Tilstrækkelig AI-kompetence: hvad artikel 4 kræver — og hvordan I dokumenterer det

Hvad står der egentlig i artikel 4?

Artikel 4 er et enkelt stykke tekst. Den pålægger udbydere og idriftsættere at træffe foranstaltninger, der så vidt muligt sikrer et tilstrækkeligt niveau af AI-kompetence hos personalet og andre personer, der beskæftiger sig med driften og anvendelsen af AI-systemer på deres vegne. Der skal tages hensyn til de pågældendes tekniske viden, erfaring, uddannelse og oplæring, til den sammenhæng systemerne bruges i, og til de personer eller grupper, systemerne anvendes på.

Det er hele bestemmelsen. Der er ingen timetal, ingen pensumliste, ingen certificeringsordning og ingen skabelon. Og netop fordi den er så åben, er det værd at starte med at slå fast, hvad den ikke siger — for det er der, de fleste misforståelser ligger.

Den gælder også, når AI'en er "harmløs"

Den mest udbredte fejlslutning er, at artikel 4 kun gælder højrisikosystemer. Det gør den ikke. Digitaliseringsstyrelsen skriver det så direkte, som en myndighed kan: "Der skelnes altså ikke mellem grader af risiko i AI-systemer." Styrelsens FAQ gentager pointen i en lidt anden form — artikel 4 "skelner ikke mellem, hvilken risiko der er forbundet med anvendelsen af det enkelte AI-system".

I praksis betyder det, at en marketingmedarbejder, der bruger en sprogmodel til at skrive produkttekster, er omfattet på samme måde som en ingeniør, der drifter et højrisikosystem. Omfanget af det, I skal gøre, skal derimod stå i et rimeligt forhold til risikoen — men selve forpligtelsen tænder ikke først ved en bestemt risikogrænse.

Den gælder idriftsættere — og det er jer

Langt de fleste danske små og mellemstore virksomheder er idriftsættere, ikke udbydere. I køber et værktøj, I ikke selv har bygget, og bruger det erhvervsmæssigt. Digitaliseringsstyrelsens hovedvejledning om artikel 5 beskriver idriftsætteren som den, der anvender systemet "under sin myndighed" — og gør samtidig opmærksom på, at en idriftsætter kan blive udbyder ved "væsentlige ændringer". Har I sat jeres eget navn på en chatbot eller bygget oven på en model, så stop op og læs artikel 3, nr. 3 igen, inden I læser videre her. Rollen afgør meget mere end artikel 4.

Datoen er vigtigere, end den ser ud

2. februar 2025 er ikke en "blev vedtaget"-dato. Det er den dato, hvor forpligtelsen begyndte at gælde. Dansk håndhævelse kom til den 2. august 2025, da lov nr. 467 af 14. maj 2025 trådte i kraft. Og fra 2. august 2026 begyndte de nationale markedsovervågende myndigheder at kunne føre tilsyn efter de nationale gennemførelseslove. Med andre ord: perioden, hvor man kunne regne med, at ingen ville spørge, er slut.

Kilderne til datoerne er Digitaliseringsstyrelsens egen AI Omnibus-side, Dansk Standard og Poul Schmith. Bemærk, at styrelsens ældre FAQ-afsnit om datoer delvist er skrevet før omnibussen — de nye datoer står i kildelisten nederst.

Den første af de to december-datoer er tættest på, og den rammer bredere end de fleste tror. Vi har skrevet en selvstændig artikel om, hvad der skal mærkes inden 2. december 2026 — chatbot, produktbilleder og AI-skrevne tekster, og hvem der har ansvaret.

Hvem skal have kompetencen — og hvem tæller med?

Artikel 4 taler om personalet og "andre personer, der beskæftiger sig med driften og anvendelsen af AI-systemer på deres vegne". Den sidste halvdel af sætningen er den, der overraskes over. Dansk Industri formulerer det sådan, at kravet gælder bredt — ikke kun for udviklere og dataspecialister, men også for slutbrugere som HR-medarbejdere, sælgere og kundeservicemedarbejdere — og at eksterne konsulenter og freelancere skal med i træningsinitiativerne, hvis de bruger AI på virksomhedens vegne.

