EU AI Act-forhandlinger kollapser: Danske virksomheder risikerer at stå uden udsættelse til august

Den 28. april 2026 brød forhandlingerne om en reform af EU’s AI Act sammen efter 12 timers intensiv trilog mellem Europa-Parlamentet og Rådet. Resultatet er, at den oprindelige deadline for compliance med højrisiko-AI-systemer den 2. august 2026 fortsat gælder som lov. For danske virksomheder, der regnede med en udsættelse, er det en alvorlig opvågning.

Hvad skete der i Bruxelles?

EU-Kommissionen præsenterede i november 2025 et forslag kaldet “Digital Omnibus on AI”, der blandt andet ville udskyde compliance-fristen for selvstændige højrisiko-AI-systemer til december 2027 og for AI indlejret i regulerede produkter til august 2028. Det blev modtaget med lettelse i erhvervslivet, som kæmpede med at nå den originale deadline.

Men den anden politiske trilog den 28.-29. april endte uden enighed. Kernen i konflikten er den såkaldte konformitetsvurderingsarkitektur for AI i regulerede produkter under Bilag I, altså alt fra medicinsk udstyr og maskiner til legetøj og in vitro-diagnostik. Europa-Parlamentet vil, støttet af industrien, have at AI i disse produkter udelukkende vurderes efter de eksisterende sektorspecifikke sikkerhedsregler. Rådet afviser den brede undtagelse og insisterer på, at AI Act’s eget regime skal gælde som et ekstra lag.

En ny trilog er planlagt til omkring 13. maj, men det cypriotiske rådsformandskab skal lukke aftalen inden 30. juni, hvor deres periode udløber. Lykkes det ikke, fastholdes den oprindelige EU AI Act deadline som gældende lov.

Hvad kræver compliance egentlig?

Fra 2. august 2026 skal alle Bilag III-højrisiko-AI-systemer leve op til en række konkrete krav. Det handler om risikostyringssystemer, datastyring, teknisk dokumentation, automatisk logning, menneskelig overvågning samt krav til nøjagtighed, robusthed og cybersikkerhed. Derudover kræves CE-mærkning og registrering i EU’s AI-database.

Højrisiko-systemer omfatter alt fra AI til rekruttering, kreditvurdering og sundhedsdiagnostik til biometrisk identifikation og kritisk infrastruktur. Det er bredt, og det rammer langt flere virksomheder end mange tror. Under AI Act er enhver virksomhed, der bruger AI professionelt, en “deployer” med forpligtelser. Det gælder ikke kun tech-firmaer.

Sanktionerne er markante. For brud på forbuddet mod visse AI-praksisser (manipulative systemer, social scoring, uautoriseret biometrisk identifikation) kan bøder nå op til 35 millioner euro eller 7 procent af global omsætning. For overtrædelse af højrisiko-kravene er det op til 15 millioner euro eller 3 procent. Selv det at give falske oplysninger kan koste op til 7,5 millioner euro.

Danmark: Struktur på plads, men SMV’er halter

Danmark har på papiret gjort sit hjemmearbejde. Digitaliseringsstyrelsen er udpeget som national koordineringsmyndighed med ansvar for inspektioner, compliance-ordrer og midlertidige forbud. Et konsortium ledet af Netcompany, med opbakning fra store danske banker, pensionskasser, forsikringsselskaber og Microsoft, lancerede i 2024 et compliance-framework specifikt målrettet EU AI Act deadline-kravene.

Men virkeligheden blandt danske SMV’er ser anderledes ud. De fleste har ifølge brancherapporter ikke gjort noget konkret for at forberede sig. Mange regnede med den udsættelse, som Omnibus-forslaget lovede, og har nu tre måneder til at dokumentere risikostyring, implementere menneskelig overvågning og opbygge teknisk dokumentation for deres AI-systemer. Det er ambitiøst selv for store organisationer med dedikerede compliance-teams.

Samtidig gælder allerede nu, at alt AI-genereret indhold skal mærkes, og at chatbots skal oplyse brugeren om, at de kommunikerer med en maskine. Disse gennemsigtighedskrav er ikke udskudt og håndhæves fra 2. august.

Hvad bør virksomheder gøre nu?

Det pragmatiske svar er at behandle 2. august som den reelle EU AI Act deadline. Selv hvis trilog-forhandlingerne lykkes i maj, skal resultatet igennem en formel godkendelsesproces, der tager uger. Og der er ingen garanti for, at udsættelsen overlever intakt.

Konkret bør virksomheder starte med at kortlægge, hvilke af deres AI-systemer der falder under højrisiko-kategorien i Bilag III. Derefter handler det om at dokumentere risikovurderinger, sikre, at der er menneskelig overvågning af kritiske beslutninger, og at automatisk logning er på plads. For mange vil det være en øjenåbner at opdage, hvor mange af deres daglige AI-værktøjer der faktisk er omfattet.

AI Act er den mest ambitiøse AI-regulering i verden. Uanset om august-deadlinen holder eller bliver udskudt nogle måneder, er retningen klar: Europa vil have AI, der kan dokumenteres, overvåges og forklares. Jo før man starter, jo mindre smertefuldt bliver det.