Artikler · Krav og AI-forordningen · 10 min. læsning

Hvad skal vi forvente af AI-dokumentation i EU? Et udsyn for virksomheder

Fristerne i AI-forordningen er rykket, og mindre virksomheder har fået lettelser. Betyder det, at kravene til dokumentation bliver lempeligere? Det ved ingen. Artiklen ser på, hvad retningen i dag peger på, og hvad I kan gøre allerede nu, uanset hvordan reglerne udvikler sig.

Af Martin Egesø · Udgivet 12. oktober 2026

Kort svar

Ingen ved, hvordan reglerne ser ud om få år. I dag er højrisikokravene udskudt, og mindre virksomheder har fået lettelser, mens flere regelsæt stiller krav til dem, der udvikler og sælger software og AI. Min vurdering, og ikke et faktum, er, at retningen kan give mere vægt på at kunne dokumentere, hvad man har gjort. Start med overblik, roller, beslutninger og beviser.

I artiklen 10 afsnit

Hvad ved vi, og hvad er et udsyn?
Bliver kravene lempeligere eller strengere?
Er det ligegyldigt, om I er én eller tusind?
Hvad kommer der, og hvornår?
Hvorfor kan dokumentation blive vigtigere som bevis?
Hvad bør I allerede tænke på nu?
Kan vi ikke bare vente, til reglerne er klare?
Hvad kan I gøre nu?
Ofte stillede spørgsmål
Kilder

Det vigtigste

Dette er et udsyn og ikke en forudsigelse. Det bygger på reglerne og retningen i oktober 2026, og ingen ved, hvordan det ender.
Fristerne er lempet: højrisikokravene er udskudt til december 2027 og august 2028, og SMV’er og små midcap-virksomheder har fået lettelser.
Flere regelsæt har datoer, der nærmer sig: AI-forordningen, nye produktansvarsregler for software og cybersikkerhedsreglerne. Min vurdering er, at det kan give mere vægt på dokumentation.
AI-færdigheder og forbud er ikke knyttet til størrelse. Hvilke øvrige pligter der gælder, afhænger af rollen og brugen.
Fire trin kan tages nu: Overblik, Roller, Beslutninger, Beviser. Det er min anbefaling og ikke et lovkrav.

Denne artikel ser fremad. Hvad der gælder i dag, og datoerne, står i tidslinjen for AI-forordningen.

Hvad ved vi, og hvad er et udsyn?

Det her er ikke en forudsigelse. Ingen ved, hvordan EU’s regler for AI og dokumentation ser ud om to, tre eller fem år. Artiklen beskriver, hvad der gælder i dag, og hvor retningen peger, hvis den fortsætter. Det er to forskellige ting, og jeg holder dem adskilt:

Slags	Hvad det betyder
Lovkrav	Det, der står i vedtaget lov, med dato og kilde. Hvordan du kan genkende det: Står i tabeller og med en kilde.
Anbefaling	Min vurdering af, hvad der er klogt at gøre. Ikke et lovkrav. Hvordan du kan genkende det: Står som “min anbefaling”.
Udsyn	Hvor retningen kan pege, hvis den fortsætter. Det kan ændre sig. Hvordan du kan genkende det: Står med ord som “kan”, “peger på” og “hvis”.

Jeg er rådgiver og udvikler, ikke jurist. Er du i tvivl om, hvad der gælder for din virksomhed, så spørg en jurist eller myndigheden.

Bliver kravene lempeligere eller strengere?

Det ved ingen, men i dag ser man begge dele, alt efter hvad man kigger på. Fristerne for højrisiko er rykket, og mindre virksomheder har fået lettelser. Samtidig nærmer der sig datoer for dem, der udvikler og sælger software og AI. Hvad det betyder for dokumentation, er en vurdering og ikke et faktum.

