Er din virksomhed klar til EU's AI Act?

Den 2. august 2026 begynder hovedparten af EU's AI-forordning at gælde. For marketingafdelinger, der bruger kunstig intelligens i den daglige produktion, betyder det nye krav om mærkning, dokumentation og kompetencer. En netop indgået EU-aftale udskyder dele af reglerne, men ikke det, der betyder mest for marketingbranchen.

EU's AI-forordning, også kendt som AI Act, er verdens første samlede lovgivning om kunstig intelligens. Forordningen trådte i kraft den 1. august 2024, men reglerne implementeres trinvist. Den væsentligste milepæl for de fleste virksomheder ligger den 2. august 2026.

Forordningen gælder direkte i alle 27 EU-lande. Danmark var det første medlemsland, der vedtog en supplerende national lov om implementeringen. Loven blev vedtaget i maj 2025 og udpeger Digitaliseringsstyrelsen som den koordinerende tilsynsmyndighed.

For danske virksomheder er emnet særligt relevant. Tal fra Eurostat viser, at Danmark er det EU-land, hvor flest virksomheder anvender AI. 42 procent af danske virksomheder med 10 eller flere ansatte bruger mindst én form for kunstig intelligens, hvilket er mere end dobbelt så højt som EU-gennemsnittet på cirka 20 procent.

En risikobaseret tilgang

AI-forordningen bygger på en risikobaseret tilgang, hvor kravene afhænger af, hvor stor risiko det enkelte AI-system udgør for borgerne. Reglerne arbejder med fire risikoniveauer.

På det øverste niveau finder man de forbudte former for AI-praksis. Det omfatter blandt andet social scoring og AI-systemer, der bruges til skadelig manipulation. Forbuddet har været gældende siden den 2. februar 2025.

Næste niveau dækker højrisiko-AI. Det er systemer, der anvendes inden for kritiske områder som rekruttering, kreditvurdering, sundhedssektoren og kritisk infrastruktur. Højrisiko-systemerne er underlagt omfattende krav til dokumentation, risikostyring og menneskeligt opsyn.

Det tredje niveau, gennemsigtighedskravene, er det centrale for marketingbranchen. Her placeres AI-chatbots, AI-genererede billeder, tekster, videoer og syntetiske stemmer.

Det fjerde og laveste niveau dækker AI med minimal eller ingen risiko, f.eks. spamfiltre. Her gælder ingen særlige krav.

Artikel 50: Den centrale bestemmelse for marketing

Den 2. august 2026 træder artikel 50 i kraft. Bestemmelsen pålægger virksomheder to overordnede forpligtelser.

For det første skal brugere oplyses, når de interagerer med en AI. Det indebærer, at chatbots og virtuelle assistenter på virksomheders websites tydeligt skal markere, at der er tale om et kunstigt system og ikke et menneske.

For det andet skal AI-genereret indhold mærkes. Kravet omfatter et bredt spænd af materialer: AI-skrevne annoncetekster, AI-genererede produktbilleder, AI-baserede kampagnevideoer, syntetiske stemmer og AI-redigerede fotografier, der er manipuleret ud over normal billedredigering.

Et konkret eksempel: En dansk webshop, der bruger Gemini til at generere modelbilleder i stedet for at gennemføre et fotoshoot, må fortsat gøre det. Men billederne skal mærkes som AI-genererede, både synligt for brugeren og teknisk i form af metadata. Det samme gælder reklamefilm med syntetiske fortællerstemmer.

Forordningen indeholder en snæver undtagelse for indhold, der er åbenlyst satirisk, kunstnerisk eller fiktivt. En satirisk AI-tegning til et opslag på sociale medier er således ikke underlagt samme krav som en realistisk produktvideo med syntetiske skuespillere.

Konsekvenser ved overtrædelse

Bøderne under AI-forordningen er betydelige. For overtrædelse af gennemsigtighedskravene kan bøderne nå op på 15 millioner euro eller 3 procent af virksomhedens globale årsomsætning. Det højeste af de to beløb er gældende. Omregnet svarer det til omkring 110 millioner danske kroner.

For overtrædelse af forbuddet mod de mest skadelige AI-systemer kan bøderne nå op på 35 millioner euro eller 7 procent af omsætningen.

For små og mellemstore virksomheder skal bøderne være proportionale med virksomhedens størrelse. Det betyder dog ikke, at mindre virksomheder går fri. Tilsynsmyndigheden kan stadig udstede påbud om at fjerne indhold, ændre processer eller betale mindre administrative bøder.

Ansvaret påhviler den virksomhed, der tager AI-systemet i brug og distribuerer indholdet, ikke leverandøren af AI-værktøjet. En virksomhed, der bruger ChatGPT eller Gemini til produktion af markedsføringsmateriale, bærer selv det fulde compliance-ansvar.

AI-færdigheder: Et krav, der allerede gælder

Et ofte overset element i forordningen er artikel 4, der har været gældende siden den 2. februar 2025. Bestemmelsen pålægger alle virksomheder, der udvikler eller idriftsætter AI-systemer, at sikre et tilstrækkeligt niveau af AI-færdigheder hos relevante medarbejdere.

