Tjekliste til AI-forordningen for virksomheder, der bruger AI
Opdateret 9. november 2026. Må frit kopieres og bruges. Artikeltekst fra EUR-Lex og AI Act Service Desk.
En virksomhed, der anvender AI-systemer under sin egen myndighed, er idriftsætter efter forordningen om kunstig intelligens (artikel 3, nr. 4). Denne tjekliste viser, hvad forordningen kræver af idriftsættere, hvilken artikel hver forpligtelse kommer fra, og hvilken dokumentation der viser, at den er opfyldt: AI-færdigheder siden 2. februar 2025, gennemsigtighed fra 2. august 2026 og forpligtelserne i artikel 26 og 27 for højrisikoanvendelser fra 2. december 2027.
Download den som Markdown-fil eller som CSV med tomme kolonner til ansvarlig, status og dokumentation, og gennemgå den sammen med den juridiske afdeling og informationssikkerhed.
14. oktober 2026: den første harmoniserede standard under AI-forordningen, EN 18286 (kvalitetsstyring for udbydere af højrisiko-AI-systemer), blev offentliggjort i Den Europæiske Unions Tidende. Hvad det betyder for idriftsættere.
Download tjeklisten (.md)Regneark (.csv)
CSV-filen åbner i Excel, Google Sheets eller Numbers, med kolonner til ansvarlig, status og link til dokumentation.
Tjeklisten
Start med afsnit 1, som gælder for alle virksomheder. Afsnit 2 gælder kun for højrisiko-AI-systemer efter artikel 6 og bilag III. Afsnit 3 afhænger af, hvad I offentliggør, og afsnit 4 af, hvilke modeller I bygger på.
1. Alle virksomheder, der bruger AI
Gælder uanset værktøj: chatassistenter, AI-funktioner i anden software, kodeagenter og modeller, der kaldes via API.
| Nr. | Hvad der skal gøres | Artikel | Sådan dokumenterer I det |
|---|---|---|---|
| 1 | AI-færdigheder. Træf foranstaltninger, der støtter udviklingen af AI-færdigheder hos medarbejderne og andre, der er involveret i drift og anvendelse af AI-systemer på virksomhedens vegne, tilpasset deres viden, erfaring og uddannelse og den kontekst, systemerne anvendes i. | ArtikelArt. 4 (siden 2. feb. 2025, ændret ved forordning 2026/1744) | Sådan dokumenterer I detUddannelsesoversigt pr. rolle (dato, deltagere, indhold), den AI-politik, medarbejderne har bekræftet, og vejledning om risici som hallucinationer. Der kræves intet certifikat. |
| 2 | Oversigt. Opfør hvert AI-system og anvendelsestilfælde: hvad det gør, hvem der ejer det, hvem der bruger det, hvilke modeller og udbydere der leverer det, og hvilke data der sendes ind. | ArtikelGrundlag for art. 4, 6, 26 og 50 | Sådan dokumenterer I detEt AI-register med ejer, formål, brugere, modeller, udbydere, datakategorier, om output offentliggøres, og dato for seneste gennemgang. En eksport pr. app eller nøgle af de modeller og udbydere, der bruges. |
| 3 | Risikoklassificering. Vurder hvert anvendelsestilfælde mod de otte områder i bilag III: biometri, kritisk infrastruktur, uddannelse, beskæftigelse og forvaltning af arbejdstagere, væsentlige private og offentlige tjenester (herunder kreditværdighed og prisfastsættelse af livs- og sygeforsikring), retshåndhævelse, migration og grænsekontrol samt retspleje og demokratiske processer. Udkast, oversættelse, opsummering og kodehjælp er ikke områder i bilag III. En sådan anvendelse bliver højrisiko, når AI'en bruges til et opført formål, for eksempel til at sortere jobansøgninger. | ArtikelArt. 6, stk. 2 og 3, bilag III | Sådan dokumenterer I detEn klassificering pr. anvendelsestilfælde, der angiver det vurderede punkt i bilag III og begrundelsen, en eventuel undtagelse efter artikel 6, stk. 3, godkendelse fra den juridiske afdeling og en ny vurdering, når formålet ændres. Profilering af fysiske personer inden for et område i bilag III er altid højrisiko. |
| 4 | Rolletjek. Bekræft, at I stadig er idriftsætter. I får udbyderens forpligtelser, hvis I sætter jeres navn eller varemærke på et højrisikosystem, foretager en væsentlig ændring af et sådant system eller ændrer formålet med et AI-system, så det bliver højrisiko. | ArtikelArt. 25, stk. 1 | Sådan dokumenterer I detEn note i registret pr. system: eget varemærke eller ej, foretagne ændringer og tilsigtet formål sammenholdt med udbyderens. |
2. Kun hvis I anvender et højrisiko-AI-system
Anvendelser efter bilag III, fra 2. december 2027 (artikel 113 som ændret ved digital omnibus om kunstig intelligens).
