Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Der findes ikke et lovkrav om, at en AI-politik skal være lang. Der findes et krav om, at den skal findes, være kendt og kunne vises frem. Her er de ti punkter, der får plads på to sider — og teksten til bestyrelsesprotokollen.
Fire spørgsmål. Er svaret nej til bare ét af dem, mangler der et dokument — ikke et projekt.
Denne artikel er skrevet til indehaveren og virksomheden med 1–25 ansatte. En AI-politik skal her være to sider, fordi det er den længde, folk faktisk læser. Lovkravet handler om, at rammerne findes og er kendte — ikke om sidetal. Store virksomheder har brug for mere, og det står længere nede.
Vi sidder hos kunder hver uge, og spørgsmålene er de samme: må vi bruge det her, hvem har ansvaret, og hvad skal der stå på papir. Svaret på det tredje spørgsmål er kortere, end de fleste frygter. En virksomhed med tolv ansatte har ikke brug for en politik på fjorten sider med et bilag om modelvalidering. Den har brug for to sider, som alle tolv har læst, og som er dateret.
Den længde er ikke en genvej. Den er en forudsætning for, at politikken virker. En politik, ingen kan huske, er i praksis det samme som ingen politik — og over for et tilsyn er forskellen mellem de to netop den dokumentation, I kan vise frem. Vil I have hele den regulatoriske ramme først, ligger den samlet i vores gennemgang af AI-forordningens krav til danske virksomheder.
Der er samtidig en grænse for, hvad to sider kan bære. Bruger I AI til at screene ansøgere, til at vurdere medarbejdere eller i et produkt, I selv sælger videre, så er I et andet sted i reguleringen, og politikken skal følges af en risikovurdering. Det siger vi hellere nu end efter, I har skrevet dokumentet.
En brugbar AI-politik for en lille virksomhed indeholder ti punkter: formål, hvem den gælder, godkendte værktøjer, forbudte data, kravet om menneskelig kontrol, kildeangivelse, kundeoplysning, hændelser, oplæring og dato med godkender. Alt andet er bilag.
Punkterne nedenfor er den rækkefølge, vi selv bruger, når vi hjælper en kunde med at skrive dokumentet. Kolonnen til højre er den åbenlyse fejl — den vi oftest ser, når en virksomhed har hentet en skabelon på nettet og udfyldt den hurtigt.
| # | Punkt | Hvad der konkret skal stå | Den typiske fejl |
|---|---|---|---|
| 1 | Formål og omfang | At virksomheden bruger AI, og at politikken gælder alt erhvervsmæssigt brug — også på privat udstyr og i gratisversioner. | Politikken gælder kun "virksomhedens systemer", og dermed ikke det, folk faktisk bruger. |
| 2 | Hvem den gælder | Alle ansatte, elever, freelancere og konsulenter med adgang til virksomhedens data. | Eksterne glemmes, og de er ofte dem med de løseste rammer. |
| 3 | Godkendte værktøjer | En navngivet liste: værktøj, hvad det må bruges til, og hvem der har godkendt det. Listen har en ejer og en dato. | "Godkendte værktøjer fremgår af intranettet" — hvor der ikke står nogen liste. |
| 4 | Data, der aldrig må indtastes | Personoplysninger om kunder og ansatte, helbred, CPR, løn, kontrakter, kildekode, prisark og alt under NDA. Skriv eksemplerne, ikke kategorierne. | "Fortrolige oplysninger må ikke anvendes". Ingen ved, om en kundeliste tæller med. |
| 5 | Menneskelig kontrol | At et AI-svar er et udkast. Et menneske godkender, før det går til kunde, myndighed eller bogføring. Navngiv rollen, ikke personen. | Kontrollen beskrives som en holdning i stedet for et trin i en arbejdsgang. |
| 6 | Kildeangivelse internt | At det fremgår, når et materiale er lavet med AI, så den næste kan kvalitetssikre det rigtigt. | Udgår som "unødig bureaukrati" — og så kan ingen se, hvad der skal tjekkes. |
| 7 | Når kunden møder AI | At chatbot, AI-telefoni og AI-genereret billedmateriale oplyses tydeligt. Her er der et egentligt lovkrav, og en frist. Se afsnittet om datoer. | Chatbotten hedder et fornavn og siger ikke, at den er en robot. |
| 8 | Hændelser | Hvem man siger det til, og inden for hvor lang tid, hvis der er indtastet noget, der ikke burde. Én sætning, ét navn, én frist. | Ingen vej at melde fejl. Så bliver fejl ikke meldt. |
| 9 | Oplæring | At alle får en introduktion, der passer til deres opgave, og at det skrives ned hvornår. Det er kravet i artikel 4. | Oplæring forudsættes af, at "folk er vant til teknologi". |
| 10 | Dato, ejer og godkendelse | Version, dato, hvem der har godkendt, og hvornår den tages op igen. Uden dette er dokumentet ikke dokumentation. | Et udateret Word-dokument i en mappe, ingen har åbnet siden. |
Punkt 3 og punkt 4 er de to, der gør arbejdet. Resten er ramme. Hvis I kun har en formiddag, så lav listen over godkendte værktøjer og listen over data, der ikke må indtastes — og sæt dato på.
