Europa-Kommissionen har vedtaget fælles regler for, hvordan virksomheder kan teste AI-systemer sammen med myndighederne, før systemerne kommer på markedet. Gennemførelsesforordning (EU) 2026/2487 blev vedtaget 10. november og offentliggjort i EU-Tidende 11. november, og den træder i kraft 1. december. Fra den dato gælder de samme regler for AI-sandkasser i hele EU: Små og mellemstore virksomheder deltager gratis, ansøgere får svar inden tre måneder, deltagere slipper for bøder efter AI-forordningen, så længe de følger planen i god tro, og den exitrapport, man går ud med, skal anerkendes af myndigheder i alle medlemslande.
Vi har læst hele forordningsteksten, AI-forordningens artikel 57 og den danske sandkasse hos Datatilsynet og Digitaliseringsstyrelsen. Herunder forklarer vi, hvad en AI-sandkasse er, hvad den ikke er, hvad det koster, og hvornår det kan betale sig for en dansk virksomhed at søge ind. Kort sagt: Sandkassen er det tætteste, I kommer på at få myndighedernes vurdering af jeres AI, før I lancerer, men den er ikke en godkendelse.
En reguleringsmæssig AI-sandkasse er en kontrolleret ramme, hvor en myndighed følger udvikling, træning, test og validering af et innovativt AI-system i en afgrænset periode. Formålet er at give virksomheden klarhed over, hvad reglerne kræver, og give myndigheden indsigt i, hvordan teknologien virker i praksis. Begrebet er ikke nyt, men den nye forordning gør det til et ensartet værktøj på tværs af EU i stedet for 27 forskellige nationale ordninger. Hvis I vil have grundbegrebet forklaret, har vi samlet det i vores ordbogsopslag om en AI Regulatory Sandbox.
Sandkassen har samtidig en vigtig begrænsning. Deltagelse er ikke en godkendelse, og exitrapporten giver ingen formodning om, at jeres system overholder AI-forordningen. I er fortsat selv ansvarlige for at dokumentere, at reglerne er overholdt. Til gengæld skal markedsovervågningsmyndigheder og bemyndigede organer tage rapporten og den skriftlige dokumentation positivt i betragtning, så en senere overensstemmelsesvurdering kan gå hurtigere. Det fremgår af selve forordningen i EU-Tidende.
Forordningen er bindende og gælder direkte i alle medlemslande uden national implementering. Den dækker alle AI-sandkasser under AI-forordningens artikel 57: nationale, regionale og fælles sandkasser samt de sandkasser, som Den Europæiske Tilsynsførende for Databeskyttelse og AI-kontoret kan oprette på EU-niveau. Hvert medlemsland skal have mindst én national sandkasse i drift senest 2. august 2027.
Prismodellen er det, der gør sandkassen interessant for mindre virksomheder. SMV'er, herunder startups, har fortrinsret og deltager gratis i regulatorisk vejledning, rådgivning og tilsyn. Det gælder også tilsyn med test under faktiske forhold og støtte til overensstemmelsesvurdering. Offentlige myndigheder får samme vilkår. Myndigheden kan kun opkræve betaling for det, forordningen kalder ekstraordinære omkostninger, altså ydelser ud over den gratis vejledning, og så skal I varsles på forhånd og have en faktura, der er detaljeret nok til, at I kan se, hvad I betaler for.
Større virksomheder kan derimod opkræves et gebyr, der svarer til de fulde omkostninger ved ydelserne. Listen over gebyrer skal offentliggøres, når ansøgningsrunden åbner, så prisen er kendt, før man søger. Udbydere uden for EU skal både betale et deltagergebyr og udpege en befuldmægtiget repræsentant i EU, der kan stå til ansvar for virksomhedens aktiviteter i sandkassen. Uanset størrelse hæfter deltagerne fortsat selv for at overholde den øvrige EU-lovgivning.
For en dansk SMV betyder det, at tærsklen for at få myndighedernes vurdering er lav. I betaler med jeres egen tid og jeres eget arbejde mellem møderne, ikke med et honorar. Det er en reel forskel fra at hyre ekstern rådgivning for at få afklaret det samme spørgsmål.
