Bruger din virksomhed AI? Så er der allerede regler, I skal have styr på

I artiklen 15 afsnit

1. Hvilke regler gælder allerede, når virksomheder bruger AI?
2. GDPR kræver, at I kan dokumentere behandlingen af personoplysninger
3. Hvor ender virksomhedens data, når medarbejderne bruger AI?
4. Hvad med AI-leverandører, databehandleraftaler og underleverandører?
5. Hvem har ansvaret for AI i virksomheden?
6. Hvad kræver AI-forordningen i 2026 og de kommende år?
7. Hvornår bliver NIS2 og andre sikkerhedskrav relevante?
8. Hvorfor skal virksomheder risikovurdere deres AI-anvendelser?
9. Kan virksomheden dokumentere, hvad den har gjort?
10. Hvad koster det at mangle overblik?
11. Hvordan kan SPOR hjælpe?
12. Det vigtigste er ikke kun reglerne i dag
13. Sådan kommer I i gang
14. Ofte stillede spørgsmål
15. Kilder

Artiklen er generel information og ikke individuel juridisk rådgivning. Reglerne er kontrolleret mod officielle kilder 14. oktober 2026. Hvor jeg skriver “min vurdering”, “min anbefaling” eller “tænkt eksempel”, er det mine egne synspunkter og ikke krav eller fakta.

Hvilke regler gælder allerede, når virksomheder bruger AI?

Fire slags regler kan ramme jeres brug af AI: GDPR, AI-forordningen, sektor- og sikkerhedsregler som NIS2-loven, og krav i aftaler med kunder. De er ikke ens, og de gælder ikke alle. Tabellen skiller dem ad, så I kan se, hvad der er lov, hvad der gælder bestemte virksomheder, og hvad der er aftalt.

Det vigtigste at tage med: Noget af det gælder allerede, ikke først om flere år. Og noget gælder kun nogle. Hvilke regler der rammer jer, afhænger af jeres branche, størrelse, data og kunder. Det kan en jurist afklare for jer. Jeg er ikke jurist.

GDPR kræver, at I kan dokumentere behandlingen af personoplysninger

GDPR gælder, så snart AI behandler personoplysninger: navne, mails, ansættelsesforhold, kundehistorik eller noget, der kan knyttes til en person. Kernen er artikel 5, stk. 2: Den dataansvarlige skal kunne påvise, at principperne overholdes. Det er ikke nok at gøre det rigtige. I skal også kunne vise det.

I praksis betyder det, at I bør kunne svare på seks spørgsmål for hver AI-anvendelse, hvor der indgår personoplysninger:

Et ofte misforstået punkt er artikel 30, fortegnelsen over behandlingsaktiviteter. Der er en undtagelse for virksomheder under 250 ansatte, men den gælder kun, hvis behandlingen ikke sandsynligvis medfører risiko, er lejlighedsvis og ikke omfatter særlige kategorier af oplysninger. Det er derfor ikke rigtigt, at små virksomheder ikke skal føre fortegnelse. Og et AI-register er ikke automatisk en fortegnelse efter artikel 30. Det bliver det kun, hvis det har det indhold, artikel 30 kræver. Se AI-register: hvad skal det indeholde og ChatGPT og GDPR: tjekliste før brug.

Hvor ender virksomhedens data, når medarbejderne bruger AI?

Et tænkt eksempel: En medarbejder tager en kundeliste ud af CRM og lægger den ind i et AI-værktøj for at analysere kundernes adfærd og skrive bedre salgsmails. Det tager ti minutter, og det virker. Men så er der en række spørgsmål, virksomheden bør kunne besvare:

• Hvilke oplysninger blev lagt ind, og til hvilket formål?
• Hvilket behandlingsgrundlag dækker det?
• Hvem modtager oplysningerne, og hvor behandles de?
• Hvor længe gemmes de, og hvem kan se dem?
• Bruges de til at træne modellen?
• Hvilke underdatabehandlere bruger leverandøren, og sker der overførsel til et tredjeland?
• Hvilke aftaler og garantier gælder, og hvem godkendte brugen?

