Hvad den digitale omnibus om kunstig intelligens ændrer for virksomheder, der bruger AI (forordning (EU) 2026/1744)

Forordning (EU) 2026/1744 ændrer AI-forordningen, forordning (EU) 2024/1689, i 43 punkter. Tabellen viser de ændringer, der betyder noget for en virksomhed, der bruger AI-systemer og ikke udvikler højrisikoprodukter.

Artikel 5, stk. 1, litra ba), forbyder »omsætning, ibrugtagning eller anvendelse af et AI-system, der genererer eller manipulerer realistiske billeder, videoer, lyd eller lignende materiale af en identificerbar fysisk persons intime kropsdele eller af en identificerbar fysisk person, der er involveret i utilslørede seksuelle aktiviteter uden denne persons frivillige, specifikke, informerede, utvetydige og udtrykkelige samtykke til denne generering eller manipulation«.

Litra bb) forbyder »omsætning, ibrugtagning eller anvendelse af et AI-system, der genererer eller manipulerer materiale eller optræden som omhandlet i artikel 2, litra c) og e), i direktiv 2011/93/EU, medmindre der i henhold til national ret gælder en forsvarsgrund om ›uretmæssig handling‹«. Direktiv 2011/93/EU er EU's direktiv om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi.

For en virksomhed, der bruger AI, er det reglen for idriftsættere i artikel 5, stk. 1a, litra b), der gælder: »anvendelsen af et AI-system, der genererer eller manipulerer det materiale eller den optræden, der er omhandlet i stk. 1, første afsnit, litra ba) og bb), er kun forbudt, hvis idriftsætteren anvender systemet med henblik på at generere eller manipulere et sådant materiale eller en sådan optræden.« Artikel 5, stk. 1b, tilføjer, at manipulation, der ikke øger eksponeringen af afbildede intime kropsdele eller ændrer arten af afbildede seksuelle aktiviteter, ikke udgør manipulation efter litra ba).

Datoen står i artikel 113, stk. 3, litra a), som ændret, hvorefter »kapitel I og II anvendelse fra den 2. februar 2025 med undtagelse af artikel 5, stk. 1, første afsnit, litra ba) og bb), og artikel 5, stk. 1a, og stk. 1b, som finder anvendelse fra den 2. december 2026«. Overtrædelse af et forbud i artikel 5 kan straffes med bøder på op til 35 mio. EUR eller 7 % af den samlede globale årlige omsætning, alt efter hvilket beløb der er størst (artikel 99, stk. 3, uændret). For SMV'er og nu også SMC'er gælder det laveste beløb.

En beslægtet forpligtelse gælder allerede. Siden den 2. august 2026 har artikel 50, stk. 4, fastsat: »Idriftsættere af et AI-system, der genererer eller manipulerer billed-, lyd- eller videoindhold, der udgør en deepfake, skal oplyse, at indholdet er blevet genereret kunstigt eller manipuleret.«

Artikel 4 er erstattet. Udbydere og idriftsættere træffer fortsat foranstaltninger, der støtter AI-færdighederne hos deres personale og andre, der handler på deres vegne, og artikel 4, stk. 1, slutter nu: »Denne forpligtelse pålægger ikke udbydere eller idriftsættere at garantere et specifikt niveau af AI-færdigheder hos nogen enkeltperson.« Den tidligere ordlyd, »i videst muligt omfang at sikre et tilstrækkeligt niveau af AI-færdigheder«, er væk.

Hvad forpligtelsen kræver i dag, hvad Kommissionens spørgsmål og svar forventer, og en tjekliste med uddannelseslog står på siden om AI-færdigheder efter artikel 4. De nye forbud hører hjemme i den uddannelse: De, der genererer billeder, video eller lyd, skal vide, hvad der er forbudt.

Artikel 26, idriftsætternes forpligtelser for højrisiko-AI-systemer. Intet punkt i forordning 2026/1744 ændrer den. Idriftsættere anvender systemet i overensstemmelse med brugsanvisningen, overdrager det menneskelige tilsyn til personer med den nødvendige kompetence, uddannelse og myndighed (artikel 26, stk. 2), overvåger systemet, opbevarer de logfiler, de har kontrol over, i mindst seks måneder (artikel 26, stk. 6), og informerer arbejdstagere, før et højrisikosystem tages i brug på arbejdspladsen. Kun startdatoen er flyttet, via artikel 113.

Gennemsigtighedsforpligtelserne i artikel 50. Kun artikel 50, stk. 7, om praksiskodekser, er erstattet. Oplysningspligten for deepfakes i stk. 4 og mærkningskravet i stk. 2 lyder som før.

De oprindelige forbudte former for praksis i artikel 5, stk. 1, litra a)-h), som har gældt siden den 2. februar 2025, definitionerne af idriftsætter (artikel 3, nr. 4) og AI-færdigheder (artikel 3, nr. 56), listen over højrisikoanvendelser i bilag III og loftet over bøder for forbudt praksis i artikel 99, stk. 3.

Hvordan forpligtelserne gælder for en virksomhed, der bruger LLM'er, står på siden om AI-forordningens forpligtelser for virksomheder.

De nye forbud gælder fra den 2. december 2026. Trinnene passer ind i de dokumenter, de fleste virksomheder allerede har.

Brugsregler er lettere at overholde, når adgangen til modeller går gennem ét sted. Standard Compute er én måde at gøre det på for model-API'er, Claude Code og Claude Desktop: hver person og hver app får sin egen nøgle, alt under én virksomhedskonto. Bestem, hvilke modeller hver nøgle må bruge, så hver app og hvert teammedlem får præcis de modeller, I godkender.

Vælg præcis, hvilke inferensudbydere der må håndtere jeres data, for hele virksomheden, et team eller en enkelt nøgle. Hver administratorændring logges med værdien før og efter, så oversigten over, hvem der kunne bruge hvilken model, ligger ved siden af jeres politik.

Disse indstillinger bestemmer, hvilke modeller og udbydere der kan bruges. De gennemgår ikke prompts eller output og gør ingen anvendelse lovlig.