Regel-overblik · forordning (EU) 2024/1689 + 2016/679

EU AI Act og GDPR — den korte version for virksomheder

Hvad de to regelsæt kræver, hvordan de overlapper, og hvad I skal kunne vise, hvis I bruger AI i organisationen.

Kort fortalt

Behandler jeres system persondata, gælder GDPR. Er det et AI-system, kan AI Act stille yderligere krav afhængigt af systemets type, rolle og anvendelse. De to regelsæt erstatter ikke hinanden. I kan være omfattet af begge på én gang.

I praksis skal I have styr på fire ting: hvilken rolle og risikoklasse systemet har, hvornår et menneske skal ind over, hvor præcist systemet er, og hvordan I dokumenterer det hele, hvis revisor, tilsyn eller andre spørger.

1 · EU AI Act

Regler for AI-systemet — efter hvad det skal bruges til

AI Act stiller forskellige krav alt efter, hvad systemet gør, og hvilken risiko det kan skabe:

Forbudt

Visse former for AI må slet ikke bruges — fx social scoring og bestemte manipulerende systemer.

Høj risiko

Fx ansættelse, adgang til væsentlige ydelser eller kreditvurdering. Krav til risikostyring, dokumentation, logning, menneskeligt tilsyn og nøjagtighed. Ikke alt inden for disse områder er automatisk højrisiko — den konkrete funktion afgør det (art. 6, stk. 3).

Transparens

Nogle systemer skal først og fremmest være tydelige om, at der er AI involveret — fx når en person kommunikerer direkte med systemet.

Øvrige

Mange systemer falder uden for højrisiko-reglerne. Det betyder ikke nødvendigvis ingen regler — GDPR, informationssikkerhed og andet kan stadig gælde.

Rollerne betyder også noget: udbyderen (den der udvikler) og idriftsætteren (den der tager systemet i brug) har forskellige pligter. Reglerne træder trinvist i kraft i 2025–2027: forbud først, derefter generelle AI-modeller, så højrisiko-kravene. For en intern AI-assistent, der hjælper medarbejdere med at finde svar i organisationens egen viden, vil de tunge højrisiko-krav normalt ikke være udgangspunktet. Men begynder systemet at påvirke beslutninger om fx ansættelse eller ydelser, ændrer billedet sig.

2 · GDPR

Regler for persondata — uanset om der er AI indblandet

GDPR gælder, så snart I behandler personoplysninger.

Grundprincipper

  • I skal have et lovligt grundlag for behandlingen (samtykke, kontrakt, legitim interesse …).
  • I må kun bruge data til det formål, de er indsamlet til, og kun indsamle det nødvendige.
  • Data skal slettes, når der ikke længere er brug for dem.

Pligter og rettigheder

  • Den registrerede har blandt andet ret til indsigt og berigtigelse — og i nogle tilfælde sletning og dataportabilitet.
  • Alvorlige databrud skal som udgangspunkt anmeldes til Datatilsynet inden 72 timer (art. 33).
  • Overførsel af persondata til lande uden for EU/EØS kræver et gyldigt overførselsgrundlag (kap. V).

3 · Overlapper de?

Ja — de regulerer forskellige ting samtidig

Det er den hyppigste misforståelse: at det er enten-eller. Det er det ikke. GDPR handler om personoplysningerne; AI Act handler om AI-systemet og den risiko, det skaber. Behandler et AI-system persondata, kan begge regelsæt derfor gælde på én gang. De mødes især her:

Automatiske afgørelser

  • GDPR art. 22 sætter grænser for afgørelser, der træffes rent automatisk og har væsentlige konsekvenser for et menneske. For højrisiko-AI stiller AI Act art. 14 samtidig krav om menneskeligt tilsyn.
  • Jo større konsekvens en beslutning har, desto vigtigere er det, at et menneske kan se, forstå og gribe ind.

Risiko og data

  • GDPR kan kræve en konsekvensanalyse (DPIA). AI Act kan kræve risikostyring af selve AI-systemet. To forskellige vurderinger — men de handler ofte om nogle af de samme risici.
  • AI Act stiller krav til data governance for visse systemer; GDPR til hvordan persondata må indsamles og bruges. Indeholder trænings-, test- eller driftsdata personoplysninger, mødes de to dér.

4 · Bundlinjen for virksomheder

Hvad I i praksis skal gøre

  1. Kortlæg rolle og risiko. Er I udbyder eller idriftsætter? Hvad bruges systemet til, og hvilke krav følger med?
  2. Er der persondata? Hvis ja, skal behandlingsgrundlag, rettigheder og eventuel DPIA være på plads.
  3. Hvilke AI Act-krav gælder? For nogle systemer handler det især om transparens. For højrisiko-systemer kommer der også krav til risikostyring, dokumentation, logning, nøjagtighed og menneskeligt tilsyn.
  4. Hvornår skal et menneske ind over? Jo større konsekvens en beslutning kan få, desto vigtigere er klare stop-punkter og mulighed for menneskelig kontrol (art. 22 + art. 14).
  5. Dokumentér, hvordan systemet faktisk klarer sig. Mål nøjagtighed og fejl løbende, og gem dokumentationen, så I kan forklare, hvad systemet gør, og hvor sikkert det gør det.

Hvor vi kommer ind

Vi måler, hvor godt AI-systemet klarer jeres egne opgaver, og hvor ofte det tager fejl — opgjort pr. model, sprog og korpus, med et fuldt revisionsspor pr. svar. Målingen bliver dokumenteret, så den kan gentages og bruges som teknisk belæg over for revisor, tilsyn eller jeres egen compliance-funktion.

Stop-punkterne sættes efter konsekvens, ikke efter hvor sikker modellen lyder: de beslutninger, der betyder mest, går til et menneske uanset svaret. Hvor ofte den routing rammer forkert, måler vi og oplyser.

Vi laver ikke den juridiske klassificering. Vi leverer den tekniske dokumentation, som den skal bygge på.

Bemærk: dette er et forenklet overblik, ikke juridisk rådgivning. Den konkrete vurdering af jeres system efter forordning (EU) 2024/1689 (AI Act) og 2016/679 (GDPR) bør foretages af jeres egen juridiske eller compliance-funktion.