| Nr. | Hvad der skal gøres | Artikel | Sådan dokumenterer I det |
|---|---|---|---|
| 5 | Anvendelse efter brugsanvisningen. Træf tekniske og organisatoriske foranstaltninger, så systemet anvendes i overensstemmelse med udbyderens brugsanvisning. | ArtikelArt. 26, stk. 1 | Sådan dokumenterer I detBrugsanvisningen arkiveret med version og en intern procedure, der knytter hver instruktion til en kontrol. |
| 6 | Menneskeligt tilsyn. Overdrag det menneskelige tilsyn til personer med den nødvendige kompetence, uddannelse og myndighed, og giv dem den støtte, de har brug for. | ArtikelArt. 26, stk. 2 | Sådan dokumenterer I detNavngivne tilsynsansvarlige pr. system, deres uddannelsesoversigt, deres myndighed til at stoppe eller tilsidesætte systemet og eskaleringsvejen. |
| 7 | Inputdata. Hvor I har kontrol over inputdataene, sørg for, at de er relevante og tilstrækkeligt repræsentative for det tilsigtede formål. | ArtikelArt. 26, stk. 4 | Sådan dokumenterer I detEn beskrivelse af datakilderne og en dateret vurdering af relevans og repræsentativitet. |
| 8 | Overvågning. Overvåg systemet på grundlag af brugsanvisningen. Hvis det kan udgøre en risiko, underret udbyderen eller distributøren og markedsovervågningsmyndigheden, og indstil anvendelsen. Indberet alvorlige hændelser. | ArtikelArt. 26, stk. 5 | Sådan dokumenterer I detEn overvågningslog, en hændelsesprocedure med kontaktpunkter hos udbyder og myndighed og dokumentation for hver underretning eller indstilling. |
| 9 | Logfiler. Opbevar de logfiler, højrisikosystemet genererer automatisk, i det omfang de er under jeres kontrol, i en periode, der passer til det tilsigtede formål, og i mindst seks måneder, medmindre andet er fastsat i EU-retten eller national ret, navnlig om beskyttelse af personoplysninger. | ArtikelArt. 26, stk. 6 | Sådan dokumenterer I detOpbevaringsindstilling og lagringssted for systemets logfiler, sletteplanen og en eksempeleksport, der viser seks måneder eller mere. |
| 10 | Informer arbejdstagere. Før et højrisikosystem tages i brug eller anvendes på arbejdspladsen, informerer arbejdsgiveren arbejdstagerrepræsentanterne og de berørte arbejdstagere. | ArtikelArt. 26, stk. 7 | Sådan dokumenterer I detDen daterede meddelelse til medarbejderne og referatet eller brevet til samarbejdsudvalget eller tillidsrepræsentanterne. |
| 11 | Informer berørte personer. Når et system efter bilag III træffer eller bistår med beslutninger om fysiske personer, informer dem om, at systemet anvendes på dem. | ArtikelArt. 26, stk. 11 | Sådan dokumenterer I detInformationsteksten, og hvor og hvornår den vises for de berørte. |
| 12 | Konsekvensanalyse vedrørende grundlæggende rettigheder, hvor den kræves: offentligretlige organer, private enheder, der leverer offentlige tjenester, og idriftsættere af systemer til kreditværdighed eller prisfastsættelse af livs- og sygeforsikring (bilag III, punkt 5, litra b og c), vurderer virkningerne før første anvendelse og underretter markedsovervågningsmyndigheden om resultatet. Kritisk infrastruktur (bilag III, punkt 2) er undtaget. | ArtikelArt. 27, art. 26, stk. 9 | Sådan dokumenterer I detDen gennemførte analyse (processer, periode og hyppighed for anvendelsen, berørte grupper, risici, tilsyn, foranstaltninger og klagemekanismer), den sendte underretning og henvisninger til konsekvensanalysen vedrørende databeskyttelse efter artikel 35 i GDPR. |
3. Gennemsigtighed
Artikel 50 gælder fra 2. august 2026.
