AI Act: håndhævelsens time er kommet — det ændrer sig konkret fra 2. august

Siden den 2. august 2026 er AI Act ikke længere en fjern horisont: Det Europæiske AI-Kontor og de kompetente nationale myndigheder er begyndt at håndhæve forordningen, med forpligtelserne for højrisikosystemer i sigtekornet. Den tekst, der håndhæves, er dog ikke helt den, der blev vedtaget i 2024: »AI-omnibus«-forordningen, foreslået i november 2025 som led i pakken om digital forenkling, blev vedtaget i juni 2026 og trådte i kraft den 27. juli — fem dage før fristen. Afklaringer af anvendelsesområdet, lempede dokumentationskrav, tilpassede frister for visse kategorier: Kommissionen har markeret sin vilje til en læselig og innovationsvenlig gennemførelse, ledsaget af en række retningslinjer.

Hvad der reelt kan kræves i dag

Konkret strukturerer tre blokke af forpligtelser perioden. De forbudte praksisser, for det første, som længe har været gældende. Forpligtelserne for udbydere af modeller til generelle formål, for det andet: teknisk dokumentation, politik for overholdelse af ophavsretten, resumé af træningsdata — med et skærpet regime for modeller med systemisk risiko. Højrisikosystemerne, for det tredje, hvis fulde regime (risikostyring, datagovernance, menneskeligt tilsyn, robusthed, registrering) nu går ind i sin fase af faktisk håndhævelse. For en B2B-softwareleverandør er det praktiske spørgsmål næsten altid det samme: gør min AI-komponent mit produkt til »højrisiko« i bilag III’s forstand — og hvis ikke, hvilke gennemsigtighedsforpligtelser har jeg så tilbage?

Det egentlige emne: lagene af NIS2, CRA, GDPR og AI Act

Taget hver for sig er hver ramme håndterbar. De europæiske softwareleverandørers problem er lagene oven på hinanden. Det samme softwareprodukt kan være omfattet af NIS2 (fordi kunden er en væsentlig enhed), af Cyber Resilience Act (fordi det er et produkt med digitale elementer, med krav om security by design og sårbarhedshåndtering), af GDPR (fordi det behandler personoplysninger) og af AI Act (fordi det indeholder en læringskomponent). Fire dokumentationslogikker, tre regimer for hændelsesnotifikation, forskellige myndigheder. Den eneste holdbare strategi er den samlede compliance-fabrik: ét fælles fundament for risikostyring, SBOM, logning og sårbarhedsbehandling, som derefter foldes ud mod hver ramme — frem for fire parallelle byggepladser, der ville udmatte ethvert team.

Et krav, der kan blive et argument

Der findes dog en offensiv læsning. Kunderne — regulerede operatører, den offentlige sektor, industrivirksomheder — vil vælte deres egne forpligtelser over på deres leverandører, via kontrakt. Den softwareleverandør, der kan levere AI Act-dokumentationen, den SBOM, som CRA kræver, GDPR-garantierne og NIS2-forpligtelserne i udbudsmaterialet, vil forvandle en regulatorisk omkostning til en konkurrencefordel over for de ikke-europæiske aktører, der først opdager kravene i indkøbernes spørgsmål. Europæisk compliance er, hvis den industrialiseres tidligt, en adgangsbarriere, der beskytter dem, der har passeret den.

AI Act går ind i retspraksissens tidsalder: de kommende måneder vil vise, om håndhævelsen bliver så pragmatisk som lovet. Men at vente med at gå i gang ville være en misforståelse — fordelen går til dem, der har forvandlet de regulatoriske lag til processer, mens deres konkurrenter oplever dem som en lavine.