Kravet gælder uanset virksomhedens størrelse og uanset risikoniveauet på det anvendte AI-system. Lovgivningen specificerer ikke, hvordan AI-færdigheder skal sikres. Det er overladt til den enkelte organisation at vurdere, hvad der er tilstrækkeligt i den konkrete kontekst.

Mulige tiltag omfatter e-læringskurser, interne retningslinjer for AI-anvendelse, awareness-kampagner og AI-ambassadørprogrammer, hvor medarbejdere med særlig indsigt deler erfaringer på tværs af organisationen.

For en marketingafdeling, hvor medarbejdere dagligt anvender ChatGPT, Gemini, Claude og lignende værktøjer, indebærer kravet, at virksomheden skal kunne dokumentere, at medarbejderne har den nødvendige forståelse for værktøjernes muligheder, begrænsninger og risici.

EU-aftale udskyder dele af reglerne

Den 7. maj 2026 indgik EU's Råd og Europa-Parlamentet en foreløbig politisk aftale om det såkaldte Digital Omnibus on AI. Aftalen forenkler og udskyder dele af AI-forordningen.

Den væsentligste ændring vedrører højrisiko-AI. Kravene til de højrisiko-systemer, der er listet i forordningens bilag III, herunder systemer til rekruttering, kreditvurdering og kritisk infrastruktur, udskydes fra august 2026 til den 2. december 2027. For AI, der er indlejret i regulerede produkter som medicinsk udstyr, legetøj og maskiner, udskydes kravene til den 2. august 2028.

Aftalen tilføjer samtidig et nyt forbud mod AI-systemer, der genererer seksuelt eller intimt materiale uden samtykke, herunder såkaldte nudifier-apps.

For marketingbranchen er det afgørende at bemærke, at gennemsigtighedskravene i artikel 50 ikke er omfattet af de store udskydelser. Kravet om, at brugere skal oplyses ved interaktion med AI, og at nyt AI-genereret indhold skal mærkes, gælder fortsat fra den 2. august 2026.

Den eneste justering, der berører området, vedrører den tekniske maskinlæsbare mærkning. AI-systemer, der allerede er på markedet før den 2. august 2026, får en overgangsperiode på tre måneder, så den maskinlæsbare mærkning først skal være på plads den 2. december 2026. Den justering retter sig mod udbyderne af AI-systemerne, ikke mod de virksomheder, der anvender AI til markedsføring.

Det skal understreges, at aftalen fra den 7. maj fortsat er en foreløbig politisk aftale. Den skal formelt vedtages af både Rådet og Parlamentet og publiceres i EU-Tidende, før den har retsvirkning. Den formelle vedtagelse forventes at ske inden den oprindelige deadline den 2. august 2026.

Tilsyn og håndhævelse i Danmark

Digitaliseringsstyrelsen er udpeget som den koordinerende tilsynsmyndighed for AI-forordningen i Danmark, men tilsynet er sektorbaseret. Datatilsynet får en central rolle i forhold til højrisiko-AI-systemer, der behandler personoplysninger, samt i krydsfeltet mellem AI-forordningen og GDPR.

Datatilsynet har offentliggjort sine fokusområder for 2026, og kunstig intelligens står højt på listen. Tilsynet vil særligt prioritere kontrol med transparens, dataminimering og lovlighed i AI-baserede behandlinger af personoplysninger. Sammen med fokus på cookies, sporing og overvågning af medarbejdere udgør AI et af tilsynets højest prioriterede områder.

Fire konkrete handlinger

Virksomheder bør prioritere fire indsatser i forberedelsen på de nye krav.

For det første bør der udarbejdes en oversigt over, hvor og hvordan AI anvendes i marketingproduktionen. Kortlægningen omfatter både tekstgenerering, billed- og videoproduktion, syntetiske stemmer og AI-baseret optimering af eksisterende materiale.

For det andet skal ansvaret for AI-compliance forankres organisatorisk. Ansvaret bør placeres et sted, hvor det kan dokumenteres og følges op, og bør ikke betragtes som et anliggende for marketingafdelingen alene.

For det tredje bør der udarbejdes interne retningslinjer for, hvornår og hvordan AI-genereret indhold mærkes. Retningslinjerne behøver ikke være omfattende, men de skal være skriftlige.

For det fjerde skal virksomheden sikre, at medarbejdere har de nødvendige AI-færdigheder. Konkrete tiltag kan dokumenteres i form af gennemførte kurser, interne workshops eller etablerede AI-ambassadørprogrammer.

Selvom EU-aftalen fra maj 2026 udskyder kravene til højrisiko-AI, er gennemsigtighedskravene for marketing kommet for at blive. Virksomheder, der allerede nu påbegynder kortlægningen og bygger compliance ind i deres produktionsgange, vil være bedre rustet til at håndtere både tilsyn og forbrugernes stigende fokus på ægthed.