| Nr. | Hvad der skal gøres | Artikel | Sådan dokumenterer I det |
|---|---|---|---|
| 13 | Mærkning hos udbyderen. Udbydere af AI-systemer, der genererer syntetisk lyd-, billed-, video- eller tekstindhold, skal mærke output i et maskinlæsbart format som kunstigt genereret eller manipuleret. Det er udbyderens forpligtelse. For systemer, der er bragt i omsætning før 2. august 2026, gælder den fra 2. december 2026. | ArtikelArt. 50, stk. 2, art. 111, stk. 4 | Sådan dokumenterer I detFor hvert generativt værktøj i registret: udbyderens erklæring eller dokumentation om, hvordan output mærkes, med datoen for jeres kontrol. |
| 14 | Deepfakes og tekst af offentlig interesse. Oplys, at billed-, lyd- eller videoindhold, der udgør en deepfake, er kunstigt genereret eller manipuleret. Oplys om AI-genereret eller manipuleret tekst, der offentliggøres for at informere offentligheden om spørgsmål af offentlig interesse, medmindre den har været gennem menneskelig gennemgang eller redaktionel kontrol, og nogen har det redaktionelle ansvar. | ArtikelArt. 50, stk. 4 | Sådan dokumenterer I detEn mærkningsregel i publiceringsflowet, eksempler på mærket indhold og navnet på den, der har det redaktionelle ansvar for gennemgået tekst. |
| 15 | Følelsesgenkendelse og biometrisk kategorisering. Informer de personer, der udsættes for et sådant system. | ArtikelArt. 50, stk. 3 | Sådan dokumenterer I detInformationsteksten, og hvor den vises, eller en note i registret om, at intet sådant system anvendes. |
4. Dokumenter, I skal bede modeludbyderne om
Forpligtelserne for AI-modeller til almen brug ligger hos udbyderne og har gældt siden 2. august 2025.
| Nr. | Hvad der skal gøres | Artikel | Sådan dokumenterer I det |
|---|---|---|---|
| 16 | Dokumentation for AI-modeller til almen brug. Hvis I bygger en sådan model ind i jeres eget AI-system, så bed om de oplysninger og den dokumentation, udbyderen skal stille til rådighed for udbydere længere nede i kæden, samt det offentlige resumé af træningsindholdet og ophavsretspolitikken. Modeller med åben kildekode er undtaget fra dokumentationspligten, medmindre de indebærer systemisk risiko. | ArtikelArt. 53, stk. 1, litra b, c og d, bilag XII | Sådan dokumenterer I detEn mappe pr. model med udbyderens dokumentation, link til resuméet af træningsindholdet, ophavsretspolitik, vilkår for behandling af personoplysninger og hentedato, linket fra registret. |
Sådan hjælper en gateway med dokumentationen
Flere af punkterne ovenfor kræver det samme: en opdateret oversigt over, hvilke modeller og udbydere hver applikation bruger, og en historik over, hvem der ændrede reglerne. Når hvert AI-kald går gennem én gateway, opbygges oversigten af sig selv.
Standard Compute samler Claude, GPT, Gemini og åbne modeller under én virksomhedskonto, med en nøgle til hver person og hver app. Hver ændring, en administrator foretager, registreres med værdien før og efter, og I kan eksportere en post for hvert kald, der viser modellen, udbyderen, der leverede svaret, og den regionsregel, der gjaldt, opbevaret i 12 måneder. Posterne indeholder kun metadata (model, udbyder, tokens, omkostning og status), aldrig jeres prompter eller svar.