To krav rammer enhver virksomhed, der bruger AI erhvervsmæssigt: AI-kompetence efter artikel 4 og forbuddene i artikel 5. Begge har gældt siden 2. februar 2025. Dansk håndhævelse kom med lov nr. 467 den 2. august 2025. Næste frist er 2. december 2026.
Det bliver ofte fremstillet, som om AI-forordningen er udskudt. Det passer kun for højrisikoreglerne. Kravene, der rammer den almindelige danske virksomhed, gælder allerede — og Digitaliseringsstyrelsen er tydelig på rækkevidden af artikel 4: kravet "skelner ikke mellem, hvilken risiko der er forbundet med anvendelsen af det enkelte AI-system". Bruger bogholderen en tekstassistent til at formulere rykkere, gælder kravet.
| Dato | Hvad | Betyder det noget for en virksomhed med 1–25 ansatte? |
|---|---|---|
| 2. februar 2025 | Artikel 4 (AI-kompetence) og artikel 5 (forbudte praksisser) gælder | Ja. Det er de to krav, politikken skal dække. Gælder uanset antal ansatte. |
| 2. august 2025 | Lov nr. 467 af 14. maj 2025 i kraft — dansk tilsyn og sanktioner | Ja. Før denne dato var der ingen danske sanktioner. Nu er der et tilsyn med beføjelser. |
| 2. august 2026 | Artikel 50 om gennemsigtighed gælder | Ja, hvis I har chatbot, AI-telefoni eller udgiver AI-genereret materiale. |
| 2. december 2026 | Mærkning i maskinlæsbart format af systemer, der var i omsætning før 2. august 2026 — plus to nye artikel 5-forbud | Ja, hvis I bruger et værktøj, der var på markedet før august 2026. Det er næste reelle frist. |
| 2. december 2027 | Højrisikosystemer efter bilag III | Kun hvis I bruger AI i ansættelse, kreditvurdering eller lignende. Udskudt fra 2026. |
| 2. august 2028 | Højrisiko i produkter efter bilag I | Kun hvis I selv bygger AI ind i et produkt, I sælger. |
Lov nr. 467 er kort, men den giver tilsynet reelle værktøjer. Efter paragraf 5 kan myndigheden kræve alle nødvendige oplysninger. Efter paragraf 6, stk. 1, er der adgang til erhvervsmæssige lokaliteter uden retskendelse, og efter stk. 2 kan der foretages tekniske undersøgelser af systemerne på stedet. Paragraf 8 giver påbud og midlertidige forbud, paragraf 7 giver mulighed for at offentliggøre afgørelser, og paragraf 10 hjemler bødestraf. Efter paragraf 3 kan afgørelserne ikke indbringes for en anden administrativ myndighed.
Til gengæld sætter loven ikke selv et bødebeløb, og Digitaliseringsstyrelsens hovedvejledning om artikel 5 nævner heller ingen beløb. Vi skriver derfor ingen tal her. Støder I på en rådgiver, der lover en præcis bøde i kroner for en manglende AI-politik, er det værd at spørge om kilden.
Et punkt er stadig åbent, og det er værd at kende: Digitaliseringsstyrelsen skriver selv om gennemsigtighedskravet, at "det er endnu uafklaret, hvem der kommer til at føre tilsyn med gennemsigtighedsforpligtelsen". Det er ikke en grund til at vente. Det er en grund til at skrive punkt 7 i politikken på en måde, der holder, uanset hvem der ender med at spørge.