For en virksomhed med 50–99 ansatte betyder det typisk, at listen over omfattede personer er længere end listen over ansatte. Bogholderen, der bruger en sprogmodel til at udkaste rykkerbreve, er omfattet. Den eksterne markedsføringskonsulent, der leverer AI-genereret annoncetekst i jeres navn, er omfattet. Og den studentermedhjælper, der har fundet sit eget værktøj, fordi det var hurtigere end det godkendte, er både omfattet og et symptom — det er den situation, vi har beskrevet i artiklen om skygge-AI og kundedata.

Tre grupper, tre niveauer

I praksis er det en dårlig idé at give alle den samme oplæring. Dels fordi det er spild af tid for de fleste, dels fordi en generisk time om "AI og etik" ikke dokumenterer noget om den konkrete brug. Den opdeling, der fungerer bedst hos de kunder, vi har hjulpet, ser sådan ud:

• Alle ansatte — grundniveau. Hvad må aldrig indtastes, hvilket værktøj er det godkendte, hvem spørger man, og hvorfor en sprogmodel kan tage fejl med fuld overbevisning. Tidsforbrug: en halv time, på et personalemøde, med referat.
• Rutinebrugere — anvendt niveau. De 10–20 personer, der bruger AI dagligt. Her skal det handle om de konkrete værktøjer: hvilke opgaver de må bruges til, hvilke de ikke må bruges til, hvordan output kontrolleres, og hvad man gør, hvis man kommer til at indtaste noget forkert. Tidsforbrug: en til to timer, gentaget årligt.
• Ansvarlig og ledelse — beslutningsniveau. Én navngiven person plus direktionen. Rollen pr. system (idriftsætter eller udbyder), databehandleraftalerne, hændelsesvejen og rapporteringen opad. Tidsforbrug: en halv dag én gang, derefter et kvartalspunkt.

Bemærk, at ingen af de tre niveauer kræver en ekstern certificering. Det kommer vi tilbage til.

Hvad betyder "tilstrækkeligt niveau" i praksis?

Digitaliseringsstyrelsen er helt åben om, at niveauet ikke er defineret: "Det er ikke specificeret i lovgivningen", hvilke tiltag der kræves, og hver organisation skal vurdere, hvad der er tilstrækkeligt i netop dens kontekst. Det lyder som en undvigelse, men det er faktisk en gave. Det betyder, at en veldokumenteret vurdering, der passer til jeres virksomhed, er stærkere end et dyrt standardkursus, der ikke gør.

De tre hensyn i artikel 4 kan oversættes til tre spørgsmål, man kan stille på et ledelsesmøde og besvare på en halv time:

• Hvem bruger det, og hvad ved de i forvejen? En gruppe med teknisk baggrund har brug for noget andet end et lager eller en kantine. Svaret skal stå i jeres egne ord — ikke i et kursuskatalog.
• Hvad bruges det til? Udkast til et internt notat er en anden kontekst end et svar, der sendes direkte til en kunde, og en helt anden end noget, der indgår i en afgørelse om et menneske.
• Hvem rammer det? Dette er det hensyn, der oftest glemmes. Hvis AI-brugen berører ansøgere, patienter, børn eller medarbejdere, stiger kravet til oplæringen — også selvom systemet ikke er højrisiko endnu.

Dansk Standard har udgivet DS/PAS 2500-4:2025, "Kunstig intelligens — Del 4: AI-færdigheder", som er skrevet specifikt til idriftsættere — altså organisationer, der bruger et AI-system, de hverken har udviklet eller fået udviklet til eget formål. Den bygger på vejledning fra Europa-Kommissionen og Digitaliseringsstyrelsen, og den siger selv ligeud, at den hjælper organisationer i gang, men ikke garanterer fuld overholdelse af artikel 4 — implementeringen "skal ske internt i hver organisation". Den er et godt sted at starte, hvis man vil have en struktureret ramme at hænge sin egen vurdering op på.