Hvad svaret er, afhænger af værktøjet, produkttypen og indstillingerne. Det gælder ChatGPT, Copilot, Claude og egne AI-agenter. Jeg påstår ikke, at et bestemt værktøj træner på jeres data eller overfører noget ulovligt. Det skal I undersøge i leverandørens vilkår, og det kan se forskelligt ud fra en gratis konto til en erhvervsaftale. Se skygge-AI og sådan vurderer I en AI-leverandør, før I siger ja.

Er det ulovligt at overføre data uden for EU?

Nej. Det er ikke generelt ulovligt at overføre personoplysninger uden for EU og EØS. Det afgørende er, om overførslen opfylder GDPR kapitel V (artikel 44 til 49). Forskellen mellem de begreber, man støder på, er vigtig:

Det betyder, at EU-hosting ikke automatisk betyder, at der ikke sker overførsler. Adgang fra supportpersonale eller en underdatabehandler uden for EU kan også være en overførsel. For USA gælder en tilstrækkelighedsafgørelse for virksomheder, der er tilsluttet EU-US Data Privacy Framework. Kommissionens liste viser, at afgørelsen gælder pr. 14. oktober 2026, men den er blevet prøvet ved EU's retsinstanser, og en appel er ifølge sekundære kilder ikke afgjort. Derfor er det klogt at vide, hvad I gør, hvis grundlaget ændrer sig, fx om leverandøren også tilbyder standardkontraktbestemmelser.

Alle data er ikke reguleret ens

GDPR regulerer personoplysninger. Andre data kan være beskyttet på andre måder:

En vigtig begrænsning: Et overblik over, hvor data ender, kan ikke i sig selv forhindre, at data sendes det forkerte sted. Det kræver tekniske og organisatoriske kontroller, og dokumentation er ikke det samme som håndhævelse.

Hvad med AI-leverandører, databehandleraftaler og underleverandører?

Hvis en AI-leverandør behandler personoplysninger for jer, er leverandøren typisk databehandler, og artikel 28 kræver en databehandleraftale med et fast minimumsindhold. Leverandørens underdatabehandlere kræver jeres godkendelse. Om leverandøren reelt er databehandler eller selvstændig dataansvarlig, skal vurderes konkret.

En databehandleraftale alene gør ikke en AI-anvendelse lovlig. Aftalen dækker forholdet til leverandøren. Formål, behandlingsgrundlag, de berørtes information og overførselsgrundlag skal stadig være på plads. Se kunde spørger til AI og data for, hvordan I besvarer kundernes spørgsmål.

Hvem har ansvaret for AI i virksomheden?

Et tænkt eksempel: En virksomhed har 40 medarbejdere. Marketing bruger ChatGPT. Salg bruger AI i CRM. HR bruger AI til dele af rekrutteringen. Økonomi bruger AI til dokumentanalyse. IT har bygget en AI-agent, der kan hente oplysninger fra virksomhedens systemer. Alle løsningerne kan være nyttige. Men hvem har det samlede ansvar?

Efter GDPR er det virksomheden som dataansvarlig og i sidste ende ledelsen. Internt bør I afklare, hvem der gør hvad. Rollerne er ikke nødvendigvis den samme person:

Jeg anbefaler, at I skriver ansvaret ned, så det er nemt at finde. Det er både juridisk og praktisk vigtigt: Når en kunde spørger, når en medarbejder går, eller når noget går galt, skal nogen vide, at de har ansvaret. En rolle i et system fritager ikke ledelsen for ansvar. Se ansvar for AI i virksomheden: sådan starter du.

Hvad kræver AI-forordningen i 2026 og de kommende år?

