Artikler · Krav og AI-forordningen · 11 min. læsning

Hvornår er jeres brug af AI højrisiko efter AI-forordningen?

De fleste virksomheder bruger AI til tekster, opsummeringer og kundeservice, og det er ikke højrisiko. Men bruger I AI til at vurdere mennesker, fx ansøgere, medarbejdere eller kunders kreditværdighed, kan AI-forordningens højrisiko-regler ramme jer. Her er en tjekliste, I kan bruge til at se, hvor I skal kigge nærmere.

Af Martin Egesø · Udgivet 26. september 2026

Kort svar

Højrisiko efter AI-forordningen handler om, hvad AI bruges til, ikke om hvilket værktøj det er. For almindelige virksomheder er de vigtigste områder i bilag III rekruttering og styring af medarbejdere, kreditvurdering af privatpersoner og prisfastsættelse af livs- og sygeforsikring. Kravene til de systemer gælder fra 2. december 2027.

I artiklen 9 afsnit

Hvad betyder højrisiko i AI-forordningen?
Tjeklisten: fem spørgsmål til hver anvendelse
Områderne i bilag III, der rammer almindelige virksomheder
AI i rekruttering og HR: der, de fleste skal kigge først
Undtagelsen i artikel 6, stk. 3
Hvad skal I gøre som idriftsætter?
Hvornår gælder kravene til højrisiko-AI?
Kan I gøre det selv?
Ofte stillede spørgsmål

Det vigtigste

Højrisiko afhænger af formålet. Samme værktøj kan være almindeligt i én anvendelse og højrisiko i en anden.
AI i rekruttering og HR er det område, de fleste SMV'er skal kigge på først.
Et bilag III-system er ikke højrisiko, hvis det kun løser en snæver eller forberedende opgave, men aldrig hvis det profilerer personer.
Som idriftsætter skal I bl.a. følge brugsanvisningen, sikre menneskeligt tilsyn og informere medarbejdere og berørte.
Kravene til bilag III-systemer gælder fra 2. december 2027, så der er tid til at få overblik nu.

Hvad betyder højrisiko i AI-forordningen?

Et højrisiko-AI-system er et AI-system, der kan få betydning for menneskers sundhed, sikkerhed eller grundlæggende rettigheder, og som derfor skal leve op til særlige krav. AI-forordningen (EU's regler for kunstig intelligens) skelner mellem to slags (EUR-Lex, 2024):

Bilag I: AI, der er en sikkerhedskomponent i et produkt, som allerede er reguleret, eller som selv er sådan et produkt, fx legetøj, elevatorer og medicinsk udstyr.
Bilag III: AI brugt til bestemte formål, fx rekruttering, kreditvurdering eller bedømmelse af elever.

For de fleste virksomheder er det bilag III, der er relevant, fordi det handler om, hvad I bruger AI til.

To roller er vigtige. Udbyderen udvikler systemet og bringer det på markedet under eget navn. Idriftsætteren er den virksomhed, der bruger systemet. Køber I et rekrutteringsværktøj med AI, er I typisk idriftsætter. Udbyderen har de tungeste krav. Idriftsætteren har færre, men de er konkrete.

Tjeklisten: fem spørgsmål til hver anvendelse

Tjeklisten virker bedst, når I stiller de samme fem spørgsmål til hver AI-anvendelse. Mangler I en liste over anvendelserne, så start med at få overblik over jeres AI-brug.

Bruges AI til at vurdere, sortere eller træffe beslutninger om mennesker? Hvis nej, er anvendelsen for en almindelig virksomhed typisk uden for bilag III.
Ligger anvendelsen inden for et af områderne i bilag III? Se tabellen nedenfor. Det er formålet, der tæller, ikke hvad værktøjet kalder sig.
Profilerer systemet personer? Profilering betyder, at systemet automatisk vurderer personlige forhold, fx arbejdsindsats, pålidelighed eller økonomi. Så er et bilag III-system altid højrisiko.
Har I selv ændret formålet? Bruger I et generelt værktøj, fx en chatassistent, til et bilag III-formål, kan I selv blive betragtet som udbyder (artikel 25).
Hvad siger leverandøren? Spørg, om leverandøren har klassificeret systemet som højrisiko, og om de har brugt undtagelsen i artikel 6, stk. 3.