Loven kræver ikke et kursusbevis — men den kræver, at I kan vise noget

Lad os få det største spørgsmål af vejen først. Nej, I skal ikke købe et certifikat. Europa-Kommissionens spørgsmål-og-svar om AI-færdigheder, som advokatfirmaet DLA Piper har gennemgået, lander på, at der ikke er nogen generel forpligtelse for organisationer til at opnå ekstern certificering — men at kravet til gengæld er bindende og kan håndhæves, og at omfanget af tiltagene skal være proportionalt med risikoen i den konkrete anvendelse. Kommissionen driver samtidig en samling af eksempler, Living Repository of AI Literacy Practices, som er inspiration og ikke et krav.

Og nej, artikel 4 nævner ikke et eneste dokument ved navn. Hverken Digitaliseringsstyrelsens vejledning eller styrelsens side om AI-færdigheder siger noget om, hvordan man dokumenterer. Det betyder ikke, at dokumentation er valgfri — det betyder, at I selv bestemmer formen. Dansk Industri anbefaler i sin vejledning at gennemføre og dokumentere træningen, så man kan vise "hvem der har modtaget træning og i hvad". Det er den praktiske minimumsstandard.

De fire papirer

Efter at have hjulpet et antal kunder gennem denne øvelse er vores erfaring, at fire dokumenter dækker både artikel 4 og det meste af det, en kunde eller en revisor spørger om. Ingen af dem behøver være lange.

1. Listen. Hvilke AI-værktøjer bruges i huset, af hvem, til hvad, og på hvilken abonnementsform. Også de gratis. Dateret. Det er grundlaget for alt det andet, og det er det punkt, hvor virksomheder oftest bliver overraskede over deres eget svar.
2. Vurderingen. En halv side pr. værktøj eller pr. gruppe: hvem bruger det, hvad ved de i forvejen, hvad bruges det til, hvem berøres — og hvad vi derfor har besluttet, at oplæringen skal indeholde. Det er den, der svarer på ordet "tilstrækkeligt", og det er den, de fleste springer over.
3. Referatet. Dato, deltagerliste, emne, varighed. En halv times instruktion på et personalemøde med et referat er bedre dokumentation end et e-læringskursus, ingen kan huske at have taget. Tag referatet for de eksterne også.
4. Protokolteksten. Ét afsnit i direktions- eller bestyrelsesreferatet, der viser, at AI-brugen er behandlet som et risikostyringsemne, med en dato for næste gennemgang. Det er her selskabsloven kommer ind — se næste afsnit.

Bemærk rækkefølgen. Den er ikke tilfældig: uden listen kan vurderingen ikke laves, uden vurderingen ved man ikke, hvad referatet skal handle om, og uden de tre første har bestyrelsen intet at protokollere. Vi har set flere virksomheder begynde med punkt fire, fordi det var det, revisoren spurgte til — og så stå med en protokoltekst, der ikke kunne underbygges.

Hvad der er realistisk på jeres størrelse

Artikel 4 er den samme for alle, men hvad der er "tilstrækkeligt", afhænger af konteksten — og størrelsen er en del af konteksten. Tabellen nedenfor er vores anbefaling, ikke en myndighedsnorm. Rækken for 50–99 ansatte er den, denne artikel er skrevet til.

Bestyrelsens ansvar: det er selskabsloven, ikke AI-forordningen

Dette er det afsnit, der oftest bliver misforstået i begge retninger. Nogle bestyrelser mener, at AI-forordningen ikke vedrører dem, fordi de ikke er idriftsættere personligt. Andre tror, at forordningen pålægger bestyrelsen nye, selvstændige pligter. Begge tager fejl, og svaret ligger i dansk selskabsret.

Selskabslovens § 115, nr. 2 pålægger bestyrelsen i et aktieselskab at påse, "at der er etableret de fornødne procedurer for risikostyring og interne kontroller". Nr. 4 i samme paragraf pålægger bestyrelsen at påse, "at direktionen udøver sit hverv på en behørig måde og efter bestyrelsens retningslinjer". Der står intet om kunstig intelligens i nogen af dem, og det behøver der heller ikke. Pointen er, at paragraffen er teknologineutral: når en aktivitet er blevet en væsentlig risiko for selskabet, skal der være procedurer, og bestyrelsen skal påse, at de findes.