Processen er bygget op med faste frister. Alle udbydere og potentielle udbydere kan søge, også i partnerskab med idriftsættere eller andre parter, der er nødvendige for projektet. Systemet skal enten ikke være markedsført endnu, stå over for en væsentlig ændring eller være blevet et højrisiko AI-system på grund af ændret anvendelse. I kan søge i et andet land end det, I er etableret i, hvis en anden sandkasse passer bedre til jeres projekt.
Myndigheden udvælger ansøgere ud fra fem kriterier: behovet på grund af konkrete regulatoriske udfordringer, potentialet for regulatorisk læring, bidraget til samfundsinteresser og EU-politik, projektets modenhed og systemets innovative karakter. Ansøgeren skal have svar senest tre måneder efter en fuldstændig ansøgning eller efter ansøgningsfristen og har ret til at klage over afgørelsen.
Efter udvælgelsen aftaler virksomheden og myndigheden en sandkasseplan. Den skal mindst indeholde oplysninger om ansøger og system, en tidsplan med slutdato, mål og roller, hvilke krav der behandles, om der behandles personoplysninger, så datatilsynet skal inddrages, samt risikostyring og en procedure for alvorlige hændelser. Forløbet kan forlænges efter aftale indtil 30 dage før slutdatoen og kan suspenderes, hvis planen brydes, eller der opstår risici, som ikke kan afbødes.
Når forløbet er slut, udsteder myndigheden en skriftlig dokumentation for de gennemførte aktiviteter og en exitrapport med de vigtigste regulatoriske spørgsmål, løsninger og erfaringer. Exitrapporten skal foreligge senest 45 arbejdsdage efter afslutningen. Hverken rapporten eller den skriftlige dokumentation har samme status som en overensstemmelseserklæring, men markedsovervågningsmyndigheder og bemyndigede organer i alle medlemslande skal anerkende dem som dokumentation for det, der er gennemført.
Den mest konkrete fordel ved at deltage står ikke i den nye forordning, men i AI-forordningens artikel 57. Deltagere, der følger sandkasseplanen og myndighedens vejledning i god tro, får ikke administrative bøder efter AI-forordningen for de overtrædelser, forløbet dækker. Hvor andre myndigheder har været aktivt med til at føre tilsyn, gælder det også deres lovgivning. Det fremgår af Kommissionens egen gennemgang af artikel 57.
Der er en vigtig grænse for den beskyttelse. Den dækker bøderne, men erstatningsansvaret består. Deltagerne hæfter fortsat efter gældende erstatningsret for enhver skade, de påfører tredjemand under forsøgene i sandkassen. Med andre ord: Myndighederne straffer jer ikke for en regelovertrædelse, hvis I har fulgt planen, men en borger eller virksomhed, der lider skade, kan stadig rejse et krav. Det er værd at have med, før man tester systemer med reel kontakt til mennesker.
Danmark har allerede en regulatorisk sandkasse for AI, som Digitaliseringsstyrelsen og Datatilsynet driver. Den giver gratis vejledning i GDPR og risikoklassificering efter AI-forordningen i forløb på op til fire måneder, med en opstartsdag og op til fire opfølgende møder. Den giver ikke dispensation fra gældende regler og fungerer ikke som en godkendelsesordning, og den stiller hverken teknisk infrastruktur eller en testplatform til rådighed. Deltagerne skal selv sikre data og teknisk understøttelse.
I juli 2026 blev tre projekter udvalgt til tredje runde: Lex, Kintella og Fenja. Lex, Danmarks Nationalleksikon, arbejder på en dansk AI-chatbot bygget på kvalitetssikret viden som alternativ til kommercielle chatbots. Kintella og Region Hovedstaden ser på AI-baseret oversættelse i kommunikationen mellem sundhedspersonale og borgere. Fenja bygger en AI-platform, der installeres i kundens eget it-miljø, så organisationer kan bruge AI på egne data uden at sende dem til udenlandske leverandører. De tre projekter viser spændvidden: formidling, sundhed og datasuverænitet.