De fleste danske virksomheder er idriftsættere: de bruger et system, en anden har bygget. Det er den lette rolle. Men Digitaliseringsstyrelsens vejledning gør opmærksom på, at en idriftsætter kan blive udbyder, hvis der foretages "væsentlige ændringer" af systemet. Bygger I en kundevendt agent oven på en model og sætter jeres eget navn på, er I et andet sted i reguleringen end den, der bruger en standardassistent. Hvor grænsen går, er ikke endeligt afklaret — styrelsen afventer selv nærmere vejledning på europæisk niveau.
Derfor står der i vores skabelon en kolonne ud for hvert værktøj: bruger vi det som det er, eller har vi bygget noget selv? Det ene ord afgør, om der skal mere dokumentation til. Arbejder I med egne AI-agenter, er det det spørgsmål, der skal besvares først.
Selskabslovens paragraf 115, nr. 2 pålægger bestyrelsen at sikre, at der er etableret de fornødne procedurer for risikostyring og interne kontroller. Bruges AI uden en skrevet politik, er det præcis den procedure, der mangler — uanset om AI-forordningen i øvrigt rammer virksomheden.
Dette er seriens bærende punkt, og det er værd at forstå også i den lille virksomhed, hvor bestyrelsen måske består af indehaveren, revisoren og en ekstern. Ansvaret for AI kommer ikke kun fra EU. Det kommer fra den danske selskabslov, og det har ligget der hele tiden.
Paragraf 115 opregner fem forpligtelser for bestyrelsen i et selskab med den ledelsesstruktur. To af dem er direkte relevante her. Nr. 2 kræver, at bestyrelsen påser, at "der er etableret de fornødne procedurer for risikostyring og interne kontroller". Nr. 4 kræver, at bestyrelsen påser, at "direktionen udøver sit hverv på en behørig måde og efter bestyrelsens retningslinjer".
Læs de to numre sammen, og konstruktionen bliver tydelig. Bestyrelsen skal ikke selv skrive AI-politikken. Bestyrelsen skal sikre, at der findes en retningslinje, og at direktionen følger den. Det er også derfor, punkt 10 i skabelonen — dato, ejer og godkendelse — ikke er pedanteri. Det er beviset på, at konstruktionen har fungeret.
Vi bliver tit spurgt, hvad der så skal stå i bestyrelsesprotokollen. Det behøver ikke være langt. En formulering i denne retning dækker både nr. 2 og nr. 4:
Fire linjer i en protokol er ikke meget. Men forskellen mellem en virksomhed, der har de fire linjer, og en der ikke har, er forskellen mellem en dokumenteret procedure og en god intention. Skal bestyrelsen have en egentlig dagsorden for AI — med de spørgsmål, man bør stille direktionen — er det emnet for en senere artikel i serien.
Punkterne er de samme. Det, der ændrer sig, er hvor meget der skal dokumenteres, hvor mange der skal godkende, og om der skal være en navngiven ansvarlig. Under 25 ansatte er det to sider og en formiddag. Over 100 ansatte er det et forløb med en ejer og en årlig gennemgang.
Denne artikel er skrevet til den lille virksomhed, men politikken skal kunne vokse. Tabellen nedenfor viser, hvad vi reelt anbefaler ved forskellige størrelser — så I ikke bygger et apparat, I ikke har brug for, og ikke bliver overrasket, når I når næste trin.
| Størrelse | Politikkens omfang | Ansvarlig | Dokumentation ud over politikken | Bestyrelsens rolle |
|---|---|---|---|---|
| Indehaver, 1–9 ansatte | To sider. Ti punkter. Én liste over værktøjer. | Indehaveren selv | Dato og underskrift. Intet andet. | Ofte ingen bestyrelse. Skriv så godkendelsen i ejerbogen eller på dokumentet. |
| 10–49 ansatte | To til tre sider. Samme punkter, men med afdelingseksempler. | En navngiven person, typisk administrations- eller økonomichefen | Oplæringslog: hvem, hvornår, hvad. Databehandleraftaler på de værktøjer, der ser persondata. | Punkt på dagsordenen én gang om året, med protokoltekst. |
| 50–99 ansatte | Tre til fem sider plus bilag med værktøjslisten som levende dokument. | IT-ansvarlig med en udpeget stedfortræder | Risikovurdering pr. værktøjskategori. Adgangsstyring dokumenteret. Hændelsesregister. | Halvårlig rapportering fra direktionen. Protokolføres hver gang. |
| 100–200+ ansatte | Politik plus underliggende retningslinjer pr. funktion (HR, salg, udvikling, økonomi). | Navngiven ejer med mandat og budget | Fuld fortegnelse, leverandørvurderinger, årlig revision, kontrol af menneskeligt tilsyn i praksis. | Fast punkt. Bestyrelsen bør kunne se, at kontrollerne er testet — ikke kun beskrevet. |
Læg mærke til, at kolonnen længst til højre vokser hurtigere end de andre. Det er ikke tilfældigt. Jo større virksomheden, jo mindre kan bestyrelsen nøjes med at se dokumentet — den skal kunne se, at det bliver brugt. Det er stadig selskabslovens paragraf 115, nr. 2, der er grundlaget; kravet til beviset bliver blot tungere.
