EU's AI-lov: Hvad gælder nu, og hvad er udskudt

EU's AI-lov, forordning (EU) 2024/1689, har været gældende i etaper siden den trådte i kraft den 1. august 2024: forbuddene, reglerne for generelle AI-modeller og gennemsigtighedsforpligtelserne for chatbots og AI-genereret indhold finder allerede anvendelse. Den strengeste ordning, for højrisiko-AI, er blevet udskudt af AI Omnibus til den 2. december 2027 for de systemer, der er anført i bilag III, og til den 2. august 2028 for AI i regulerede produkter.

AI Omnibus, forordning (EU) 2026/1744, blev offentliggjort i Den Europæiske Unions Tidende i juli 2026 og er nu trådt i kraft. De udskudte datoer er derfor fast ret og ikke en planlægningsantagelse. Nedenfor forklarer vi, hvad AI-loven kræver, hvem den er bindende for, hvad der gælder i dag, og hvordan du kan forberede dig.

Hvad er EU AI Act?

AI-loven er en risikobaseret EU-forordning: jo højere risiko et AI-system udgør, desto større er forpligtelserne. Den gælder direkte i Holland, uden behov for hollandsk implementeringslovgivning for kernereglerne.

Formålet er dobbelt. Loven beskytter sundhed, sikkerhed og grundlæggende rettigheder, og den giver virksomheder retssikkerhed, så pålidelig kunstig intelligens kan udvikles og anvendes på tværs af det indre marked.

Loven definerer et AI-system bredt, i overensstemmelse med OECD's tilgang. Det er et maskinbaseret system, der fungerer med en vis grad af autonomi, kan tilpasse sig efter implementering, og ud fra det input, det modtager, udleder, hvordan output såsom forudsigelser, indhold, anbefalinger eller beslutninger, der kan påvirke fysiske eller virtuelle miljøer, genereres. Denne brede definition omfatter moderne maskinlæringsmodeller, herunder generativ og generel AI. Simpel regelbaseret software, der kun følger instruktioner skrevet af mennesker, falder generelt uden for den.

Gælder AI-loven for din organisation?

Sandsynligvis, hvis du udvikler, sælger eller bruger AI-systemer i en professionel sammenhæng i EU. Loven omfatter også virksomheder uden for EU, når deres system bringes i omsætning på EU-markedet, eller dets output anvendes i EU.

En amerikansk eller britisk virksomhed, der betjener europæiske kunder, kan derfor være omfattet af anvendelsesområdet. Loven skelner mellem flere roller, der hver har sine egne pligter:

• Udbydere udvikler et AI-system eller en generel AI-model og bringer det på markedet eller tager det i brug under deres eget navn eller varemærke. De bærer de tungeste forpligtelser.
• Implementeringsansvarlige bruger et AI-system under deres myndighed i en professionel sammenhæng, for eksempel en arbejdsgiver, der bruger et AI-værktøj til at screene jobansøgere. Rent personlig, ikke-professionel brug falder uden for disse opgaver.
• Importører og distributører bringer et tredjepartssystem på EU-markedet eller gør det tilgængeligt længere nede i forsyningskæden og skal kontrollere, at leverandøren har opfyldt sine forpligtelser.
• Produktproducenter og i nogle tilfælde autoriserede repræsentanter for leverandører uden for EU kan påtage sig udbyderforpligtelser.

Din rolle kan ændre sig. En distributør, der væsentligt modificerer et højrisikosystem eller markedsfører det under eget navn, bliver leverandør og påtager sig de strengere pligter. Tjek dette, før du tilpasser et system, der er købt fra en leverandør.

Hvordan klassificerer AI-loven risiko?

Loven arbejder med fire risikoniveauer: forbudte praksisser, høj risiko, begrænset risiko med gennemsigtighedsforpligtelser og minimal risiko. Niveauet afhænger af formålet med systemet, ikke af teknologien bag det.