Den danske ordning er altså i dag ren vejledning uden test under faktiske forhold. Den nye forordning lægger fælles EU-regler ned over sådanne nationale ordninger, blandt andet svarfristen på tre måneder, exitrapporten og gebyrer for store virksomheder. Et åbent spørgsmål er, hvordan Digitaliseringsstyrelsen og Datatilsynet tilpasser den danske sandkasse til kravene, og om der på sigt kommer et dansk spor med egentlig test under faktiske forhold.
Reglerne er på plads, men kapaciteten er det ikke alle steder. En gennemgang fra Europa-Parlamentets forskningstjeneste viste, at kun Spanien i august 2025 havde en AI-sandkasse i drift, mens fem lande var i gang med at etablere en, fire havde erklæret en hensigt, og 16 endnu ikke havde meldt planer ud. Den spanske sandkasse åbnede i 2025 og husede 12 højrisiko-AI-systemer. Det er den nøgterne baggrund: Fristen 2. august 2027 nærmer sig, og mange lande skal fortsat bygge ordningen, ansætte og oplære folk. Tallene stammer fra Europa-Parlamentets analyse af status for AI-sandkasser.
Forskningstjenesten pegede også på en risiko ved fragmenteret implementering: Hvis nogle landes myndigheder får flere ressourcer end andre, kan udbydere vælge de mindst strenge sandkasser. Den nye forordning forsøger at dæmme op for netop det ved at kræve fælles kriterier, fælles skabeloner fra AI-boardet og gensidig anerkendelse af resultaterne. Om det lykkes, afhænger af, hvor hurtigt landene får kapacitet på plads.
Der er tre ting, man skal være opmærksom på, før man søger. Den første er åbenhed. Oplysninger, der ikke er markeret som fortrolige i sandkasseplanen eller inden projektets afslutning, formodes at kunne offentliggøres. Myndigheden kan endda publicere ikke-fortrolige hovedresultater, selv om deltageren ikke ønsker exitrapporten offentliggjort. Markér derfor fortrolige oplysninger tidligt og præcist.
Den anden er, at deltagelse ikke fjerner jeres eget ansvar. Sandkassen giver vejledning, og I skal fortsat selv dokumentere, at reglerne er overholdt. Den tredje er kapaciteten. Myndighederne må tage hensyn til egne ressourcer og kan periodisk prioritere bestemte sektorer, så der er ingen garanti for en plads, bare fordi man opfylder kriterierne. Og selv om SMV'er deltager gratis, kan der i princippet komme ekstraordinære omkostninger for ydelser ud over den almindelige vejledning. Begrebet er ikke nærmere defineret i forordningen.
Sandkassen er mest relevant for virksomheder, der udvikler eller tilpasser AI og har konkrete, uafklarede spørgsmål om reglerne. Det kan være rekrutterings- og HR-værktøjer, der kan være højrisiko efter bilag III, sundheds- og velfærdsløsninger i samarbejde med regioner og kommuner, eller danske platforme med fokus på datasuverænitet. Også virksomheder, der bygger agenter oven på generelle modeller og derved rykker et system over i højrisiko, kan søge ind.
Det kan I gøre nu:
Vi hjælper danske virksomheder med at finde ud af, hvor deres AI-systemer lander i AI-forordningen, og hvornår en sandkasse er den rette vej. Vil I have overblikket over reglerne først, gennemgår vores guide til EU AI Act, hvor grænserne går. Og fra 1. december har reglerne fået en dansk adresse, så det er værd at kende de myndigheder, der skal håndhæve dem.
AI-sandkassen er et af de få steder, hvor regulering trækker i samme retning som innovation. For en dansk SMV, der er i tvivl om reglerne, er det en lav tærskel til at få myndighedernes vurdering, før pengene er brugt på en lancering, der måske ikke holder. Det afgørende bliver kapaciteten hos de myndigheder, der skal drive sandkasserne. Fristen 2. august 2027 er sat. Spørgsmålet er, om Danmark og resten af EU når at bygge ordninger, der er store nok til, at de virksomheder, der har brug for dem, også kan komme ind.