AI-forordningen (forordning 2024/1689) er ændret ved forordning 2026/1744, kaldet Digital Omnibus on AI. Den trådte i kraft 27. juli 2026, tredjedagen efter offentliggørelsen i EU-Tidende. De fleste virksomheder bruger AI som idriftsætter, altså som bruger af et AI-system. Det er noget andet end en udbyder, der udvikler og bringer systemet på markedet. Forpligtelserne er forskellige, og ikke alle AI-systemer er højrisiko.

Artikel 4. Udbydere og idriftsættere skal træffe foranstaltninger til at støtte udviklingen af AI-færdigheder hos dem, der bruger AI på deres vegne. Efter ændringen står der udtrykkeligt, at kravet ikke pålægger nogen at garantere et bestemt niveau hos hver enkelt. Kommissionen skriver, at kravet ikke betyder kursus, certifikat eller en særlig AI-ansvarlig. Forordningen har ikke en bødesats for artikel 4, og jeg har ikke kunnet finde, hvilken dansk myndighed der fører tilsyn. Se AI-forordningens artikel 4.

Artikel 5. For en almindelig virksomhed er forbuddet mod følelsesgenkendelse på arbejdspladsen det mest relevante. Det gælder ikke, hvis det sker af medicinske eller sikkerhedsmæssige grunde. Digitaliseringsstyrelsen fører tilsyn med dette forbud i Danmark.

Artikel 50. Bygger I en chatbot, der taler direkte med mennesker, skal den oplyse, at den er AI, medmindre det er åbenlyst. Udbydere af systemer, der genererer lyd, billeder, video eller tekst, skal markere outputtet maskinlæsbart. Idriftsættere, der udgiver deepfakes, skal oplyse, at de er kunstige, og AI-tekst, der offentliggøres for at informere om offentlige anliggender, skal mærkes, medmindre den er gennemgået af et menneske med redaktionelt ansvar. Se skal vi fortælle kunderne, når vi bruger AI.

Højrisiko. Om et system er højrisiko afhænger af, hvad det bruges til. Bilag III nævner bl.a. beskæftigelse, fx rekruttering og beslutninger om forfremmelse. Som idriftsætter har I selv pligter, bl.a. at bruge systemet efter brugsanvisningen, sørge for menneskeligt tilsyn og informere medarbejderne før brug på arbejdspladsen (artikel 26). Konsekvensanalyse af grundlæggende rettigheder (artikel 27) gælder kun bestemte idriftsættere, fx i kredit- og forsikringsvurdering og dem, der leverer offentlige tjenester. Ændringen indfører også en overgangsregel: Systemer, der er i brug før datoerne, er kun omfattet, hvis designet ændres væsentligt. Se AI-forordningen og højrisiko: en tjekliste og hvornår træder AI-forordningen i kraft.

Hvornår bliver NIS2 og andre sikkerhedskrav relevante?

NIS2-loven (lov nr. 434 af 2025) gælder kun virksomheder og organisationer i bestemte sektorer, over bestemte størrelser. De fleste små virksomheder er ikke omfattet. Er I omfattet, skal I bl.a. styre risici, håndtere hændelser og have styr på sikkerheden hos leverandører, og det omfatter også AI-værktøjer, fordi de er en del af jeres net- og informationssystemer. Efter § 7 skal ledelsen godkende foranstaltningerne, føre tilsyn med dem og deltage i relevante kurser. Loven undtager enheder, hvor sektorspecifik EU-regulering har mindst samme virkning.

DORA er et eksempel på sektorregler: Finansielle virksomheder skal bl.a. have ledelsen til at godkende IKT-risikostyringen og føre register over aftaler om IKT-tjenester. Det gælder ikke andre virksomheder.

Selv hvis I ikke er omfattet, kan I møde krav gennem kunder. En kunde, der selv er omfattet, kan kræve dokumentation af jeres leverandørsikkerhed i kontrakten. Det er et aftalekrav og ikke et lovkrav, og det bør I ikke forveksle. Se kunde vil auditere jeres AI.