Forbudte praksisser

Nogle anvendelser er fuldstændig forbudt i henhold til artikel 5, og disse forbud har været gældende siden den 2. februar 2025. De omfatter manipulerende eller vildledende teknikker, der væsentligt forvrænger adfærd og forårsager betydelig skade, og udnyttelse af sårbarheder relateret til alder, handicap eller socioøkonomisk situation. Social scoring, umålrettet scraping af ansigtsbilleder for at opbygge genkendelsesdatabaser, følelsesgenkendelse på arbejdspladsen og i uddannelsessektoren (undtagen af ​​medicinske eller sikkerhedsmæssige årsager) og biometrisk kategorisering, der udleder følsomme karakteristika såsom religion eller seksuel orientering, er også forbudt.

Fjernbiometrisk identifikation i realtid på offentlige steder for retshåndhævelse er forbudt, med forbehold af snævre undtagelser med sikkerhedsforanstaltninger. AI Omnibus tilføjer et nyt forbud mod AI-systemer, der genererer materiale med seksuelt misbrug af børn eller ikke-samtykkelige intime billeder af identificerbare personer.

Høj risiko

Højrisikosystemer er tilladt, men strengt reguleret. Der er to grupper. Bilag I dækker kunstig intelligens, der er en sikkerhedskomponent i, eller i sig selv er et produkt, der allerede er reguleret af EU's produktlovgivning, såsom medicinsk udstyr, maskiner, elevatorer og legetøj. Bilag III opregner enkeltstående anvendelser inden for følsomme områder: biometri, kritisk infrastruktur, uddannelse, beskæftigelse og arbejdstageradministration, adgang til væsentlige offentlige og private tjenester såsom kredit og forsikring, retshåndhævelse, migration og grænsekontrol samt retsadministration og demokratiske processer.

Et system, der er opført i bilag III, er ikke højrisiko, hvis det kun udfører en snæver proceduremæssig eller forberedende opgave og ikke væsentligt påvirker resultatet af en beslutning. Denne undtagelse er snævert formuleret, og en udbyder, der benytter sig af den, skal dokumentere sin vurdering.

Begrænset risiko: gennemsigtighed

Nogle systemer er ikke højrisikosystemer, men kan vildlede folk. De har gennemsigtighedsforpligtelser i henhold til artikel 50. Folk skal informeres, når de interagerer med en chatbot, AI-genereret eller manipuleret indhold skal offentliggøres og markeres, og folk skal informeres, når de udsættes for tilladt følelsesgenkendelse eller biometrisk kategorisering.

Minimal risiko

Det meste kunstige intelligens, såsom spamfiltre, anbefalingsmotorer og kunstig intelligens i videospil, falder ind under denne kategori. Loven pålægger ingen specifikke forpligtelser her, selvom frivillige adfærdskodekser opfordres, og den generelle pligt til kunstig intelligens i artikel 4 gælder stadig.

Hvornår gælder forpligtelserne?

Loven gælder i faser. Forbuddene, pligten til at forstå kunstig intelligens, reglerne for generel kunstig intelligens og gennemsigtighedspligterne gælder allerede; højrisikoreglerne træder i kraft i december 2027 og august 2028.

To praktiske punkter følger. For det første er gennemsigtighedsforpligtelsen ikke et fremtidigt problem: den har været gældende siden den 2. august 2026. Kun udbydere af generative AI-systemer, der allerede var på markedet før denne dato, har indtil den 2. december 2026 til at opfylde kravet om maskinlæsbar mærkning. Systemer, der er bragt på markedet fra den 2. august 2026 og fremefter, har ingen henstandsperiode.

For det andet er den ekstra tid til højrisiko-AI en udsættelse, ikke en undtagelse. De væsentlige forpligtelser har ikke ændret sig, og det tager måneder at opbygge en teknisk fil, et risikostyringssystem og menneskeligt tilsyn. Det giver mening at starte nu.