Det, der er blevet lempeligere (lovkrav)

Højrisiko er udskudt. Med omnibus-ændringen, forordning (EU) 2026/1744, der trådte i kraft 27. juli 2026, gælder højrisikokravene for systemer i bilag III fra 2. december 2027 og for systemer i bilag I fra 2. august 2028 (Europa-Kommissionen, 2026).
AI-færdigheder er omformuleret. Virksomheder skal træffe foranstaltninger, der støtter AI-færdigheder, uden krav om et bestemt niveau. Læs mere om artikel 4.
Lettelser for flere. Nogle lettelser, der før kun gjaldt SMV’er, gælder nu også små midcap-virksomheder, blandt andet forenklede krav til teknisk dokumentation (Europa-Kommissionen, 2026).

Det, der peger i den anden retning (udsyn)

Produktansvar for software og AI. Det nye produktansvarsdirektiv, direktiv (EU) 2024/2853, skal være gennemført i medlemslandene senest 9. december 2026, og begrebet “produkt” omfatter nu også software, herunder AI. Det gælder dem, der udvikler eller sælger produkter, og ikke alle virksomheder, der bruger AI. Hvad det kommer til at betyde for jeres dokumentation, ved jeg ikke. Tjek direktivet og den danske gennemførelse.
Cybersikkerhed. Cyber Resilience Act stiller krav til producenter af produkter med digitale elementer. Rapporteringspligten gælder siden 11. september 2026, og hovedkravene gælder fra 11. december 2027 (Europa-Kommissionen, 2026).
Standarder. Der arbejdes på fælles europæiske standarder, som på sigt kan give en fælles måde at vise overholdelse på. Hvornår de er klar, og hvordan de bruges, ved jeg ikke. Status skifter, så tjek CEN-CENELEC.

Mit udsyn (en vurdering og ikke et faktum): Hvis retningen holder, bliver det ikke nødvendigvis færre dokumenter, men en anden slags. Mindre tekst i politikker, mere spor af, hvem der faktisk besluttede hvad og hvornår. Det er en vurdering og ikke en forudsigelse.

Er det ligegyldigt, om I er én eller tusind?

Nej og ja. Nogle pligter afhænger ikke af størrelsen, og andre skaleres. Størrelsen ændrer typisk omfanget af dokumentationen. Den ændrer ikke, at I skal vide, hvad I bruger AI til.

Figur: Kernen (rød) er det, der ikke afhænger af størrelsen, fx AI-færdigheder og forbud. Skallen er omfanget af dokumentation og kontrol, som kan skaleres. Skemaet er en forenklet illustration, ikke en juridisk model.

Pligt	Betyder størrelsen noget?
AI-færdigheder (artikel 4)	Kravet gælder udbydere og idriftsættere Bemærkning: Tilpasset erfaring og konkret brug.
Forbudte former for AI (artikel 5)	Gælder alle Bemærkning: Gælder siden 2. februar 2025.
Gennemsigtighed (artikel 50)	Afhænger af, hvad I bruger AI til Bemærkning: Gælder fra 2. august 2026, fx ved chatbots og AI-indhold.
GDPR	Afhænger af, om der indgår personoplysninger Bemærkning: Gælder uafhængigt af AI-forordningen.
Højrisiko-krav	Afhænger af brugen Bemærkning: Fra 2. december 2027 for bilag III.
Lettelser i dokumentation	Gælder SMV’er og små midcap-virksomheder Bemærkning: Fx forenklet teknisk dokumentation.

Rollen og brugen betyder mere end antal ansatte. Et tænkt eksempel: En enkeltmandsvirksomhed, der bruger AI til at sortere jobansøgere, kan komme i en strengere kategori end en virksomhed med tusind ansatte, der kun bruger AI til tekstudkast. Eksemplet er tænkt.

Små midcap-virksomheder er en ny EU-kategori mellem SMV’er og store virksomheder, defineret i Kommissionens henstilling (EU) 2025/1099. Tjek definitionen i henstillingen, før I antager, at I er omfattet. Læs også om hvornår jeres brug af AI kan være højrisiko.

Hvad kommer der, og hvornår?

Tabellen viser datoer, der er kontrolleret mod officielle kilder, og hvem de især rammer. Datoerne kan ændres igen. Tjek altid de officielle sider. Den fulde oversigt over AI-forordningens datoer står i tidslinjen for AI-forordningen.