Skygge-AI er, når medarbejdere bruger AI-værktøjer, virksomheden ikke har godkendt. Det er den mest almindelige AI-risiko i danske virksomheder, og den løses ikke med et forbud. Den løses med en kort liste over godkendte værktøjer, oplæring og tekniske rammer.
Når vi laver en gennemgang hos en kunde, er det sjældent et ulovligt højrisikosystem, der dukker op. Det er en medarbejder, der har indtastet en kontrakt, en kundeliste eller en prisaftale i et gratis værktøj uden databehandleraftale — i god tro, for at komme hurtigere igennem en opgave.
Datatilsynet har beskrevet, hvad en arbejdsplads bør gøre. Tilsynet skriver, at rammerne for brug af generative AI-værktøjer "bør indgå som en fast del af arbejdspladsens awareness, retningslinjer og/eller procedurer" — og peger samtidig på en teknisk mulighed som støtte til de organisatoriske regler: at "blokere offentligt tilgængelige generative AI-værktøjer i arbejdspladsens firewall".
Det er værd at læse de to sætninger i den rækkefølge, de står. Politikken kommer først. Teknikken støtter den. Et forbud i en hosted firewall uden en godkendt liste flytter bare brugen over på medarbejderens egen telefon, hvor I slet ikke kan se den. Omvendt holder en politik uden teknisk støtte kun, så længe alle husker den.
Datatilsynet har desuden sat overvågning af medarbejdere på listen over fokusområder for tilsyn i 2026. Det er relevant her af en grund, mange overser: hvis I bruger AI til at analysere medarbejdernes arbejde, er I ikke længere kun i AI-forordningen — I er i databeskyttelsesretten og i reglerne om kontrolforanstaltninger. Skriv derfor eksplicit i politikken, om AI må bruges til at vurdere ansatte. For de fleste af vores kunder er svaret nej, og så er den sætning den billigste risikoreduktion på hele dokumentet.
En hosted firewall kan håndhæve listen: de godkendte værktøjer er åbne, de øvrige er ikke. Det giver også et overblik over, hvad der faktisk bliver brugt.
SentinelOne på endpoints fanger det, der kommer ind ad en anden vej — herunder de værktøjer, der installerer sig selv uden om IT.
I Microsoft 365 afgør adgangsstyringen, hvad en AI-assistent kan se. Er mapperne for åbne, arver assistenten den fejl.
Ingen af de tre erstatter politikken. De gør den håndhævbar. Vores arbejde med informationssikkerhed tager udgangspunkt i samme rækkefølge: find ud af hvad der bruges, beslut hvad der må bruges, og sæt derefter teknikken til at støtte beslutningen.
Rækkefølgen betyder noget. Starter man med at skrive, ender man med et dokument, der beskriver en virksomhed, man ikke har. Starter man med at spørge, skriver dokumentet næsten sig selv.
Vi bruger den samme rækkefølge, uanset om der er otte eller ottehundrede ansatte. Forskellen er, hvor længe trin 1 tager.
"Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration."Westwind, Admind-kunde i over 10 år
To sider med det, der skal på papir: datoerne der gælder nu, forskellen på udbyder og idriftsætter, AI-politikken på ti punkter og de fem spørgsmål til bestyrelsesmødet. Sendes som PDF — ingen opkald.
Vi bruger din mail til at sende guiden og højst en enkelt opfølgning. Du kan afmelde med ét klik.