Hvad skal udbydere, distributører og importører gøre?

Udbydere af højrisikosystemer bærer hovedbyrden og skal bevise overensstemmelse, før systemet når markedet. Implementeringsvirksomheder skal bruge systemet korrekt, føre tilsyn med det og informere de berørte personer.

Udbydere af højrisikosystemer skal etablere et risikostyringssystem, der dækker hele livscyklussen, anvende datastyring på trænings-, validerings- og testdata samt udarbejde og vedligeholde teknisk dokumentation. De skal designe systemet til automatisk logning, give klare brugsanvisninger, muliggøre effektivt menneskeligt tilsyn og opnå passende nøjagtighed, robusthed og cybersikkerhed. Før systemet bringes i omsætning, udfører de overensstemmelsesvurderingen, udarbejder en EU-overensstemmelseserklæring, anbringer CE-mærkningen og registrerer systemet i EU-databasen. Derefter overvåger de systemet på markedet og rapporterer alvorlige hændelser.

Implementeringsvirksomheder af højrisikosystemer skal bruge systemet i overensstemmelse med udbyderens instruktioner, udpege menneskeligt tilsyn til kompetent personale, sikre, at inputdataene er relevante, overvåge driften og føre logfiler. Hvor det er nødvendigt, skal de informere de berørte personer. Offentlige organer og visse private implementeringsvirksomheder, f.eks. inden for kreditvurdering og forsikringsprissætning, skal udføre en konsekvensanalyse af grundlæggende rettigheder. Arbejdsgivere skal informere arbejdstagere og deres repræsentanter, før de tager et højrisikosystem i brug på arbejdspladsen.

Importører og distributører skal kontrollere, at leverandøren har gennemført overensstemmelsesvurderingen, dokumentationen og CE-mærkningen, før de gør et system tilgængeligt. Hvis de mener, at et system ikke overholder kravene, må de ikke levere det og skal underrette leverandøren og, hvor det er relevant, myndighederne.

Pligten til AI-færdigheder i artikel 4 gælder for alle udbydere og distributører. AI Omnibus har blødt formuleringen op: organisationer skal nu træffe foranstaltninger til at understøtte et tilstrækkeligt niveau af AI-færdigheder blandt deres personale. Forventningen om, at folk, der arbejder med AI, forstår, hvad det gør, og hvor det kan gå galt, forbliver.

Hvilke tekniske krav gælder for højrisiko-AI?

En udbyder skal kunne påvise syv ting: risikostyring, datakvalitet, teknisk dokumentation, logning, gennemsigtighed, menneskeligt tilsyn samt nøjagtighed, robusthed og cybersikkerhed. Sammen danner de bevismaterialet for overensstemmelsesvurderingen.

Risikostyring skal være en dokumenteret og gentagen proces, ikke en engangsøvelse. De anvendte data skal være egnede til det tilsigtede formål, med fokus på bias og repræsentativitet. Den tekniske dokumentation skal være detaljeret nok til, at en myndighed kan vurdere overholdelsen. Hændelser skal logges automatisk, så systemets drift kan spores.

Brugsanvisningen skal gøre det muligt for distributøren at forstå og bruge systemet korrekt. Menneskelig overvågning skal være indbygget i systemet, så en person kan forstå outputtet, gribe ind og stoppe systemet. Endelig skal udbyderen demonstrere et passende niveau af nøjagtighed, robusthed og cybersikkerhed. I praksis er dette det materiale, en tilsynsmyndighed vil bede om at se først.

Hvad gælder for generelle AI-modeller?

Udbydere af generelle AI-modeller (GPAI) har haft deres egne forpligtelser siden den 2. august 2025. Modeller med systemisk risiko står over for yderligere pligter.