Svarer I ja til spørgsmål 1 og 2, kan anvendelsen være højrisiko, og den skal have et nærmere kig.

Områderne i bilag III, der rammer almindelige virksomheder

De områder i bilag III, som almindelige virksomheder oftest støder på, er beskæftigelse, kreditvurdering, forsikring, adgang til offentlige ydelser og uddannelse. Resten handler mest om biometri, kritisk infrastruktur og myndighedsopgaver. Tabellen giver eksempler, men den afgørende tekst står i bilag III selv (EUR-Lex, 2024).

Område	Eksempel på anvendelse	Kan være højrisiko?	Hvad I gør nu
Rekruttering (bilag III, pkt. 4, litra a)	AI sorterer ansøgninger, rangerer kandidater eller målretter jobannoncer	Ja, kan være	Spørg leverandøren om klassificering, og lad et menneske træffe beslutningen
Rekruttering med generelt værktøj	En chatassistent sammenligner CV'er og peger på de bedste	Ja, kan være, og I kan blive udbyder	Stop det som fast praksis, indtil det er vurderet
Jobopslag	En chatassistent skriver udkast til et jobopslag	Typisk ikke	Almindelig styring og AI-færdigheder
Medarbejderstyring (pkt. 4, litra b)	AI fordeler opgaver ud fra den enkeltes adfærd eller egenskaber, eller overvåger og vurderer præstationer	Ja, kan være	Beskriv anvendelsen, og tal med medarbejderrepræsentanter tidligt
Forfremmelse og afskedigelse (pkt. 4, litra b)	AI giver beslutningsstøtte til forfremmelse eller opsigelse	Ja, kan være	Brug det ikke uden en klar vurdering
Følelsesgenkendelse på arbejdspladsen	AI aflæser medarbejderes humør i opkald eller på video	Forbudt, ikke kun højrisiko (artikel 5)	Brug det ikke, medmindre formålet er medicinsk eller sikkerhedsmæssigt
Kreditvurdering (pkt. 5, litra b)	AI vurderer, om en privatkunde kan få afbetaling eller kredit	Ja, kan være	Spørg leverandøren, og vær klar til at kunne forklare afgørelser
Svindelopdagelse	AI markerer mistænkelige betalinger	Nej, undtaget i pkt. 5, litra b	Almindelig styring og databeskyttelse
Livs- og sygeforsikring (pkt. 5, litra c)	AI vurderer risiko og pris for en person	Ja, kan være	Få anvendelsen vurderet konkret
Offentlige ydelser (pkt. 5, litra a)	I vurderer på vegne af en myndighed, om borgere kan få en ydelse	Ja, kan være	Afklar ansvaret med myndigheden
Uddannelse (pkt. 3)	En kursusudbyder bruger AI til at bedømme prøver eller optagelse	Ja, kan være	Beskriv anvendelsen, og spørg leverandøren
Almindeligt kontorarbejde	Tekster, oversættelse, mødereferater, kundeservice	Nej, typisk ikke	AI-færdigheder og ordentlig håndtering af data

Tabellen viser, hvor I skal kigge nærmere, ikke hvad resultatet bliver. Europa-Kommissionen har offentliggjort et udkast til retningslinjer med eksempler på, hvornår et system er højrisiko, men de er endnu ikke endelige (Europa-Kommissionen, 2026).

AI i rekruttering og HR: der, de fleste skal kigge først

AI i rekruttering og HR er det område i bilag III, som flest almindelige virksomheder rammer, fordi næsten alle ansætter og leder medarbejdere. Bilaget nævner AI, der bruges til at rekruttere eller udvælge personer, herunder til at målrette jobannoncer, analysere og filtrere ansøgninger og evaluere kandidater. Det nævner også AI, der bruges til beslutninger om arbejdsvilkår, forfremmelse og afskedigelse, til at fordele opgaver ud fra adfærd eller personlige egenskaber og til at overvåge og vurdere præstationer.

HR- og rekrutteringssystemer får løbende AI-funktioner, fx en score for hver ansøger. Det er netop den slags funktioner, der kan gøre et system til højrisiko. Tjek derfor også de systemer, I allerede har.

