EU's AI-forordning gælder officielt – men med et forbehold

Fra begyndelsen af august 2026 er EU's AI-forordning gået fra at være et ventende lovforslag til et regelsæt, virksomheder faktisk skal efterleve. TechGDPR's seneste databeskyttelsesoversigt markerer denne milepæl og bemærker, at forordningen blev anvendelig, mens reglerne for højrisiko-AI-systemer midlertidigt er undtaget. For alle, der følger, hvordan AI-regulering krydser databeskyttelse, er dette et bemærkelsesværdigt tidspunkt: loven er teknisk set i kraft, men et af dens mest vidtrækkende kapitler er sat på pause.

AI-forordningen er opbygget omkring en risikobaseret ramme. Systemer inddeles i kategorier – fra minimal risiko til uacceptabel risiko – med stigende forpligtelser derefter. Højrisiko-AI, tænk på systemer brugt til ansættelse, kreditvurdering, retshåndhævelse eller medicinsk diagnostik, skulle altid bære den tungeste efterlevelsesbyrde: overensstemmelsesvurderinger, krav om menneskeligt tilsyn og detaljeret dokumentation. At netop disse specifikke forpligtelser udskydes, samtidig med at den bredere lov træder i kraft, siger noget om, hvor svært det har været for tilsynsmyndigheder og industri at blive enige om tidsplaner for implementeringen af de strengeste bestemmelser.

Hvorfor reglerne for højrisiko-AI er sat på pause

Udsættelsen er ikke et tegn på, at tilsynsmyndighederne har blødt op i deres holdning til AI-tilsyn. Den afspejler derimod den praktiske virkelighed ved at udrulle en lov af denne kompleksitet. Standardiseringsorganer, nationale tilsynsmyndigheder og EU-Kommissionen havde alle brug for mere tid til at færdiggøre de tekniske specifikationer, som udbydere af højrisiko-AI ville skulle opfylde. I stedet for at tvinge virksomheder til at efterleve regler, der endnu ikke var fuldt definerede, blev forpligtelserne for højrisikosystemer skubbet, mens resten af forordningen – herunder bestemmelser om forbudt praksis og AI-kompetence – trådte i kraft som planlagt.

Denne trinvise ikrafttræden betyder især noget for databeskyttelsesprofessionelle. Mange anvendelser af højrisiko-AI – biometrisk identifikation, automatiseret beslutningstagning i ansættelse eller udlån – indebærer omfattende behandling af personoplysninger. Når fristen for efterlevelse for disse systemer rykkes, opstår der et midlertidigt hul, hvor AI-specifikke sikkerhedsforanstaltninger endnu ikke kan håndhæves, selvom GDPR-forpligtelserne omkring de samme databehandlingsaktiviteter fortsat gælder fuldt ud. Organisationer kan ikke betragte udsættelsen som en fripas til bredt set at ignorere privatlivsoverholdelse – kun i forhold til AI-forordningens ekstra lag af krav til højrisikokategorier.

GDPR-forbindelsen: Databeskyttelse er stadig i spil

En af de nyttige ting at forstå ved AI-forordningen er, at den ikke erstatter GDPR – den ligger ved siden af. Ethvert AI-system, der behandler personoplysninger, hvad enten det klassificeres som højrisiko eller ej, skal stadig opfylde den eksisterende databeskyttelseslovgivning: lovlig behandlingsbasis, gennemsigtighed over for de registrerede og beskyttelse mod misbrug. AI-forordningen tilføjer sektorspecifikke og risikospecifikke regler oven på dette fundament.

Denne tosporede tilgang er ikke unik for EU. Databeskyttelsesordninger verden over kæmper med lignende spørgsmål om, hvordan ny teknologi skal reguleres uden at efterlade huller i tilsynet. Zimbabwes telemyndighed forbereder sig for eksempel på aktivt at håndhæve sin egen databeskyttelseslov fra september 2026, et skifte, vi dækkede i vores rapport om POTRAZ' håndhævelsesplaner. Andre steder har forslag som Sydafrikas plan om at knytte mobil-SIM-registrering til digital identitet rejst lignende bekymringer om, hvordan personoplysninger bruges, når de først er indsamlet – et emne, vi udforskede i vores dækning af Sydafrikas SIM-til-ID-debat. Forskellige regioner, forskellige mekanismer, men den samme underliggende spænding: teknologi bevæger sig hurtigere end de regler, der skal styre den.

Hvad det betyder for dig

Hvis du er forbruger, er den umiddelbare praktiske virkning begrænset. EU's AI-forordnings højrisikobestemmelser var altid rettet mod de virksomheder og offentlige organer, der anvender AI-systemer, ikke mod den enkelte bruger. Men den bredere udrulning er værd at følge, fordi den signalerer, hvor seriøst tilsynsmyndighederne tager AI-drevet databehandling, og hvor meget arbejde der stadig mangler, før beskyttelsen er fuldt på plads.

Hvis du arbejder i en virksomhed, der udvikler eller anvender AI-værktøjer, der berører EU-brugere, betyder udsættelsen af højrisikoforpligtelserne ikke, at du kan vente med at forberede dig. Tilsynsmyndighederne har gjort det klart, at udskydelsen handler om implementeringstidspunktet, ikke en retningsændring. At komme i gang med dokumentation, risikovurderinger og datagovernance nu vil have betydning, når højrisikofristerne en gang rammer.

Hovedpointer

  • EU's AI-forordning blev anvendelig i august 2026, men forpligtelserne for højrisiko-AI-systemer er midlertidigt undtaget i afventning af færdiggørelse af tekniske standarder.
  • GDPR-forpligtelser gælder fortsat fuldt ud uanset AI-forordningens trinvise ikrafttræden, så databehandling knyttet til AI-systemer kræver stadig en lovlig basis og gennemsigtighed.
  • Virksomheder, der anvender AI i EU, bør betragte udsættelsen som et planlægningsvindue, ikke en efterlevelsesfritagelse, og fortsætte med at bygge mod de endelige højrisikokrav.
  • At se, hvordan andre jurisdiktioner – fra Zimbabwe til Sydafrika – griber håndhævelse af databeskyttelse an, giver nyttig kontekst for, hvordan det globale reguleringspres omkring persondata vokser parallelt med AI-specifikke regler.