| Punkt i tjeklisten | Hvad Standard Compute registrerer eller håndhæver |
|---|---|
| 2. Oversigt | En nøgle pr. person og pr. app, de modeller hver nøgle må bruge, og model og leverende udbyder for hvert kald. |
| 3 og 4. Klassificering og rolle | Godkendte modeller pr. nøgle, så et anvendelsestilfælde kun kører på de modeller, I har godkendt til det. |
| 9. Logfiler | En kaldslog med model, udbyder og regionsregel for hvert kald, opbevaret i 12 måneder og mulig at eksportere. |
| 1 og 16. Politik og valg af udbyder | Lister over tilladte udbydere for virksomheden, et team eller en nøgle. Nye udbydere tilføjes aldrig uden en administrators godkendelse, og reserveruter kan aldrig gå uden om jeres liste. |
| Historik for reglerne | En administratorlog med værdien før og efter for hver ændring af personer, nøgler og regler. |
| Databeskyttelse | En Europa-regel: hvert kald, også nye forsøg og reserveruter, leveres kun af godkendte europæiske inferens-endpoints. Nul dataopbevaring: kaldene går kun til endpoints, der forpligter sig til ikke at beholde nogen kopi af jeres data. |
Dette er gatewayens poster om brug af modeller og udbydere. Logfilerne i artikel 26, stk. 6, er dem, et højrisikosystem selv genererer. Hvad forordningen kræver af jeres virksomhed, afgør jeres juridiske afdeling. Tjeklisten er ikke juridisk rådgivning.
Spørgsmål
- Er det højrisiko efter AI-forordningen at bruge ChatGPT, Claude eller en kodeagent til kontorarbejde?
- Højrisiko omfatter systemerne i artikel 6, stk. 1, og anvendelsestilfældene i bilag III, for eksempel rekruttering, forvaltning af arbejdstagere, kreditværdighed, uddannelse og adgang til væsentlige tjenester. Udkast, oversættelse, opsummering og kodehjælp står ikke på den liste. Det samme værktøj bliver højrisiko, når det bruges til et opført formål, for eksempel til at sortere jobansøgninger eller evaluere medarbejdere.
- Hvor længe skal en idriftsætter opbevare AI-logfiler?
- For højrisikosystemer kræver artikel 26, stk. 6, at idriftsættere opbevarer de logfiler, systemet genererer automatisk, i det omfang de er under deres kontrol, i en periode, der passer til det tilsigtede formål, og i mindst seks måneder, medmindre EU-retten eller national ret, navnlig om beskyttelse af personoplysninger, fastsætter andet.
- Hvem skal lave en konsekvensanalyse vedrørende grundlæggende rettigheder?
- Efter artikel 27 offentligretlige organer, private enheder, der leverer offentlige tjenester, og idriftsættere af systemer efter bilag III til kreditværdighed eller risikovurdering og prisfastsættelse af livs- og sygeforsikring. Den laves før første anvendelse, og resultatet meddeles markedsovervågningsmyndigheden. Den kan henvise til konsekvensanalysen vedrørende databeskyttelse efter GDPR.
- Hvornår gælder gennemsigtighedsreglerne i artikel 50?
- Fra 2. august 2026. Idriftsættere oplyser om deepfakes og om AI-genereret tekst, der offentliggøres om spørgsmål af offentlig interesse (artikel 50, stk. 4). Udbydere mærker syntetisk output i et maskinlæsbart format (artikel 50, stk. 2), og for systemer, der er bragt i omsætning før 2. august 2026, giver artikel 111, stk. 4, dem frist til 2. december 2026.
- Hvad tilføjer en AI-gateway til tjeklisten?
- Én oversigt over, hvilke modeller og udbydere hver applikation bruger, og ét sted, hvor den godkendte liste håndhæves. Standard Compute eksporterer en kaldslog med model, udbyder og regionsregel, opbevaret i 12 måneder, registrerer hver administratorændring med værdien før og efter og håndhæver lister over godkendte modeller og udbydere.
Kilder
- Forordning (EU) 2024/1689, forordningen om kunstig intelligens, EUR-Lex
- Forordning (EU) 2026/1744, digital omnibus om kunstig intelligens, EUR-Lex
- AI Act Service Desk, konsolideret tekst (engelsk): Artikel 4, Artikel 6, Artikel 25, Artikel 26, Artikel 27, Artikel 50, Artikel 53, Artikel 111, Artikel 113, Bilag III
Relateret
Lad hvert AI-kald gå gennem én virksomhedskonto, og hold oversigten og dokumentationen ét sted.