august 2026 betyder i praksis.
Konkret rammer det tre ret dagligdags ting. En chatbot på hjemmesiden skal gøre det klart, at kunden skriver med en maskine. Billeder, video og tekst, I laver med generativ AI til kampagner, skal mærkes. Og bruger I syntetisk video af rigtige personer, skal det deklareres som en deepfake. Ingen af delene er svære at løse, men de kræver, at nogen har taget stilling, før indholdet går live.
Det er let at afvise en ny bekendtgørelse som endnu et lag compliance, der aldrig bliver til noget. Det ville være en fejl. Digitaliseringsstyrelsen har allerede ført tilsyn med forbudt AI-praksis, før fordelingen er endeligt på plads. Ifølge styrelsens egen opgørelse har den gennemført 20 tilsyn med forbudte former for AI siden årsskiftet.
Tilsynene ramte to brancher. Ti gik til telemarketing, hvor fokus var forbuddet mod AI, der udleder følelser på arbejdspladsen. Ti gik til online kasino og betting, hvor det handlede om AI, der manipulerer skadeligt eller udnytter sårbarheder. Ingen af de 20 virksomheder brugte AI på en måde, der gav anledning til kritik. Det interessante er selve tilsynet: at det er i gang, at det er sektoropdelt, og at det bygger på dialog om, hvordan reglerne skal fortolkes, blandt andet om biometriske data i samarbejde med EU-Kommissionens AI Service Desk.
For jer er signalet klart. Når bekendtgørelsen er på plads, møder I en myndighed, der har prøvet det før, og som ved, hvad den leder efter. Det er også muligt at klage til Digitaliseringsstyrelsen, hvis man har mistanke om forbudt AI-praksis, så et tilsyn kan starte både af sig selv og på baggrund af en klage fra en konkurrent, en medarbejder eller en kunde.
Tilsynet er ikke et høfligt spørgeskema. Myndighederne kan kræve dokumentation for de AI-systemer, I bruger eller udbyder, gennemføre kontrol og tage imod klager fra borgere. Bøderammen kommer fra selve forordningen. For brud på gennemsigtighedskravene i artikel 50 kan bøden nå op til 15 millioner euro eller 3 procent af den globale årlige omsætning, alt efter hvad der er højest, oplyser Europa-Kommissionen. For de forbudte former for AI i artikel 5 ligger bøderne i forordningens tungeste kategori, altså højere endnu.
Tallene er ikke dimensioneret til en lille webshop, men princippet gælder alle. En bøde på 3 procent af omsætningen er mærkbar for en mellemstor dansk virksomhed, og tilsynet kan offentliggøre udvalgte afgørelser. Omdømmetabet ved at stå på en liste over virksomheder med ulovlig AI-brug kan koste mere end selve bøden. Det er her, forskellen på at have styr på sin AI-governance og at improvisere bliver til kroner.
En vigtig brik er ikke på plads endnu. Udkastet dækker forbuddene og gennemsigtigheden, men ikke højrisiko-AI, som er den kategori, der rammer mange virksomheders mest værdifulde systemer: AI i rekruttering, kreditvurdering, forsikring og offentlig sagsbehandling. Digitaliseringsstyrelsen skriver selv, at det endnu er uafklaret, præcis hvem der kommer til at føre tilsyn med de forskellige områder inden for højrisiko-AI, og at tilsynet lægges sektorbaseret med styrelsen som centralt kontaktpunkt.
Tidsmæssigt har I lidt luft på netop det punkt. Højrisikoreglerne for systemerne i forordningens bilag III er udskudt og gælder først fra 2. december 2027. Men ro er ikke det samme som fritagelse. Generelle AI-modeller, det man kalder GPAI, føres der tilsyn med af EU-Kommissionens AI-kontor på tværs af landegrænser, mens de nationale forbud og gennemsigtighedskrav håndhæves herhjemme. I skal altså forholde jer til tilsyn på to niveauer samtidig, og det danske niveau bliver konkret nu.
Den korte version: I har en håndfuld uger til at gå fra at kende reglerne til at kunne dokumentere, at I overholder dem. Det kræver ikke et stort projekt, men det kræver, at nogen tager ejerskab. Her er de skridt, der betaler sig før 1. december.
Udkastet er i offentlig høring, mens dette skrives. Har I AI-systemer, der rammes, så læs udkastet og overvej et høringssvar, mens teksten stadig kan ændres. Det er billigere at forme en regel end at leve med den bagefter. Dette er generel information og ikke juridisk rådgivning.
Danmark har været på vej mod et AI-tilsyn længe. Det nye er, at tilsynet nu får ansigter og postkasser: en styrelse for de fleste forbud og gennemsigtigheden, et datatilsyn for biometri og profilering, og et EU-kontor for de store modeller. Jo mere af det her, der er kortlagt i jeres egen organisation inden december, jo mindre bliver tilsynet en trussel og jo mere bliver det bare en ramme, I allerede arbejder indenfor.