Et tænkt eksempel

HR-chefen opdager, at rekrutteringssystemet har fået en ny funktion, der giver hver ansøger en score. Den er slået til som standard. HR-chefen slår den fra, indtil leverandøren har svaret på, om den er klassificeret som højrisiko.

Husk, at databeskyttelsesreglerne gælder ved siden af. Træffes en afgørelse om en ansøger alene automatisk, gælder der særlige regler om automatiske afgørelser og profilering (Artikel 29-gruppen, 2018, på Datatilsynets site).

Undtagelsen i artikel 6, stk. 3

Et AI-system, der falder ind under bilag III, er alligevel ikke højrisiko, hvis det ikke udgør en væsentlig risiko for skade på menneskers sundhed, sikkerhed eller grundlæggende rettigheder, herunder ved ikke i væsentlig grad at påvirke resultatet af en beslutning. Artikel 6, stk. 3, nævner fire situationer (EUR-Lex, 2024):

Systemet udfører en snævert defineret proceduremæssig opgave, fx at sortere dokumenter efter type.
Systemet forbedrer resultatet af noget, et menneske allerede har gjort færdigt, fx sproget i en tekst.
Systemet finder mønstre eller afvigelser i tidligere beslutninger og skal ikke erstatte eller påvirke en allerede foretaget menneskelig vurdering uden ordentlig menneskelig gennemgang.
Systemet udfører en forberedende opgave til en vurdering inden for et af områderne i bilag III.

Der er en vigtig grænse: Et bilag III-system, der profilerer personer, er altid højrisiko. Et system, der rangerer ansøgere ud fra en vurdering af deres egnethed, vil derfor typisk ikke kunne bruge undtagelsen.

Det er udbyderen, der vurderer, om undtagelsen gælder, og udbyderen skal dokumentere vurderingen, før systemet kommer på markedet (artikel 6, stk. 4). Som idriftsætter kan I bede leverandøren om at forklare den vurdering. Grænsen mellem en forberedende opgave og en egentlig vurdering kan være svær at trække, og Kommissionens retningslinjer om emnet er stadig et udkast. Brug derfor undtagelsen med forsigtighed.

Hvad skal I gøre som idriftsætter?

Som idriftsætter af et højrisiko-AI-system skal I især bruge systemet rigtigt, have mennesker til at føre tilsyn og holde de berørte informeret. Artikel 26 indeholder bl.a. disse krav (EUR-Lex, 2024):

Følg brugsanvisningen: Brug systemet, som udbyderen har beskrevet (stk. 1).
Sørg for menneskeligt tilsyn: Udpeg personer med den nødvendige kompetence, uddannelse og myndighed (stk. 2).
Hold øje med inputdata: Styrer I de data, der kommer ind, skal de være relevante og tilstrækkeligt repræsentative for formålet (stk. 4).
Overvåg driften: Giv udbyderen besked ved risici eller alvorlige hændelser, og stop brugen, hvis det er nødvendigt (stk. 5).
Gem logfiler: Opbevar de logfiler, systemet laver automatisk, i mindst seks måneder, i det omfang I har kontrol over dem (stk. 6).
Informér medarbejderne: Før I tager et højrisiko-system i brug på arbejdspladsen, skal medarbejderrepræsentanter og de berørte medarbejdere informeres (stk. 7).
Informér de berørte: Bruger I et bilag III-system til at træffe eller støtte beslutninger om personer, skal de have besked om det (stk. 11).
Brug oplysningerne i en konsekvensanalyse: Hvor det er relevant, bruger I udbyderens oplysninger, når I laver en konsekvensanalyse efter databeskyttelsesreglerne (stk. 9).

Personer, der rammes af en afgørelse baseret på et højrisiko-system fra bilag III, har ret til en klar og meningsfuld forklaring på systemets rolle, når afgørelsen har retsvirkning eller påvirker dem tilsvarende betydeligt (artikel 86). Bruger I AI til kreditvurdering eller livs- og sygeforsikring, skal I også vurdere konsekvenserne for grundlæggende rettigheder (artikel 27).

Menneskeligt tilsyn kræver, at medarbejderne forstår værktøjet. Det hænger sammen med kravet om AI-færdigheder efter artikel 4, som gælder allerede i dag.

Hvornår gælder kravene til højrisiko-AI?