Og AI-brug er blevet en væsentlig risiko i de fleste danske virksomheder, simpelt hen, fordi udbredelsen er sket så hurtigt. Dansk Erhvervs analysenotat "Danske virksomheders brug af AI" fra februar 2026 opgør, at 70 pct. af medlemsvirksomhederne bruger AI-værktøjer mod 44 pct. i 2023, at seks ud af ti bruger ChatGPT eller en anden avanceret sprogmodel, og at tallet er 96 pct. blandt virksomheder over 250 ansatte og 57 pct. blandt virksomheder under 10 ansatte. Analytiker Kasper Lynge Jacobsen siger: "AI er på rekordtid blevet et helt almindeligt arbejdsredskab i danske virksomheder."

Når 70 pct. af virksomhederne bruger værktøjerne, og langt færre har noget på papir, er forskellen mellem de to tal præcis det, en bestyrelse har pligt til at interessere sig for. Det kræver ikke et AI-udvalg eller en strategi. Det kræver et punkt på dagsordenen.

Protokolteksten, I kan bruge som den står

Her er en formulering, der dækker både § 115, nr. 2 og artikel 4, og som kan tilpasses på to minutter. Den forpligter ikke til mere, end den siger:

Er der ingen bestyrelse — og det er der ikke i de fleste anpartsselskaber — gør ejeren eller direktøren det samme i et dateret notat. Formen er mindre vigtig end datoen og underskriften. Det er dem, der gør et dokument til en beslutning.

Hvad sker der, hvis I ikke gør noget?

Lad os være præcise her, for der verserer mange tal på nettet, som ikke hører til artikel 4. De høje bødesatser i AI-forordningen hører til de alvorligste overtrædelser, så som brug af forbudte AI-systemer efter artikel 5. For artikel 4 er der ikke fastsat et EU-dækkende bødeniveau; det er op til medlemslandene at fastsætte sanktioner. Dansk Industri gør samtidig opmærksom på, at risikoen er svær at kvantificere, fordi der endnu ikke findes retspraksis.

Den danske lov nr. 467 af 14. maj 2025 om supplerende bestemmelser til forordningen om kunstig intelligens trådte i kraft 2. august 2025. Det, der er værd at kende, er ikke bødebeløb — dem fastsætter loven ikke — men beføjelserne:

I praksis er det ikke bøden, der rammer først. Det er to andre ting. Den ene er kunderne: spørgsmål om AI-brug og AI-kompetence er begyndt at stå i leverandørspørgeskemaer, præcis som sikkerhedsspørgsmålene gjorde, da NIS2 kom til underleverandørerne. Den anden er forsikringen: policens krav til organisatoriske kontroller kan blive relevante, hvis en hændelse skyldes, at ingen var instrueret — det samme mønster, vi har beskrevet om cyberforsikring og it-sikkerhedskrav.

Og så er der den tredje, som ikke er juridisk: Datatilsynet oplever en stigning i brud, hvor "ansatte har brugt persondata fra deres arbejde som input og prompts i værktøjerne" — ofte uden at arbejdspladsen er klar over det. Manglende AI-kompetence er altså ikke kun en formel mangel. Den er den direkte årsag til en voksende kategori af databrud.

Sådan gør I det på fem uger

Og hvis I kun når ét af de fem trin: tag det første. Listen er det eneste trin, der ikke kan laves ud fra skrivebordet, og den er forudsætningen for de fire andre. Vi har endnu ikke lavet en rundtur, hvor ledelsen ikke blev overrasket over mindst ét værktøj på listen.

Hvor vi kan hjælpe — og hvor I ikke behøver hjælp

Vi skal være ærlige om, hvad der kræver en leverandør, og hvad der ikke gør. De tre første af de fire papirer kan de fleste virksomheder med 50–99 ansatte lave selv på tre dage. Hvis vi skal være med, er det som regel én af fire ting:

Og så er der den del, der ikke handler om regler: hvis I vil bruge AI til noget, der faktisk flytter tid, er vores erfaring, at det sjældent er den generelle chatbot, der gør det. Det er de afgrænsede opgaver, hvor værktøjet kobles til jeres egne data og processer — som i Admind og ChatGPT, eller med AI-agenter. Men den samtale hører efter de fire papirer, ikke før.

Spørgsmål, vi får hver gang