Hvorfor skal virksomheder risikovurdere deres AI-anvendelser?

Fordi GDPR kræver passende foranstaltninger efter risiko, og fordi det er svært at forklare en beslutning, hvis ingen har vurderet noget. Et tænkt eksempel: En medarbejder vil forbinde en AI-agent til CRM. Agenten skal kunne læse kundedata, udarbejde forslag og eventuelt udføre handlinger. Før den tages i brug, kan virksomheden have brug for at afklare:

• formål og de data, den har brug for, og hvilke adgange den får
• leverandør, databehandleraftale og tredjelandsoverførsel
• sikkerhed, logning og menneskeligt tilsyn
• risiko for forkerte handlinger, og om agenten kan stoppes
• hvem der er berørt, og om en konsekvensanalyse er nødvendig
• hvem der godkender

Tre begreber bliver ofte blandet sammen:

De er ikke det samme, men kan bygge på hinanden. Se sådan risikovurderer I AI uden at være ekspert, godkendelse af AI-værktøjer og AI-agenter: hvem styrer adgang og handlinger.

Kan virksomheden dokumentere, hvad den har gjort?

Det er spørgsmålet, en kunde, en revisor eller en myndighed i sidste ende stiller. En politik, en beslutning, en risikovurdering og en teknisk kontrol er fire forskellige ting. En politik siger, hvad I vil. En beslutning viser, hvad I valgte, hvornår og hvorfor. En risikovurdering viser, hvad I overvejede. En teknisk kontrol er det, der faktisk virker i systemet. Dokumentation viser, at den er indført, og først en test viser, om den virker. En virksomhed bliver ikke compliant, bare fordi den har skrevet, at en kontrol findes.

Et tænkt eksempel: En kunde beder om dokumentation for, hvordan I bruger AI og behandler kundeoplysninger. Kan I finde aftaler, vurderinger, ansvarsfordeling og beslutninger på en time, eller skal I lede i mails, regneark og hos enkeltpersoner?

Og når noget går galt?

Et andet eksempel: En medarbejder lægger ved en fejl personoplysninger ind i et AI-værktøj, der ikke er godkendt til formålet. Virksomheden har brug for en kendt proces: hvem skal have besked med det samme, hvem vurderer, om det er et brud på persondatasikkerheden, hvem dokumenterer, og hvad der skal ændres, så det ikke sker igen.

Efter GDPR artikel 33 skal et brud anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter, at I er blevet bekendt med det, medmindre det sandsynligvis ikke indebærer en risiko. Fristen løber altså fra kendskab og ikke fra selve hændelsen. Alle brud skal dokumenteres, også dem der ikke anmeldes. Er I omfattet af NIS2, kan der gælde en tidlig varsling inden for 24 timer for væsentlige hændelser. Se når AI laver en fejl.

Hvad koster det at mangle overblik?

Det er ikke sikkert, at der sker noget dramatisk. Men det kan fx betyde:

• Tid går med at lede efter aftaler, gamle beslutninger og oplysninger om systemer.
• Flere afdelinger betaler for værktøjer med samme formål. Se overlap mellem AI-værktøjer.
• Viden sidder hos én medarbejder, og når vedkommende stopper, forsvinder overblikket.
• En kunde eller revisor spørger, og ingen kan svare hurtigt og ensartet.
• Nye værktøjer tages i brug uden en afklaring af data og leverandør.
• Når en leverandør ændrer vilkår, opdager ingen det.

Det er realistiske konsekvenser og ikke tal. Jeg har ikke en procent eller en kronesum, og jeg opfinder ingen. Hvad det koster hos jer, afhænger af, hvor mange værktøjer I har, og hvor ofte nogen spørger.

Hvordan kan SPOR hjælpe?

