AI Act artikel 50 og ISO 42001: Det skal virksomheder, der bruger AI, vide nu

Siden 2. august 2026 har AI-forordningens krav om gennemsigtighed i artikel 50 kunnet håndhæves. Kravene gælder ikke kun dem, der udvikler AI. De gælder også virksomheder, der bruger en chatbot på hjemmesiden, laver billeder med AI eller udgiver tekster, som AI har skrevet.

Samtidig spørger flere og flere os om ISO 42001, standarden for styring af AI. I denne artikel gennemgår vi, hvad artikel 50 kræver, hvad det betyder i praksis, og hvornår ISO 42001 giver mening for jer.

Hvad kræver artikel 50?

Artikel 50 handler om én ting: Mennesker skal kunne se, når de har med AI at gøre. Forpligtelserne afhænger af, om I er udbyder (den, der udvikler eller markedsfører AI-systemet) eller idriftssætter (den, der bruger det i egen virksomhed).

Situation	Hvem har pligten?	Hvad skal I gøre?
AI, der taler direkte med mennesker, fx en chatbot	Udbyderen	Personen skal informeres om, at det er AI, medmindre det er indlysende (art. 50, stk. 1)
AI, der laver syntetisk lyd, billeder, video eller tekst	Udbyderen	Indholdet skal mærkes maskinlæsbart, så det kan genkendes som AI-genereret (art. 50, stk. 2)
Følelsesgenkendelse eller biometrisk kategorisering	Idriftssætteren	De berørte skal informeres, og behandlingen skal overholde GDPR (art. 50, stk. 3)
Deepfakes og AI-tekst om emner af offentlig interesse	Idriftssætteren	Det skal oplyses, at indholdet er AI-genereret eller manipuleret. For tekst gælder det ikke, hvis et menneske har gennemgået den og har det redaktionelle ansvar (art. 50, stk. 4)

Oplysningen skal gives tydeligt og senest ved første kontakt (art. 50, stk. 5). Overtrædelser kan give bøder på op til 15 mio. euro eller 3 % af den globale årsomsætning (art. 99, stk. 4).

Udbydere af generative systemer, der var på markedet før 2. august 2026, har frist til 2. december 2026 for den tekniske mærkning, jf. art. 111, stk. 4. De øvrige krav gælder allerede.

Hvad betyder det i praksis?

De fleste danske virksomheder er idriftssættere. De bruger AI, som andre har udviklet. Alligevel kan artikel 50 ramme dem i tre almindelige situationer:

Chatbot på hjemmesiden. Har I sat en chatbot op under jeres eget navn eller ændret den væsentligt, kan I selv blive betragtet som udbyder af den. Sørg for, at den tydeligt siger, at den er AI, og at kunden kan komme til at tale med et menneske.
AI-billeder og -video i markedsføringen. Bruger I AI til at lave billeder eller video, der ligner virkelige personer, steder eller begivenheder, skal det fremgå, at indholdet er AI-genereret.
Tekster skrevet med AI. Udgiver I tekster om emner af offentlig interesse, som AI har skrevet, skal det oplyses. Undtagelsen er tekster, som et menneske har gennemgået og står inde for. I praksis betyder det: Læs altid AI-teksten igennem, og lad en navngiven person have ansvaret.

Husk, at GDPR stadig gælder ved siden af. Behandler jeres AI personoplysninger, skal I have et behandlingsgrundlag, en databehandleraftale med leverandøren, og behandlingen skal stå i jeres fortegnelse.

EU’s adfærdskodeks og kravet om AI-kompetencer

EU-Kommissionen offentliggjorde den 10. juni 2026 et adfærdskodeks for mærkning af AI-genereret indhold. Kodekset er frivilligt, men det bliver formentlig det, tilsynet måler jer op imod. Det anbefaler blandt andet, at udbydere bruger mindst to tekniske mærkninger, fx metadata og vandmærker. Idriftssættere kan bruge et fælles EU-ikon til at mærke deepfakes og AI-tekst.

Kravet om AI-kompetencer i artikel 4 har gældt siden 2. februar 2025. Med AI-omnibussen, forordning (EU) 2026/1744 af 8. juli 2026, er kravet blevet præciseret. Det står nu udtrykkeligt, at pligten ikke kræver, at I garanterer et bestemt niveau af AI-færdigheder hos den enkelte medarbejder. Men I skal stadig træffe foranstaltninger, så de medarbejdere, der bruger AI, ved, hvad de laver. Det kan være en kort AI-politik, instruktion i de værktøjer, I bruger, og en gennemgang af, hvad man ikke må lægge ind i dem.

Har I brug for en konkret model, har Dansk Standard udgivet vejledningen DS/PAS 2500-4:2025 om AI-færdigheder. Den er skrevet til virksomheder, der bruger AI, og beskriver i fem trin, hvad topledelse, systemejere, driftsansvarlige og slutbrugere hver især bør kunne. Og kravet gælder også, når medarbejderne bruger ChatGPT til at skrive reklametekster. Det har EU-Kommissionen bekræftet i sine spørgsmål og svar om AI-færdigheder.