Kravene til højrisiko-AI-systemer i bilag III gælder fra 2. december 2027. Oprindeligt skulle de gælde fra 2. august 2026, men datoen blev udskudt ved forordning (EU) 2026/1744, som trådte i kraft 27. juli 2026 (Europa-Kommissionen, 2026; EUR-Lex, 2026). For bilag I, altså AI i regulerede produkter, er datoen 2. august 2028.

Andre dele af forordningen gælder allerede. Forbuddene i artikel 5, fx mod følelsesgenkendelse på arbejdspladsen, har gældt siden 2. februar 2025, og det samme har kravet om AI-færdigheder. Se hele rækkefølgen i AI-forordningens tidslinje.

Nogle vejledninger nævner stadig de gamle datoer, så tjek, hvornår en kilde sidst er opdateret. Det gælder fx også den ellers gode danske oversigt over højrisiko-AI hos Digitaliseringsstyrelsen.

Udskydelsen betyder ikke, at I skal vente. Et HR-system, I vælger i dag, er sandsynligvis stadig i brug i december 2027, så stil leverandøren de rigtige spørgsmål nu.

Kan I gøre det selv?

Ja, de fleste virksomheder kan selv gennemgå deres AI-anvendelser med tjeklisten og tabellen. For mange er svaret, at intet er højrisiko, og så handler det om AI-færdigheder og ordentlig håndtering af data. Det vigtigste er at få alle anvendelser med.

Det kan give mening at få hjælp udefra, hvis:

I bruger AI i rekruttering, HR eller kreditvurdering og er i tvivl om, hvordan det skal vurderes.
Der er mange systemer og leverandører, og ingen har tid til at samle svarene.
Anvendelserne behandler persondata om ansøgere, medarbejdere eller kunder i større omfang.
I overvejer at bygge eller tilpasse en løsning selv og vil vide, om I dermed bliver udbyder.

En system- og AI-gennemgang kan være en måde at få det samlet på. Er I i tvivl om en konkret juridisk vurdering, så tal med en advokat med erfaring i AI-forordningen.

Ofte stillede spørgsmål

Hvad er højrisiko-AI?

Højrisiko-AI er AI-systemer, som AI-forordningen stiller særlige krav til, fordi de kan påvirke menneskers sundhed, sikkerhed eller rettigheder. Det gælder AI i visse regulerede produkter (bilag I) og AI brugt til bestemte formål som rekruttering og kreditvurdering (bilag III). Det er formålet, der afgør det, ikke teknologien.

Er brug af AI i rekruttering højrisiko?

AI i rekruttering kan være højrisiko, når AI bruges til at målrette jobannoncer, filtrere ansøgninger eller evaluere kandidater. At bruge AI til at skrive et udkast til et jobopslag er typisk ikke højrisiko. Spørg leverandøren, hvordan systemet er klassificeret, og lad et menneske træffe beslutningen.

Hvad står der i bilag III?

Bilag III er listen over de otte områder, hvor AI kan være højrisiko: biometri, kritisk infrastruktur, uddannelse, beskæftigelse, væsentlige private og offentlige tjenester og ydelser, retshåndhævelse, migration, asyl og grænsekontrol samt retspleje og demokratiske processer. For almindelige virksomheder er beskæftigelse og kreditvurdering de mest relevante.

Er ChatGPT et højrisiko-AI-system?

En generel chatassistent er ikke højrisiko i sig selv, fordi den ikke er lavet til et bestemt bilag III-formål. Men bruger I den til fx at vurdere ansøgere, kan anvendelsen være højrisiko, og I kan selv blive betragtet som udbyder. Læs også om ChatGPT og GDPR.

Hvornår gælder reglerne for højrisiko-AI?

Kravene til højrisiko-AI i bilag III gælder fra 2. december 2027, og for AI i regulerede produkter fra 2. august 2028. Forbuddene og kravet om AI-færdigheder gælder allerede. Datoerne blev ændret i 2026, så tjek, at jeres kilder er opdaterede.

Om forfatteren

Martin Egesø er rådgiver og udvikler. Han hjælper virksomheder med at få mere ud af deres systemer og AI-værktøjer og bygger nye løsninger, når standarden ikke passer, med styr på brug, data og ansvar. Han driver MLE Gruppo ApS i Randers.

Mere om Martin

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 26. september 2026.