Vi tager en gennemgang af, hvilke AI-værktøjer der faktisk er i brug, hvilke aftaler der mangler, og hvad der skal stå i politikken. Som del af gennemgangen rådgiver vi om rammerne — politik, roller og den tekniske håndhævelse. Er der ikke noget at rette, siger vi det.
"Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration."
Westwind, Admind-kunde i over 10 årIkke med de ord. AI-forordningen kræver i artikel 4, at medarbejdere har tilstrækkelig AI-kompetence, og selskabslovens paragraf 115, nr. 2 kræver, at bestyrelsen påser, at der er etableret de fornødne procedurer for risikostyring og interne kontroller. En skrevet politik er den praktiske måde at opfylde begge og kunne dokumentere det. Uden den har I ingen dokumentation at vise frem.
Nej, men det skal passe til størrelsen. Fem ansatte behøver to sider, én liste over godkendte værktøjer, én liste over data der ikke må indtastes, og en dato. Kravet i artikel 4 skelner ikke efter antal ansatte — Digitaliseringsstyrelsen skriver direkte, at det ikke skelner mellem risikoen ved det enkelte system. Men dokumentationsbyrden gør.
Behandl det som en mulig sikkerhedshændelse. Find ud af hvad der blev indtastet, hvilket værktøj, hvornår, og om der var en databehandleraftale. Vurder derefter, om der er tale om et brud på persondatasikkerheden med anmeldelsespligt. Det er netop derfor punkt 8 i politikken skal navngive en person og en frist — ellers får I det slet ikke at vide.
I kan, men det virker sjældent. Et forbud i en virksomhed, hvor folk allerede bruger værktøjerne, flytter typisk brugen over på privat udstyr, hvor I hverken kan se den eller styre den. En kort liste over værktøjer, man må bruge, giver bedre kontrol end et generelt forbud. Datatilsynet peger på blokering i firewallen som støtte til retningslinjerne — ikke som erstatning for dem.
Bestyrelsen skal påse, at proceduren findes, og at direktionen følger bestyrelsens retningslinjer — det er paragraf 115, nr. 2 og nr. 4. I praksis betyder det, at direktionen ejer og godkender politikken, og at bestyrelsen behandler den og får det protokolført. Har virksomheden ingen bestyrelse, skriver I godkendelsen på dokumentet selv.
To ting. Kravet om mærkning af AI-genereret materiale i maskinlæsbart format begynder at gælde for systemer, der var i omsætning før 2. august 2026 — en overgangsordning. Samtidig træder to nye forbud i artikel 5 i kraft. For de fleste mindre virksomheder er det første det relevante, hvis I bruger en chatbot eller udgiver AI-genereret indhold.
Erhvervsaftalen løser aftaledelen, men ikke adgangsdelen. En AI-assistent i Microsoft 365 kan se det, brugeren har adgang til — så er rettighederne for brede, bliver det synligt på en ny måde. Politikken skal derfor sige noget om adgangsstyring, og det er værd at gennemgå delte mapper, før I ruller en assistent bredt ud.
Vi laver gennemgangen og rådgiver om, hvad der skal stå — roller, godkendte værktøjer, de tekniske rammer og teksten til protokollen. Selve godkendelsen skal ligge hos jeres direktion, for det er den, der har ansvaret. Vi kan hjælpe med den tekniske håndhævelse bagefter: firewall, endpoint-sikkerhed, adgangsstyring og backup.
Lav listen over de AI-værktøjer, der faktisk bruges. Skriv de fem datatyper, der aldrig må indtastes. Sæt dato og en godkender på dokumentet. Det er over halvdelen af arbejdet, og det kan gøres i dag.
Resten kan vente til næste uge: databehandleraftalerne, oplæringen og den tekniske håndhævelse. Men listen og datoen bør ikke vente, fordi de er det, der adskiller en virksomhed med en dokumenteret procedure fra en virksomhed med en god intention.
Vil I se, hvordan AI-assistenter kan bruges forsvarligt i den daglige administration, har vi skrevet om det i Admind og ChatGPT. Og vil I have hele det regulatoriske billede, ligger det i AI-forordningen: krav til danske virksomheder, som også er indgangen til resten af denne serie.
Vi gennemgår, hvor AI bruges hos jer, hvad der mangler, og hvad der skal stå i politikken. Uforpligtende — og vi siger det, hvis I ikke behøver gøre noget.