I henhold til artikel 53 til 55 skal alle GPAI-udbydere vedligeholde teknisk dokumentation, offentliggøre et tilstrækkeligt detaljeret resumé af det indhold, der anvendes til træning, have en politik for at overholde EU's ophavsretslovgivning og give oplysninger til de virksomheder, der bygger på modellen. Udbydere af modeller med systemisk risiko skal også evaluere deres modeller, herunder kontradiktorisk testning, vurdere og afbøde systemiske risici, spore og rapportere alvorlige hændelser og sikre stærk cybersikkerhed. At følge den officielle generelle AI-kodeks er en anerkendt måde at vise overholdelse på. Europa-Kommissionens AI-kontor fører direkte tilsyn med disse udbydere.

Hvilke gennemsigtighedsforpligtelser gælder nu?

Siden den 2. august 2026 kræver artikel 50, at folk ved, hvornår de har at gøre med kunstig intelligens. Dette gælder for chatbots, kunstig intelligens-genereret indhold og deepfakes samt for følelsesgenkendelse og biometrisk kategorisering.

Udbydere af chatbots og samtaleagenter skal tydeligt gøre det muligt for brugeren at interagere med en maskine, medmindre det er åbenlyst. Udbydere af systemer, der genererer syntetisk lyd, billeder, video eller tekst, skal markere outputtet i et maskinlæsbart format, så det kan detekteres som kunstigt. Udviklere, der offentliggør deepfakes, skal oplyse, at indholdet er kunstigt genereret eller manipuleret, og udviklere, der offentliggør AI-genereret tekst om emner af offentlig interesse, skal oplyse dette, medmindre en person har gennemgået det og bærer det redaktionelle ansvar. Udviklere af tilladt følelsesgenkendelse eller biometrisk kategorisering skal informere de personer, der udsættes for det.

Hvis du allerede tilbyder generative AI-funktioner, skal du betragte den 2. december 2026 som en hård deadline for mærkning af output fra systemer, der var på markedet før den 2. august 2026.

Hvad er bøderne i henhold til AI-loven?

I henhold til artikel 99 kan bøder pålægges op til 35 millioner euro eller 7 % af den globale årlige omsætning for forbudte praksisser. For små og mellemstore virksomheder gælder det laveste af de to beløb.

• Forbudte praksisser (artikel 5): op til 35 millioner euro eller 7 % af den globale årlige omsætning, alt efter hvad der er højest.
• Brud på de fleste andre forpligtelser, herunder højrisikokravene og gennemsigtighedsforpligtelserne: op til 15 millioner EUR eller 3 % af den globale årlige omsætning.
• Levering af ukorrekte, ufuldstændige eller vildledende oplysninger til bemyndigede organer eller myndigheder: op til 7.5 millioner EUR eller 1 % af den globale årlige omsætning.

For SMV'er og nystartede virksomheder er bøden begrænset til det laveste af det faste beløb og procentdelen. AI Omnibus udvider en række af disse lempelser til små midcap-virksomheder. Bøder er ikke det eneste instrument: markedsovervågningsmyndighederne kan kræve korrigerende handlinger, begrænse eller forbyde tilgængeliggørelsen af ​​et system og beordre dets tilbagetrækning eller tilbagekaldelse.

Hvordan hænger AI-loven sammen med GDPR og Cyberbeveiligingswet?

AI-loven kommer oven i eksisterende lovgivning. Hvis dit AI-system behandler personoplysninger, gælder GDPR fuldt ud, og hvis du leverer essentielle eller vigtige tjenester, gælder den hollandske cybersikkerhedslovgivning også.

I henhold til GDPR skal du have et lovgrundlag, du skal respektere formålsbegrænsning og den registreredes rettigheder, og du skal ofte udføre en konsekvensanalyse vedrørende databeskyttelse (DPIA). Konsekvensanalysen vedrørende grundlæggende rettigheder i henhold til AI-loven og DPIA overlapper hinanden, så det er effektivt at udføre dem sammen.