Hvem ejer løsningen? Hvilke data bruger den? Hvilken leverandør, og hvilken aftale? Hvem godkendte, og hvad blev vurderet? Det er det, SPOR er bygget til at samle. SPOR er et værktøj til overblik, governance og dokumentation, og det er hverken juridisk rådgivning, certificering eller en garanti for, at I overholder reglerne.

Tabellen viser, hvordan jeg ser sammenhængen mellem krav, udfordring og værktøj, og hvad værktøjet ikke løser. Den bygger på funktioner, jeg har kontrolleret findes i SPOR.

Ud over det juridiske er der en praktisk værdi, som jeg ser som muligheder og ikke garantier: mindre dobbeltarbejde, når nogen leder efter en aftale eller en beslutning, bedre overblik over leverandører, mulighed for at se overlappende værktøjer, hurtigere afklaring, når en medarbejder vil bruge et nyt værktøj, et bedre grundlag for ledelsens prioritering, mindre afhængighed af enkeltpersoner og et bedre udgangspunkt, når medarbejdere skifter, eller leverandører ændrer vilkår. Hvor stor gevinsten bliver, afhænger af jer.

Et værktøj er ikke en løsning på ansvaret. Dokumentation er ikke det samme som, at kontrollen virker, og en udfyldt side er ikke bevis. Se, hvad SPOR kan, og hvad det ikke kan, på SPOR-siden.

Det vigtigste er ikke kun reglerne i dag

En virksomhed starter måske med ChatGPT. Så får den Microsoft Copilot. Senere kommer AI i CRM, kundeservice og økonomi. Til sidst bygger den egne AI-agenter, og flere systemer kan handle på tværs af virksomhedens data. Hvert skridt er nyttigt. Men hvert skridt giver også flere leverandører, flere integrationer, flere adgange, flere automatiske beslutninger og flere ejere, der skal følges op på.

Det betyder ikke, at lovgivningen med sikkerhed bliver strengere. Nogle regler kan blive ændret, lempet eller udskudt. Omnibus-forordningen fra 2026 er et eksempel på, at reglerne flytter sig. Der ligger også forslag om at ændre dele af GDPR, men de er ikke vedtaget, så jeg bruger de gældende regler. Min vurdering er, at den langsigtede værdi ligger i, at virksomheden kan bevare overblik og dokumentation, når teknologien og kravene ændrer sig. SPOR opfylder ikke automatisk fremtidige krav. Men en virksomhed, der allerede ved, hvad den bruger, hvem der ejer det, og hvad der er besluttet, har et bedre udgangspunkt, uanset hvad der ændrer sig.

Jeg synes, vi skal bruge AI til alt det, hvor teknologien giver mening. Men vi skal også kunne svare på, hvad vi bruger, hvilke data der er involveret, og hvem der har ansvaret. Det bremser ikke udviklingen. Det gør det muligt at udvikle virksomheden ordentligt. Se også AI-compliance og dokumentation: hvad peger retningen på og AI governance for små og mellemstore virksomheder.

Sådan kommer I i gang

1. Skriv ned, hvilke AI-værktøjer I bruger, og hvad de bruges til. Spørg medarbejderne.
2. Giv hver anvendelse en ejer. Ét navn, ikke en afdeling.
3. Find ud af, hvilke data der indgår, og om der er personoplysninger.
4. Tjek leverandørens vilkår og aftale, og hvor oplysningerne behandles.
5. Skriv beslutningen ned, og sæt en dato for næste gennemgang.

Vil I vide, hvor I står, kan I tage det gratis AI-tjek. Det kræver hverken konto eller e-mail.

Ofte stillede spørgsmål

Hvilke regler gælder for virksomheders brug af AI?

Det afhænger af, hvad AI bruges til, og hvilke data der indgår. GDPR gælder, når der behandles personoplysninger. AI-forordningen gælder bl.a. med kravet om AI-færdigheder (artikel 4), forbuddene (artikel 5) og gennemsigtighedskravene (artikel 50). Højrisikokravene gælder først fra 2. december 2027, og kun for bestemte anvendelser. NIS2-loven og DORA gælder kun virksomheder, der er omfattet.

