AI-forordningen for offentlige myndigheder: hvad du skal have klar til december 2027

01Status i begyndelsen af november 2026

AI-forordningen (åbner et eksternt websted), forordning (EU) 2024/1689, trådte i kraft 1. august 2024 og finder anvendelse i etaper. I juli 2026 vedtog EU den digitale omnibus om AI, forordning (EU) 2026/1744 (åbner et eksternt websted), der udskød højrisikoreglerne og ændrede en række andre bestemmelser. Den trådte i kraft 27. juli 2026, få dage før den oprindelige dato for højrisikoreglerne.

I Danmark supplerer lov nr. 467 af 14. maj 2025 forordningen. Den udpeger Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen som nationale kompetente myndigheder, og Digitaliseringsstyrelsen er bemyndigende myndighed og centralt kontaktpunkt.

Resultatet er en tidsplan hvor nogle pligter allerede gælder, nogle kommer ved udgangen af i år, og de tungeste for offentlige idriftsættere følger i december 2027.

Omnibussen omskrev også artikel 4 om AI-færdigheder. Udbydere og idriftsættere skal nu træffe foranstaltninger der understøtter medarbejdernes AI-færdigheder, i stedet for at sikre et tilstrækkeligt niveau. Pligten består; det du skal kunne vise, har ændret sig. Uddannelse der passer til hver rolle, og en registrering af den er stadig det fornuftige svar.

02Er du udbyder eller idriftsætter?

De fleste offentlige myndigheder er idriftsættere: de bruger et AI-system under deres egen myndighed. Du er udbyder, når du udvikler et AI-system eller får det udviklet og tager det i brug under dit eget navn. Det omfatter systemer bygget internt eller af en leverandør efter din specifikation.

Rollerne kan også skifte. Efter artikel 25 påtager en idriftsætter sig udbyderens pligter, hvis den foretager en væsentlig ændring af et højrisikosystem eller ændrer dets formål, så det bliver højrisiko. Skriv de tilsigtede roller ind i udbudsmaterialet og kontrakterne, så ingen opdager dem under en revision.

03Hvilke af dine brugsscenarier er højrisiko?

Bilag III nævner de områder hvor AI-systemer anses for at være højrisiko. For offentlige myndigheder er de mest relevante:

• Adgang til væsentlige offentlige tjenester og ydelser: vurdering af om en borger er berettiget, og tildeling, nedsættelse, tilbagekaldelse eller tilbagebetaling af ydelser og tjenester. Det er typisk her sagsbehandling i en kommune lander.
• Migration, asyl og grænsekontrol, retshåndhævelse og retspleje.
• Uddannelse og erhvervsuddannelse: optagelse, bedømmelse af læringsresultater, overvågning under prøver.
• Beskæftigelse: rekruttering, forfremmelse, fordeling af opgaver og overvågning af medarbejdere. Offentlige myndigheder er også arbejdsgivere.
• Kritisk infrastruktur: sikkerhedskomponenter i forvaltningen af digital infrastruktur, vejtrafik og forsyning.

At ligge inden for et område i bilag III afslutter ikke analysen. Efter artikel 6, stk. 3, er et system på et sådant område ikke højrisiko, når det ikke udgør en væsentlig risiko for skade, for eksempel fordi det udfører en snæver proceduremæssig opgave, forbedrer resultatet af en opgave som en person allerede har udført, finder mønstre uden at erstatte menneskelig vurdering eller udfører en forberedende opgave. Et system der profilerer personer, er altid højrisiko. Læner du dig op ad undtagelsen, så dokumentér begrundelsen.

Mange nyttige værktøjer er slet ikke højrisiko: hjælp til at skrive udkast, intern videnssøgning, oversættelse, opsummering. Kravene om gennemsigtighed og databeskyttelsesforordningen gælder stadig for dem, men højrisikoreglerne gør ikke.

04Hvad idriftsættere af højrisiko­systemer skal gøre

Fra 2. december 2027 har en offentlig myndighed der tager et højrisikosystem fra bilag III i brug, pligter efter artikel 26 (åbner et eksternt websted) (forklaring på engelsk). De vigtigste:

• Brug systemet i overensstemmelse med udbyderens brugsanvisning og med passende tekniske og organisatoriske foranstaltninger.
• Overlad det menneskelige tilsyn til personer med den nødvendige kompetence, uddannelse og myndighed, og giv dem støtte.
• Sørg for at inputdata som du har kontrol over, er relevante og tilstrækkeligt repræsentative for formålet.
• Overvåg driften, og informér uden unødigt ophold udbyderen og myndighederne om risici og alvorlige hændelser.
• Opbevar de automatisk genererede logfiler i mindst seks måneder, medmindre anden EU-ret eller national ret bestemmer andet.
• Informér medarbejderrepræsentanter og berørte medarbejdere, før et højrisikosystem tages i brug på arbejdspladsen.
• Som offentlig myndighed skal du registrere din brug af systemet i EU-databasen, før du tager det i brug (artikel 26, stk. 8, og artikel 49). Et system der ikke er registreret, må ikke bruges.
• Informér borgerne, når et højrisikosystem bruges til at træffe eller hjælpe med at træffe afgørelser om dem (artikel 26, stk. 11). De har også ret til en forklaring på individuelle afgørelser (artikel 86). Afgørelsen bør fortsat træffes af en sagsbehandler.