Cybersikkerhedsloven (Cyberbeveiligingswet), som implementerer EU's NIS2-direktiv, har været gældende i Holland siden den 15. august 2026. Den tilføjer pligter til risikostyring og hændelsesrapportering for væsentlige og vigtige enheder, hvilket styrker AI-lovens krav til robusthed og sikkerhed. Behandl disse ordninger som ét compliance-program i stedet for tre separate projekter: det sparer indsats og undgår modstridende kontroller.

Hvem håndhæver AI-loven i Holland?

Generelle AI-modeller overvåges af AI-kontoret i Bruxelles; alt andet håndhæves af nationale markedsovervågningsmyndigheder. I Holland er loven om udpegelse af disse myndigheder stadig under lovgivningsprocessen.

På EU-niveau fører AI-kontoret i Europa-Kommissionen direkte tilsyn med generelle AI-modeller og udvikler vejledning og praksiskodekser. Det samarbejder med Det Europæiske Råd for Kunstig Intelligens, hvor medlemsstaterne er repræsenteret, og med et uafhængigt videnskabeligt panel. AI Omnibus har udvidet AI-kontorets beføjelser til AI-systemer baseret på en udbyders egen GPAI-model og til AI integreret i meget store onlineplatforme og søgemaskiner. Bemyndigede organer udfører tredjepartsoverensstemmelsesvurderinger, hvor loven kræver det.

AI-loven finder direkte anvendelse, så virksomheder er allerede bundet af de dele, der gælder. Den hollandske lov, der udpeger tilsynsførende og deres beføjelser, er dog endnu ikke trådt i kraft, og den endelige fordeling kan stadig ændres. Den hidtil foreslåede model er en hybrid model. Eksisterende sektorregulatorer bliver markedsovervågningsmyndigheder på deres egne områder, så AI i sundhedsvæsenet falder under sundhedstilsynet, og AI på arbejdspladsen under arbejdstilsynet. Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) og den hollandske myndighed for digital infrastruktur (Rijksinspectie Digitale Infrastructuur, RDI) har koordinerende roller, hvor AP fungerer som den resterende tilsynsførende for højrisikosystemer, der ikke har nogen åbenlys sektorregulator.

For virksomheder er det praktiske spørgsmål derfor ikke kun, om et system er højrisiko, men også hvilken tilsynsmyndighed der vil se på det.

Hvilke misforståelser bør du undgå?

Fem misforståelser dukker op i næsten hver første samtale om AI-loven. Hver af dem fører til, at organisationer bruger kræfter på det forkerte sted.

Den første er, at loven forbyder eller licenserer kunstig intelligens generelt. Den gør ingen af ​​delene. Det, der udløser det tunge system, er det formål, systemet tjener, ikke teknologien bag det.

Det andet er, at en menneskelig underskrift fjerner højrisikomærkningen. Det gør den ikke. Undtagelsen for snævre proceduremæssige eller forberedende opgaver er trukket stramt. Et værktøj, der rangerer jobansøgere eller udvælger filer til nærmere gennemgang, påvirker beslutningen, selvom en person underskriver. Et gummistempel er ikke menneskeligt tilsyn og fjerner ikke et system fra bilag III.

For det tredje er det kun udviklere, der er reguleret. Implementeringsforpligtelser er reelle og kan håndhæves over for den organisation, der bruger systemet. Flere af dem, såsom at informere medarbejdere og deres repræsentanter, tildele kompetent tilsyn og føre logfiler, kan ikke videregives til leverandøren.

For det fjerde er alt, der allerede er i brug, undtaget. I henhold til artikel 111 er højrisikosystemer, der er bragt på markedet, før højrisikoreglerne finder anvendelse, i princippet kun omfattet, hvis deres design ændres væsentligt bagefter. Denne undtagelse er snævrere, end den lyder: opdateringer, omskoling og nye anvendelser er præcis den slags ændringer, der bringer et system tilbage til anvendelsesområdet. Systemer, der anvendes af offentlige myndigheder, skal uanset hvad overholde reglerne senest den 2. august 2030. Hvis du planlægger at benytte dig af overgangsreglen, skal du dokumentere den nuværende konfiguration nu.