Dato	Hvad
2. august 2026	Gennemsigtighed (AI-forordningens artikel 50) Rammer især: Udbydere og idriftsættere af AI
11. september 2026	Rapporteringspligt i Cyber Resilience Act (varsel inden 24 timer, anmeldelse inden 72 timer) Rammer især: Producenter af produkter med digitale elementer
2. december 2026	Maskinlæsbar mærkning for ældre systemer og nye forbud mod seksualiserede deepfakes Rammer især: Udbydere
9. december 2026	Frist for medlemslandene for nye produktansvarsregler, der omfatter software og AI Rammer især: Dem, der udvikler eller sælger produkter
2. december 2027	Højrisikokrav for systemer i bilag III, fx rekruttering og kreditvurdering Rammer især: Udbydere og idriftsættere af højrisiko-AI
11. december 2027	Hovedkrav i Cyber Resilience Act Rammer især: Producenter af produkter med digitale elementer
2. august 2028	Højrisikokrav for systemer i bilag I, AI i regulerede produkter Rammer især: Producenter

Kilder: Europa-Kommissionen om AI-forordningen og Cyber Resilience Act, Digitaliseringsstyrelsen om omnibus-ændringen og direktiv (EU) 2024/2853. Se kildelisten nederst.

Hvorfor kan dokumentation blive vigtigere som bevis?

En politik fortæller, hvad I har tænkt jer at gøre. Et spor fortæller, hvad I har gjort. Spørgsmålene kan komme fra flere sider: en kunde, der vil auditere jeres AI, en myndighed, en forsikring eller i yderste fald en retssag.

Hvis retningen fortsætter, vil virksomheder kunne blive spurgt om ting, som er svære at svare på bagud:

Hvem godkendte, at værktøjet måtte bruges, og hvornår?
Hvilke oplysninger blev sendt hvorhen, og efter hvilke vilkår?
Hvad ændrede sig i værktøjet eller aftalen, og hvem fik besked?
Hvad gjorde vi, da noget gik galt? Se hvad virksomheden gør bagefter.

Min anbefaling: Uanset hvordan reglerne ender, er det spørgsmål, det er klogt at kunne besvare.

Hvad bør I allerede tænke på nu?

Min model har fire trin: Overblik, Roller, Beslutninger, Beviser. Det er min egen model og ikke en standard, og den er min anbefaling og ikke et lovkrav.

Trin	Spørgsmålet
1. Overblik	Hvilke AI-løsninger bruger vi, også dem leverandøren har slået til? Eksempel på bevis: En liste, fx et AI-register.
2. Roller	Er vi udbyder eller idriftsætter, og hvem ejer løsningen? Eksempel på bevis: Et navn pr. løsning. Se hvem ejer AI-systemet.
3. Beslutninger	Hvem godkendte brugen, til hvad, og med hvilke oplysninger? Eksempel på bevis: En dateret beslutning med begrundelse.
4. Beviser	Kan vi vise aftaler, ændringer og hændelser bagud? Eksempel på bevis: Gemte vilkår og versioner, ændringslog, hændelsesnotater.

Tjekliste: otte spørgsmål, I kan besvare allerede nu

Kan vi opremse de AI-værktøjer og AI-funktioner, vi bruger?
Er vi udbyder eller idriftsætter for hver af dem?
Hvem ejer dem, og hvem har godkendt dem (og hvornår)?
Hvilke oplysninger indgår, og er der personoplysninger?
Hvilke aftaler og vilkår gælder, og har vi gemt versionen?
Hvornår blev brugen sidst gennemgået, og hvad ændrede sig?
Hvad gør vi, hvis noget går galt, og hvem skal have besked?
Hvad har medarbejderne fået at vide om brugen af AI?

Kan I besvare et spørgsmål skriftligt og med navn på den ansvarlige, er det afklaret. Hvor I kun har en fornemmelse, mangler I stadig afklaring.

Skal du have en enkel ramme at starte med, så læs AI governance for små og mellemstore virksomheder og AI-politik i virksomheden.