Skal virksomheder dokumentere deres brug af AI?

Der er ikke et generelt krav om et AI-register. Men når AI behandler personoplysninger, skal den dataansvarlige kunne påvise, at GDPR overholdes (artikel 5, stk. 2 og artikel 24). Det er i praksis svært uden en form for dokumentation. Et AI-register er god praksis og ikke et lovkrav i sig selv.

Må virksomheder sende personoplysninger til AI-værktøjer?

Ja, hvis behandlingen har et lovligt grundlag og et formål, der passer, og hvis leverandøren, aftalerne og overførslerne er afklaret. Særlige kategorier af oplysninger, fx helbred, kræver en undtagelse i artikel 9. Om et bestemt værktøj kan bruges, afhænger af leverandørens vilkår, produkttype og konfiguration.

Må AI behandle data uden for EU?

Ja. Det er ikke generelt ulovligt at overføre personoplysninger uden for EU/EØS. Overførslen skal have et grundlag efter GDPR kapitel V, fx en tilstrækkelighedsafgørelse, standardkontraktbestemmelser eller en leverandør, der er tilsluttet EU-US Data Privacy Framework. Hosting i EU betyder ikke automatisk, at der ikke sker overførsler, for adgang fra et tredjeland kan også være en overførsel.

Hvem har ansvaret for AI i en virksomhed?

Ledelsen og virksomheden som dataansvarlig har ansvaret efter GDPR. Internt bør hver løsning have en ejer, og det bør være aftalt, hvem der godkender, vurderer risiko og håndterer hændelser. Det er min anbefaling, og en rolle kan ikke fritage ledelsen for dens ansvar.

Kan et AI-register bruges som GDPR-fortegnelse?

Kun hvis det indeholder det, GDPR artikel 30 kræver, fx formål, kategorier af oplysninger og modtagere. Et almindeligt AI-register er ikke automatisk en fortegnelse efter artikel 30. Undtagelsen for virksomheder under 250 ansatte gælder kun, hvis behandlingen ikke sandsynligvis medfører risiko, er lejlighedsvis og ikke omfatter særlige kategorier.

Hvad er forskellen på AI governance og AI compliance?

AI governance er virksomhedens egen styring af, hvordan AI bruges: ejere, beslutninger, risici og dokumentation. AI compliance er, at et konkret krav er opfyldt. Governance kan gøre det lettere at påvise compliance, men det er ikke det samme, og et værktøj kan ikke garantere det.

Er AI governance-software et lovkrav?

Nej. Jeg har ikke fundet et lovkrav om at bruge et bestemt værktøj eller software. Kravene handler om, hvad virksomheden skal kunne vise, ikke om hvilket værktøj den bruger.

Kilder

Reglerne er kontrolleret mod de officielle kilder nedenfor 14. oktober 2026. Det er tidsfølsomt og kan ændre sig. Resten er min vurdering, min anbefaling og mit tænkte eksempel. Artiklen er generel information og ikke individuel juridisk rådgivning.

• Forordning (EU) 2024/1689 (AI-forordningen), EUR-Lex
• Forordning (EU) 2026/1744 (Digital Omnibus on AI), EUR-Lex
• AI Act Service Desk, Europa-Kommissionen
• Forordning (EU) 2016/679 (GDPR), EUR-Lex
• Datatilsynet: cloud
• Datatilsynet: konsekvensanalyse
• Europa-Kommissionen: tilstrækkelighedsafgørelser
• Lov nr. 434 af 2025 (NIS 2-loven), Retsinformation
• Forordning (EU) 2022/2554 (DORA), EUR-Lex

Artiklen er generel information og ikke individuel juridisk rådgivning. Eksemplerne er tænkte. SPOR er hverken juridisk rådgivning, revision, certificering eller en garanti for, at virksomheden overholder reglerne. Udgivet 14. oktober 2026.