Konsekvensanalysen vedrørende grundlæggende rettigheder

Efter artikel 27 (åbner et eksternt websted) skal offentligretlige organer og private organisationer der leverer offentlige tjenester, gennemføre en konsekvensanalyse vedrørende grundlæggende rettigheder, før de første gang bruger de fleste systemer i bilag III. Systemer til kritisk infrastruktur er undtaget. Analysen beskriver:

1. 01de processer hvor systemet skal bruges, i overensstemmelse med dets formål;
2. 02perioden og hyppigheden af brugen;
3. 03de kategorier af personer og grupper der sandsynligvis bliver berørt;
4. 04de konkrete risici for skade for de personer;
5. 05hvordan det menneskelige tilsyn er indrettet;
6. 06hvad der sker, hvis risiciene indtræffer, herunder intern styring og klagemekanismer.

Du giver markedsovervågningsmyndigheden besked om resultaterne. Analysen supplerer og kan bygge på en konsekvensanalyse vedrørende databeskyttelse efter databeskyttelsesforordningens artikel 35, så lav de to sammen. Artikel 27, stk. 5, pålægger AI-kontoret at stille en skabelon til rådighed; tjek status, før du designer din egen. Nogle lande har allerede metoder, for eksempel den nederlandske regerings Impact Assessment Mensenrechten en Algoritmes (IAMA).

05Krav om gennemsigtighed der allerede gælder

Siden 2. august 2026 gælder artikel 50. Udbydere skal designe systemer der interagerer med mennesker, så de får at vide at de har med et AI-system at gøre, medmindre det er indlysende, og de skal mærke syntetisk indhold maskinlæsbart. Idriftsættere skal oplyse om deepfakes og om AI-genereret eller manipuleret tekst der offentliggøres for at informere offentligheden om forhold af offentlig interesse, medmindre en person har gennemgået teksten, og nogen har det redaktionelle ansvar.

For en offentlig myndighed er det mest almindelige tilfælde en chatassistent på et website eller i en borgerservicekanal. Sig tydeligt at det er et AI-system, forklar hvad den kan og ikke kan hjælpe med, og tilbyd en vej til en medarbejder.

06En plan for 2026 og 2027

1. 01Lav en oversigt, nu. List alle AI-systemer i brug eller under indkøb, også AI-funktioner i platforme og fagsystemer du allerede har licens til. Registrér ejer, formål, udbyder, de data der bruges, og de personer der berøres.
2. 02Klassificér, senest i begyndelsen af 2027. Forbudt, højrisiko (med begrundelsen efter artikel 6, stk. 3, dokumenteret), kun gennemsigtighed eller minimal risiko. Registrér din rolle som udbyder eller idriftsætter for hvert system.
3. 03Ret kontrakterne i løbet af 2027. Bed udbyderne om brugsanvisninger, dokumentation for overensstemmelse og adgang til logfiler. Gør hjælp til din konsekvensanalyse og indberetning af hændelser til et kontraktvilkår, også i nye udbud.
4. 04Design tilsynet. Udpeg rollerne, uddan dem, og giv dem myndighed til at tilsidesætte systemet og en eskalationsvej. Design mod automatiseringsbias; vores artikel om hvornår AI-agenter skal have menneskelig godkendelse viser hvordan.
5. 05Etablér logning og overvågning. Opbevar logfiler i mindst seks måneder, og fastlæg hvad der tæller som en alvorlig hændelse, og hvem der indberetter den.
6. 06Før første brug. Gennemfør konsekvensanalysen vedrørende grundlæggende rettigheder sammen med konsekvensanalysen vedrørende databeskyttelse, registrér i EU-databasen, og informér medarbejderne og de berørte borgere.
7. 07Hold færdighederne ved lige. Rollebaseret uddannelse for brugere, sagsbehandlere der gennemgår output, og beslutningstagere, opdateret når systemerne ændrer sig, og med en registrering af hvem der er uddannet.

07Sanktioner og håndhævelse

Medlemsstaterne fastsætter reglerne om sanktioner. Artikel 99, stk. 8, lader hver medlemsstat afgøre om, og i hvilket omfang, der kan pålægges administrative bøder til offentlige myndigheder og organer etableret i landet. Det er ikke en grund til at vente. Markedsovervågningsmyndighederne kan stadig kræve korrigerende foranstaltninger, og legitimiteten af en offentlig afgørelse afhænger af om den kan forklares og påklages.

08Hvad du skal holde øje med de kommende måneder

• Den danske fordeling af opgaverne som markedsovervågningsmyndighed efter AI-forordningen.
• Kommissionens retningslinjer om klassifikation af højrisikosystemer (artikel 6, stk. 5) og de eksisterende retningslinjer om forbudt praksis (åbner et eksternt websted).
• Harmoniserede standarder for højrisikokravene, som udbyderne vil bruge til at vise overensstemmelse.
• Vejledning fra Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen til offentlige idriftsættere.
• AI-kontorets skabelon til konsekvensanalysen vedrørende grundlæggende rettigheder.

Europa-Kommissionens AI Act Service Desk (åbner et eksternt websted) holder den officielle tidsplan og forklaringer artikel for artikel opdateret (på engelsk). Gem den som bogmærke, og datér hvert internt notat du skriver om forordningen: det er en tekst der stadig bevæger sig.