Kan vi ikke bare vente, til reglerne er klare?

Min vurdering: Det kan I. Men der er en pris, som ikke handler om bøder. Beslutninger, der ikke blev skrevet ned, kan ikke genskabes bagefter. Hvis en kunde, en forsikring eller en myndighed spørger, bliver svaret et skøn.

Min anbefaling: I behøver ikke bygge et stort system. Jeres første skridt kan være småt, og overblik og ejerskab er nyttige, uanset hvordan reglerne udvikler sig.

Min anbefaling: Brug også udskydelsen til at undersøge, om noget af jeres brug kan være højrisiko.

Hvad kan I gøre nu?

Skriv listen over de AI-løsninger, I bruger, med en ejer ved hver.
Vælg den vigtigste, og besvar de otte spørgsmål skriftligt.
Gem aftaler og vilkår med dato, og notér, når noget ændrer sig.

Næste skridt: Læs, hvornår kunden skal have besked om jeres brug af AI, og se, hvilke dele af gennemsigtighedskravet der kan ramme jer.

Hvor passer SPOR ind?

Hvor ligger beslutningen? Hvem ejer løsningen? Hvilke oplysninger indgår, og hvornår blev den sidst gennemgået? Det er de spørgsmål, SPOR udvikles til at samle. SPOR er under udvikling og er hverken certificering eller en garanti for, at kravene er opfyldt. Et værktøj erstatter ikke ansvaret.

Ofte stillede spørgsmål

Bliver AI-reglerne lempeligere?

Det ved ingen. I dag er tidsplanerne blevet mere lempelige, og mindre virksomheder har fået lettelser, men andre regler, fx om produktansvar for software, peger i retning af mere fokus på bevis. Min anbefaling: Behandl lettelser som en pause og ikke som et løfte om færre krav.

Gælder AI-forordningen også små virksomheder?

Ja, AI-forordningen gælder også små virksomheder. Pligterne afhænger af, hvad virksomheden bruger AI til, og hvilken rolle den har. Små virksomheder og små midcap-virksomheder har lettelser, fx forenklede krav til teknisk dokumentation. Tjek, hvad der gælder for jer.

Hvad er en lille midcap-virksomhed?

En ny EU-kategori mellem SMV'er og store virksomheder, defineret i Kommissionens henstilling (EU) 2025/1099. Tjek definitionen i henstillingen, før I antager, at I er omfattet.

Skal vi certificeres efter ISO 42001?

Nej, AI-forordningen kræver ikke en bestemt certificering. ISO/IEC 42001 er en frivillig standard for et AI-ledelsessystem. Den kan være nyttig som inspiration, men I behøver den ikke for at bruge AI ordentligt.

Hvad skal vi dokumentere allerede nu?

Min anbefaling, ikke et lovkrav: hvilke AI-løsninger I bruger, hvilken rolle I har, hvem der ejer og har godkendt dem, hvilke oplysninger der indgår, hvilke aftaler der gælder, og hvornår brugen sidst blev gennemgået.

Kilder

Oplysninger om regler er kontrolleret 12. oktober 2026 mod Europa-Kommissionens sider, EUR-Lex og Digitaliseringsstyrelsen. Reglerne kan ændre sig, og krav afhænger af den konkrete anvendelse og virksomhedens rolle. Tjek altid den officielle tekst, før I handler på noget i artiklen.

Om forfatteren

Martin Egesø er rådgiver og udvikler. Han hjælper virksomheder med at få mere ud af deres systemer og AI-værktøjer og bygger nye løsninger, når standarden ikke passer, med styr på brug, data og ansvar. Han driver MLE Gruppo ApS i Randers.

Mere om Martin

Artiklen er et udsyn baseret på reglerne og retningen i oktober 2026. Den beskriver ikke, hvordan reglerne bliver, og er generel vejledning og ikke juridisk rådgivning. Eksemplet er tænkt. SPOR er under udvikling og er hverken certificering, revision eller en garanti for, at virksomheden overholder reglerne. Udgivet 12. oktober 2026.