EU AI Act, forordning (EU) 2024/1689, omtales ofte, som om den var én fremtidig deadline. Det er den ikke. Den finder anvendelse i etaper, og to af dem er allerede trådt i kraft. For en europæisk SaaS-virksomhed er de dele, der betyder noget i dag, artikel 4 om AI-kompetencer og artikel 50 om gennemsigtighed.
Begge er praktiske snarere end tekniske. Begge har brug for en ejer, og begge er lette at overse, simpelthen fordi ingen har lagt mærke til, hvor meget AI der allerede er i brug i virksomheden.
En bemærkning før detaljerne: Denne artikel forklarer, hvad reglerne siger, og hvordan virksomheder typisk håndterer dem. Det er ikke juridisk rådgivning. Tal med en advokat om beslutninger, der er specifikke for din virksomhed.
Hvad kræver artikel 4 og 50 i EU AI Act af en SaaS-virksomhed?
Artikel 4, der har gældet siden 2. februar 2025, kræver, at virksomheder træffer foranstaltninger, så de medarbejdere, der bruger AI, har tilstrækkelige AI-kompetencer; intern dokumentation af træningen er nok. Artikel 50, der har gældet siden august 2026, kræver, at AI, der interagerer med mennesker, oplyser, at den er AI, medmindre det er åbenlyst, og at deepfakes oplyses.
Ingen af dem kræver et certifikat eller en ny afdeling. I praksis kræver de opmærksomhed, dokumentation og ærlig mærkning.
Artikel 4: AI-kompetencer i praksis
Artikel 4 har gældet siden 2. februar 2025, og nationale myndigheder har ført tilsyn med AI Act siden august 2026. Den kræver, at virksomheder træffer foranstaltninger, så de personer, der arbejder med AI på deres vegne, forstår den godt nok til at bruge den korrekt: hvad den er god til, hvor den fejler, og hvilke data der aldrig må komme ind i den.
To punkter bliver ofte misforstået. For det første kræves der ikke noget certifikat. Der er intet officielt kursus at købe og ingen eksamen at bestå. For det andet er intern dokumentation nok: hvilken træning og vejledning der blev givet, til hvem og hvornår.
For en SaaS-virksomhed er det svære ikke træningen. Det er at vide, hvor AI faktisk bruges. Microsoft og LinkedIn Work Trend Index 2024 viste, at 75% af vidensarbejdere bruger generativ AI på arbejdet, og at 78% af AI-brugerne tager deres egne værktøjer med. I en typisk SaaS-virksomhed betyder det supportmedarbejdere, der skriver udkast til svar, sælgere, der skriver opsøgende mails, udviklere, der bruger kodeassistenter, og økonomifolk, der indsætter tal i et chatvindue, ofte uden et godkendt værktøj og uden vejledning.
En brugbar tilgang har tre trin:
- Opgørelse. Lav en liste over de AI-værktøjer, der er i brug, godkendte eller ej, hvem der bruger dem, og hvilke virksomheds- eller kundedata der går ind i dem.
- Vejledning pr. rolle. Kort, konkret vejledning til hvert team: hvad værktøjerne må bruges til, hvilke data der skal holdes ude, og hvordan resultatet kontrolleres. Et supportteam og et økonomiteam har brug for forskellige regler.
- Dokumentation. En dateret oversigt over, hvem der har fået hvilken vejledning eller træning, som opdateres, når værktøjer eller roller ændrer sig.
Det er også god drift, lov eller ej. En virksomhed, der ved, hvor dens data går hen, er en virksomhed, der ærligt kan besvare en kundes sikkerhedsspørgeskema.
Artikel 50: at fortælle folk, at de taler med AI
Artikel 50 har gældet siden august 2026. Kernen er enkel: Et AI-system, der interagerer med mennesker, skal gøre det klart, at det er AI, medmindre det er åbenlyst ud fra sammenhængen. Deepfakes, altså AI-genererede billeder, lyd eller video, der kan forveksles med virkeligheden, skal oplyses.
For en SaaS-virksomhed er de steder, der skal tjekkes, som regel:
- Assistenten i produktet. En hjælper i appen, der svarer brugerne, bør oplyse, at den er AI.
- Chat på hjemmesiden, i salg og i support. En chat, der svarer kunder eller potentielle kunder, skal tydeligt oplyse, at svarene kommer fra AI.
- Stemme og video. En AI-stemme i et opkald eller en AI-genereret præsentationsvært i en produktvideo eller en reklame skal oplyses.
Oplysningen er mere en designopgave end en juridisk opgave: en linje i chatvinduet, en mærkat i brugerfladen, en sætning i starten af et opkald. Den er billigst, når den er en del af designet fra starten. Den samme tankegang gælder for interne agenter: NordOps AI Agent er bygget til europæiske regler, og hvert spørgsmål og hver handling logges.
Hvad der endnu ikke gælder
Meget af opmærksomheden omkring forordningen går til højrisiko-AI, og for de fleste SaaS-virksomheder ligger den del stadig forude:
- 2. december 2027: reglerne for de højrisikoområder, der er opført i bilag III, såsom AI brugt til rekruttering, træder i kraft.
- 2. august 2028: reglerne for AI indbygget i regulerede produkter træder i kraft.
Disse datoer følger ændringen af forordningen fra 2026, som trådte i kraft den 27. juli 2026. En SaaS-virksomhed, hvis produkt bruges til rekruttering eller på et andet område i bilag III, bør bruge tiden på at forberede sig i stedet for at vente. For alle andre er prioriteten de to artikler, der allerede gælder.
En praktisk tjekliste for dette kvartal
- Udpeg én ejer af AI i virksomheden, med tid til at gøre arbejdet.
- Lav en komplet opgørelse over AI i brug, inklusive de værktøjer, folk selv har taget med.
- Skriv kort vejledning til hvert team, og dokumentér, hvem der har modtaget den.
- Tjek alle steder, hvor AI taler med kunder, potentielle kunder eller offentligheden, og tilføj en tydelig oplysning, hvor den mangler.
- Tjek marketingindhold for AI-genererede personer eller stemmer, og mærk dem.
- Hvis dit produkt bruges til rekruttering eller på et andet område i bilag III, så begynd at planlægge for december 2027.
Intet af dette gør en Chief AI Officer til et lovkrav; det er en rolle, ikke en forpligtelse. Men arbejdet har brug for en ejer, og i de fleste voksende virksomheder har det endnu ingen. Det er en del af det, en fractional Chief AI Officer påtager sig, og vores AI Snapshot starter netop med denne opgørelse og tjekket af AI-kompetencer og gennemsigtighed.
Kilde: Forordning (EU) 2024/1689, artikel 4, 50 og 113, som ændret i 2026. Denne artikel informerer; den er ikke juridisk rådgivning.