Hvad der ændrede sig i Bruxelles den 2. august

Den 2. august 2026 blev et år med frivillige adfærdskodekser og dialoger om overholdelse i Bruxelles til en bødeudstedende ordning. Gennemsigtighedsforpligtelserne i artikel 50 - som kræver, at chatbots oplyser deres automatiserede status, at deepfakes bærer mærkning, og at maskingenereret indhold bærer maskinlæsbare markeringer - trådte i kraft sammen med håndhævelsesbeføjelserne over AI-modeller til generelle formål. Europa-Kommissionens AI Office og 24 nationale kompetente myndigheder på tværs af medlemsstaterne kan nu kræve teknisk dokumentation, gennemføre egne evalueringer, kræve korrigerende handling og udstede bøder direkte, i stedet for at forhandle overholdelse uformelt.

Europa-Kommissionens administrerende næstformand, Henna Virkkunen, fremstillede skiftet som beskyttende, ikke fjendtligt, og sagde, at reglerne giver 'innovatorer retssikkerhed, samtidig med at de beskytter offentlighedens interesse', og kaldte øjeblikket 'et vigtigt skridt mod en AI, som mennesker og virksomheder kan forstå og have tillid til'. Hun kaldte også kunstig intelligens for 'en transformativ teknologi', mens hun advarede om, at de mest avancerede modeller 'skaber risici i en helt ny skala' - en skelnen, der signalerer, hvor håndhævelsens opmærksomhed sandsynligvis vil koncentrere sig først.

CNIL's første træk: 14 banker, nul fristforlængelser givet

Den første reelle test af den nye ordning kom inden for 48 timer. Den 4. august 2026 udstedte Frankrigs databeskyttelsesmyndighed, CNIL, formelle anmodninger om teknisk dokumentation efter artikel 11 til 14 finansielle institutioner, der driver AI-baserede kreditscoringalgoritmer, og krævede den dokumentation efter bilag IV, som højrisiko-AI-systemer er forpligtet til at føre. Tre af de fjorten institutioner bad om mere tid til at svare.

CNIL afviste alle tre anmodninger om fristforlængelse med henvisning til de to år, virksomhederne har haft til at forberede sig siden AI Act blev vedtaget i 2024. Det er den detalje, der er værd at hæfte sig ved: en tilsynsmyndigheds første træk under de nye, reelle håndhævelsesbeføjelser var hverken et advarselsbrev eller en uformel forespørgsel, men et formelt dokumentationskrav med et klart nej til ekstra tid. Enhver EU-virksomhed i en højrisikokategori - kreditgivning, rekruttering eller et andet anvendelsesområde under bilag III - har nu et konkret præcedens for, hvordan en førstegangsrevision reelt ser ud, ikke længere en hypotetisk en.

Sådan fungerer bøderne i praksis

Bødestrukturen er trinvist inddelt efter type af overtrædelse, ikke et enkelt fast beløb. Brud på gennemsigtighedsforpligtelserne i artikel 50 - reglerne om deepfake-mærkning og AI-oplysning - medfører bøder på op til EUR 15 millioner eller 3% af en virksomheds globale årsomsætning, alt efter hvilket beløb der er højest. Forbudte AI-praksisser, den lille gruppe anvendelser, som loven forbyder helt, har et strengere loft: op til EUR 35 millioner eller 7% af den globale omsætning.

Strukturen baseret på en procentdel af omsætningen betyder mere end eurobeløbene for enhver virksomhed af betydelig størrelse, fordi den følger omsætningen i stedet for at begrænse eksponeringen til et fast tal. Påbud om korrigerende handling tilføjer et andet pres-lag: når en national myndighed finder et system ikke-kompatibelt, kan den fastsætte et compliance-vindue på så lidt som 15 arbejdsdage til at rette, trække tilbage eller tilbagekalde det - lidt tid for en virksomhed, der ikke allerede har forberedt sin tekniske dokumentation på forhånd.

Spørgsmålet, enhver EU-virksomhed nu skal besvare

I et år har det centrale spørgsmål for enhver EU-virksomhed, der bruger eller anvender AI, været, om den overordnet set er i overensstemmelse med AI Act - besvaret i god tro gennem interne gennemgange og frivillige kodekser. Fra denne uge har det spørgsmål ændret sig. Det centrale spørgsmål er nu, om en virksomhed kan fremlægge teknisk dokumentation efter bilag IV på forlangende, inden for tilsynsmyndighedens egen tidsfrist, for CNIL har lige vist, at den ikke forlænger den frist efter anmodning.

CNIL's kreditscoring-kampagne er et nyttigt forvarsel, især for virksomheder inden for kreditgivning, rekruttering og andre højrisikokategorier under bilag III, fordi det er det første konkrete eksempel på, hvordan en højrisiko-dokumentationsrevision ser ud i praksis frem for blot i lovteksten. Enhver virksomhed i disse kategorier, der endnu ikke har samlet sin tekniske dokumentation, bør betragte denne måned, ikke en fremtidig compliance-frist, som tidspunktet, hvor papirarbejdet allerede skal foreligge.

Læs videre: Den 2. august bliver EU AI-bøderne virkelige  |  Den amerikanske tærskel for frontier-AI er nu hemmelig