Et godt pejlemærke er tre spørgsmål, som de medarbejdere, der arbejder med et AI-system, bør kunne besvare: Kan vi forklare det? Kan vi kontrollere det? Kan vi dokumentere det? Spørgsmålene er ikke et lovkrav i sig selv, men de viser, om jeres indsats for AI-færdigheder virker i praksis.

Det gælder især, når AI bruges som beslutningsstøtte i sager om personer. Godkender medarbejderen blot AI’ens forslag uden at forholde sig til grundlaget, kan afgørelsen i praksis blive betragtet som automatisk efter GDPR’s artikel 22. Derfor bør den, der kontrollerer, have kompetence til at ændre afgørelsen og adgang til de relevante oplysninger.

Hvad er ISO 42001?

ISO/IEC 42001 er en international standard for et ledelsessystem for AI. Den kom i december 2023 og er bygget op på samme måde som ISO 27001 for informationssikkerhed. Man kan blive certificeret efter den.

Standarden er ikke et lovkrav, og en certificering betyder ikke automatisk, at I overholder AI-forordningen. Men den giver en struktur, der dækker meget af det samme:

En AI-politik og klare roller og ansvar
Et overblik over de AI-systemer, I bruger
Risiko- og konsekvensvurderinger af AI
Krav til leverandører og data
Løbende overvågning, opfølgning og forbedring

ISO 42001 giver især mening, hvis I udvikler AI, bruger AI i vigtige beslutninger, eller hvis jeres kunder begynder at spørge efter dokumentation. Har I allerede ISO 27001, kan de to standarder køre i samme ledelsessystem.

For de fleste mindre virksomheder er det nok at starte mindre: et AI-register, en AI-politik og en fast proces for nye AI-projekter.

ISO 42001 og de nye europæiske standarder

AI-forordningen får sine egne europæiske standarder, såkaldte harmoniserede standarder. Følger man dem, formodes man at overholde de krav, de dækker. Det gælder ikke for ISO 42001.

EN 18286 om kvalitetsledelse blev godkendt 12. juli 2026 og afventer offentliggørelse i EU-Tidende. Yderligere 12 standarder om bl.a. risikostyring, logning og menneskeligt tilsyn ventes fra november 2026 til februar 2027.

Standarderne er især relevante for udbydere af højrisiko-AI. EN 18286 har bilag, der viser sammenhængen med ISO 42001, så arbejdet med ISO 42001 kan genbruges.

Hvad gælder hvornår?

AI-forordningen træder i kraft i etaper. AI-omnibussen har udskudt kravene til højrisiko-AI, men ikke kravene om gennemsigtighed.

Dato	Hvad gælder
2. februar 2025	Forbudte former for AI og kravet om AI-kompetencer
2. august 2025	Regler for udbydere af AI-modeller til almene formål, fx de store sprogmodeller
2. august 2026	Gennemsigtighedskravene i artikel 50
2. december 2026	Frist for teknisk mærkning af indhold fra generative systemer, der var på markedet før 2. august 2026. Samtidig gælder nye forbud mod AI, der laver intime deepfakes uden samtykke eller overgrebsmateriale
2. august 2027	Hvert EU-land skal have mindst én regulatorisk sandkasse for AI i drift
2. december 2027	Krav til højrisiko-AI i bilag III, fx AI i rekruttering, uddannelse og kreditvurdering
2. august 2028	Krav til højrisiko-AI, der indgår i produkter (bilag I)

Hvem fører tilsyn i Danmark?

Digitaliseringsstyrelsen er koordinerende myndighed og fører tilsyn med de fleste forbud. Datatilsynet har enkelte områder, bl.a. biometri, og tilsynet med højrisiko-AI fordeles på sektormyndighederne.

Digitaliseringsstyrelsen har meldt ud, at tilsynet med virksomheder, der bruger AI, vil fokusere på processer, brugsanvisninger og menneskeligt tilsyn. Styrelsen udgiver snart en national vejledning om gennemsigtighed og deepfakes. Sammen med Datatilsynet tilbyder den også en sandkasse, hvor AI-projekter kan få vejledning.

Sådan kommer I i gang

Start med at skabe overblik: Hvilke AI-løsninger bruger I, til hvad, og hvilke data indgår? Placér derefter hver løsning i et af AI-forordningens fire risikoniveauer:

Minimal risiko: Fx tekstassistent, oversættelse eller spamfilter. Ingen særlige krav ud over AI-færdigheder.
Begrænset risiko: Fx chatbots, AI-billeder og deepfakes. Kræver gennemsigtighed efter artikel 50.
Højrisiko: Fx rekruttering, kreditvurdering, livs- og sygeforsikring eller kritisk infrastruktur. Omfattende krav fra 2. december 2027, så få en specialistvurdering.
Forbudt: Fx social scoring, skadelig manipulation eller følelsesgenkendelse på arbejdspladsen. Må ikke anvendes.

GDPR gælder på alle niveauer. Behandler løsningen personoplysninger, skal den vurderes efter GDPR, også når risikoen efter AI-forordningen er minimal.

Er I i tvivl om, hvor jeres AI-løsninger ligger, så kontakt os. Vi hjælper med at kortlægge jeres AI-systemer i et AI-register, lave en AI-politik, gennemgå jeres AI-leverandører og databehandleraftaler og træne medarbejderne.

Kilder