AI-forordningens artikel 4: pligten, ingen har fortalt jer om

Der er en pligt i AI-forordningen, som har været gældende siden 2. februar 2025, som rammer stort set alle danske virksomheder, og som næsten ingen har hørt om.

Den står i artikel 4 og handler om AI-kompetence: I skal så vidt muligt sikre, at de medarbejdere, der bruger AI på jeres vegne, har et tilstrækkeligt niveau af viden om, hvad de har med at gøre.

Har I en medarbejder, der bruger ChatGPT til at skrive et udkast, er I omfattet.

Der er ingen tærskel

Pligten gælder alle udbydere og idriftsættere af AI-systemer. Der er ingen grænse efter antal ansatte, omsætning, branche eller risikoniveau. Digital Omnibus-pakken fra juli 2026 ændrede pligtens karakter, men ikke dens rækkevidde.

Til gengæld skal niveauet stå mål med jer: forordningen taler om et tilstrækkeligt niveau i lyset af medarbejdernes tekniske viden, erfaring og uddannelse — og den sammenhæng, systemerne bruges i. Der er ikke noget krav om et kursusbevis, en certificering eller en bestemt leverandør.

Om sanktionen — læs det her, før I tror på et beløb

Vi har set rådgivere sætte konkrete millionbeløb på den her pligt. Det er værd at være præcis om, hvorfor det ikke holder.

Forordningens artikel 99 opregner udtømmende, hvilke bestemmelser der udløser de store EU-bøder. Listen dækker blandt andet de forbudte praksisser i artikel 5 og gennemsigtighedskravene i artikel 50. Den bestemmelse, denne artikel handler om, står ikke på listen.

Det samme gælder i Danmark. Den danske supplerende lov fra maj 2025 opregner i § 10 udtømmende, hvad der straffes med bøde — og AI-kompetencepligten er ikke nævnt. Det bortfaldne lovforslag til en kommende dansk AI-lov havde den heller ikke med. Lovgiver har altså to gange ladet den stå uden bøde.

Hvor kommer rygtet så fra? Der findes en tilsynsordning for EU's eget AI-kontor, hvor bøderammen udtrykkeligt dækker overtrædelser af enhver bestemmelse i forordningen — også dem, der ikke står på listen. Men den ordning gælder kun operatører under AI-kontorets kompetence, altså udbydere af generelle AI-modeller. En dansk håndværksvirksomhed med et ChatGPT-abonnement er ikke det. Sekundære kilder har taget den regel og gjort den almindelig.

Hvad der kan ske: medlemsstaterne skal fastsætte regler om sanktioner for overtrædelser af forordningen, og omnibussen tilføjede udtrykkeligt administrative bøder til den nationale værktøjskasse — med udtrykkeligt hensyn til småvirksomheders økonomiske levedygtighed. Kommissionen skriver selv, at nationale markedsovervågningsmyndigheder kunne sanktionere, og at forordningen hverken skaber strafansvar eller ret til erstatning.

Så: pligten er reel, den gælder nu, og der er i dag ikke noget beløb at sætte på den i Danmark. Møder I en leverandør, der nævner et tal, så bed om paragrafhenvisningen.

Hvad KrydsAf gør — og ikke gør

Vi bygger ikke et AI-kompetencemodul. Det ville være at lave noget, vi allerede har lavet.

Pligten dækkes af vores søsterprodukt WeakestLink, som er bygget til netop den slags medarbejderbevidsthed: weakestlink.io/da/ai-klar. Det er vores eget produkt fra samme selskab — ikke en neutral anbefaling, og det siger vi hellere end at lade som om.

Vil I hellere løse det selv, er det fuldt lovligt. Skriv ned, hvilke AI-værktøjer I bruger, hvad de må og ikke må bruges til hos jer, og hvordan I har gjort medarbejderne opmærksomme på det. Det er den dokumentation, en myndighed ville spørge efter — ikke et diplom.

Det, der IKKE gælder endnu

To ting bliver ofte blandet sammen med ovenstående:

• Højrisiko-reglerne (bilag III — herunder AI i rekruttering og medarbejdervurdering) er udskudt til 2. december 2027.
• Gennemsigtighedskravene i artikel 50 — mærkning af AI-genereret indhold og oplysning om, at man taler med en chatbot — gælder derimod nu.

Og en advarsel, hvis I overvejer AI i personaleledelse: biometrisk følelsesanalyse af medarbejdere er forbudt. Det er ikke højrisiko, det er artikel 5. Der findes værktøjer på markedet, der tilbyder det. Lad være.