AI-forordningen: Klar til tilsyn med forbudt AI-praksis

Digitaliseringsstyrelsen afsluttede 14. september 2026 de første danske tilsyn med forbudte former for AI-praksis. De 20 tilsyn omfattede telemarketing samt online kasino og betting. Ingen af de undersøgte virksomheder anvendte AI på en måde, der gav anledning til kritik.

Du får overblik over, hvad tilsynet omfattede, hvilke forbudte AI-praksisser myndigheden fører tilsyn med, og hvordan virksomheden kan kontrollere egne AI-anvendelser og leverandører.

Resultatet er ikke en generel frifindelse af andre anvendelser. Det viser derimod, at myndigheden allerede fører konkret dialog om, hvordan AI-systemer bruges, og at virksomheder bør kunne forklare deres egne løsninger præcist.

Tilsynene fokuserede på AI, der kan udlede følelser på arbejdspladser, og AI, der kan bruges til skadelig manipulation eller udnyttelse af personers sårbarheder. Virksomhederne redegjorde for deres konkrete anvendelse, og dialogen bidrog blandt andet til afklaring af fortolkningen af biometriske data. Det gør anvendelseskonteksten afgørende: Det er ikke nok at kende produktnavnet eller leverandørens generelle erklæring om compliance.

Digitaliseringsstyrelsen er nationalt koordinerende tilsynsmyndighed for AI-forordningen, mens håndhævelsen er sektorbaseret. En organisation bør derfor både have et samlet overblik over sin AI-anvendelse og kende det sektor- eller myndighedsspor, som kan blive relevant for dens aktiviteter.

Fem forbud, som kræver en konkret vurdering

Digitaliseringsstyrelsen fører tilsyn med fem forbudte AI-praksisser: skadelig manipulation, udnyttelse af sårbarheder, social bedømmelse, opbygning af ansigtsgenkendelsesdatabaser gennem ikke målrettet indsamling samt følelsesgenkendelse på arbejdspladser og i uddannelsesinstitutioner. For følelsesgenkendelse gælder en afgrænset undtagelse, når systemet er beregnet til medicinske eller sikkerhedsmæssige formål.

Vurderingen afhænger af formål, data, målgruppe og faktisk brug. Et analyseværktøj kan have funktioner, der påstår at kunne udlede følelser, men organisationen skal stadig afklare, om funktionen er aktiveret, hvilke personer den berører, og om den bruges på en arbejdsplads eller i en uddannelsessituation.

Gør AI-registret brugbart ved et tilsyn

Et AI-register bør være et driftsværktøj, ikke kun en liste over eksperimenter. For hver løsning bør virksomheden kunne dokumentere systemnavn, leverandør, formål, forretningsansvarlig, berørte personer, datatyper, integrationspunkter og om AI leverer anbefalinger eller påvirker beslutninger.

Registrér også, om der kan være funktioner for biometriske data, profilering, følelsesgenkendelse, målretning eller adfærdspåvirkning. Bed leverandører om en klar beskrivelse af aktive AI-funktioner, konfigurationsmuligheder, logning, ændringsvarsling og begrænsninger.

Kortlæg reelle brugsscenarier

Tal med procesejeren og de medarbejdere, der bruger systemet. Beskriv, hvilken beslutning eller handling AI-output påvirker, og hvem der kan tilsidesætte resultatet.

Vurdér personer og mulig skade

Undersøg, om løsningen retter sig mod børn, medarbejdere, kunder eller andre personer i en sårbar situation, og om output kan ændre adfærd eller føre til ugunstig behandling.

Test konfiguration og dataflow

Kontrollér hvilke moduler der er slået til, hvilke data der indgår, hvilke resultater brugerne ser, og hvor længe logs og dokumentation opbevares.

Dokumentér beslutningen og følg op

Gem vurdering, juridiske og sikkerhedsmæssige forudsætninger, ansvarlig godkendelse og plan for revurdering ved nye funktioner, leverandørændringer eller ændret formål. Kobl arbejdet til virksomhedens eksisterende overblik over EU AI Act, så AI-governance, informationssikkerhed, databeskyttelse og leverandørstyring arbejder ud fra samme dokumentation.