For det femte erstatter AI-loven eksisterende lov. Den ligger oven på den. Databeskyttelse, ligebehandlingslovgivning, forbrugerlovgivning, sektorregulering, ansættelsesret og samarbejdsudvalgets (ondernemingsraad) rettigheder gælder fortsat fuldt ud. I Holland er det normalt en af ​​disse, ikke selve AI-loven, der giver anledning til den første konkrete klage. I henhold til artikel 27(1)(l) i samarbejdsudvalgsloven (Wet op de ondernemingsraden) kræver indførelsen af ​​et system til overvågning af personale f.eks. samarbejdsudvalgets samtykke.

Hvordan forbereder du dig på AI-loven?

Start med en opgørelse over den AI, du leverer eller bruger, og bestem risikoniveauet og din rolle pr. system. Håndter derefter først forbudte anvendelser og gennemsigtighed, da disse regler allerede gælder.

• Angiv alle AI-systemer, du leverer eller bruger, inklusive AI indbygget i tredjepartssoftware.
• Klassificer hvert system: forbudt, høj risiko, gennemsigtighedsforpligtelse eller minimal risiko.
• Bestem din rolle for hvert system: udbyder, distributør, importør eller distributør.
• Stop enhver brug, der falder ind under forbuddene i artikel 5.
• Anvend gennemsigtighedsforanstaltningerne for chatbots, deepfakes og AI-genereret indhold, og planlæg outputmarkering inden den 2. december 2026.
• For højrisikosystemer skal den tekniske fil, risikostyring og menneskelig tilsyn udarbejdes inden december 2027.
• Tjek GPAI-forpligtelserne, hvis du udvikler eller væsentligt ændrer generelle modeller.
• Træf foranstaltninger til at støtte AI-færdigheder blandt de berørte medarbejdere.
• Tilpas dine DPIA'er, konsekvensanalyser af grundlæggende rettigheder og sikkerhedsforanstaltninger til GDPR og cyberbeskyttelsesforordningen.
• Tildel ejerskab, dokumentation og overvågning, og hold dine optegnelser klar til en revision.

Inddrag samarbejdsudvalget tidligt, hvis kunstig intelligens påvirker medarbejderne. Det kan være nødvendigt med samtykke fra samarbejdsudvalget, og en sen anmodning om samtykke kan forsinke indførelsen af ​​et system med måneder.

Sammenfattende

• EU's AI-lov (forordning (EU) 2024/1689) har været i kraft siden 1. august 2024 og finder anvendelse i faser.
• Forbuddene, AI-færdighederne, GPAI-reglerne og gennemsigtighedsforpligtelserne gælder allerede; mærkning af output fra ældre generative systemer skal ske senest den 2. december 2026.
• AI Omnibus (forordning (EU) 2026/1744) har udskudt højrisikoreglerne til den 2. december 2027 (bilag III) og den 2. august 2028 (bilag I).
• Bøderne kan optages med op til 35 millioner euro eller 7 % af den globale omsætning; for SMV'er gælder det lavere beløb.
• AI-loven kommer oven i GDPR, cyberbeskyttelsesloven og ansættelsesretten; planlæg compliance som ét program.

Ofte stillede spørgsmål

Teknologi- og privatlivsadvokaterne hos Law & More hjælpe udbydere og distributører med at klassificere deres systemer, justere forbudte eller ikke-overensstemmende anvendelser, opfylde gennemsigtighedsforpligtelserne og forberede sig på højrisikoreglerne i overensstemmelse med GDPR. Du kan læse hele teksten af AI-loven om EUR-Lex, Og vores Indeks over hollandske vejledninger til IT- og privatlivslovgivning viser alt, hvad vi har skrevet om dette emne. Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.

Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .