Start med at kortlægge, hvilke AI-værktøjer jeres medarbejdere allerede bruger, klassificér dem efter AI Acts risikoniveauer, skriv en AI-politik, der sætter rammer for persondata og ansvar, og gennemfør et afgrænset pilotprojekt med kompetenceløft. Den rækkefølge giver jer overblik, før I investerer tid og penge, og gør det lettere at overholde reglerne. Guiden bygger på Digitaliseringsstyrelsens og Datatilsynets sider, læst 24. september 2026, og er ikke juridisk rådgivning.
Trin 1: Kortlæg den nuværende AI-brug
Mange virksomheder opdager, at medarbejderne allerede bruger AI-værktøjer — uden at ledelsen ved det. Datatilsynet ser en stigning i brud på persondatasikkerheden, hvor ansatte har brugt persondata fra arbejdet som input og prompts i generative AI-værktøjer. Derfor er første skridt at skabe overblik.
Lav en simpel spørgeskemaundersøgelse eller hold korte samtaler med afdelingerne. Spørg:
- Hvilke AI-værktøjer bruger I (navngiv dem)?
- Hvilke opgaver løser I med dem?
- Hvilke data indtaster I — herunder persondata, kundeoplysninger eller fortrolige dokumenter?
Resultatet er en liste over værktøjer, anvendelser og datatyper. Den liste bliver grundlaget for de næste trin.
Trin 2: Klassificér efter AI Acts risikoniveauer
AI-forordningen er opbygget med en risikobaseret tilgang, hvor kravene afhænger af den risiko, den enkelte AI-løsning udgør for sundhed, sikkerhed og borgernes grundlæggende rettigheder. Digitaliseringsstyrelsen beskriver tre kategorier med særlige regler:
- Forbudte former for AI-praksis: fx AI, der bruges til skadelig manipulation eller til følelsesgenkendelse på arbejdspladser eller uddannelsesinstitutioner. Forbuddene gælder fra 2. februar 2025.
- Højrisiko-AI-systemer: fx AI i kritisk infrastruktur, i uddannelse (bedømmelse af eksaminer) og i ansættelse (sorteringssoftware til ansættelsesprocedurer). De er underlagt krav som detaljeret dokumentation, risikostyring, overvågning og ansvarlighed. Med AI omnibussen er kravene udskudt til 2. december 2027 (bilag III) og 2. august 2028 (bilag I).
- Gennemsigtighedsforpligtelser: fx skal brugere, der taler eller skriver med en chatbot, gøres opmærksom på, at det er et AI-system.
Ifølge Digitaliseringsstyrelsen fastlægges et AI-systems kategori ikke ud fra en individuel risikovurdering; forordningen definerer på forhånd, hvilke betingelser der gælder. Gennemgå jeres liste fra trin 1, og tjek især, om I bruger AI til fx rekruttering eller andre områder, der kan være højrisiko. Er I i tvivl, så få en rådgiver til at vurdere det.
Trin 3: Skriv en AI-politik
Datatilsynet understreger, at arbejdspladser bør fastsætte organisatoriske rammer for, om og hvordan medarbejdere må bruge generative AI-værktøjer. En skriftlig AI-politik gør rammerne klare for alle.
Politikken bør som minimum indeholde:
- Hvilke værktøjer der er godkendt — og hvordan medarbejdere anmoder om nye.
- Hvilke data der ikke må indtastes — fx persondata, kundelister, fortrolige dokumenter, ikke-offentliggjort regnskabsinformation.
- Hvem der er ansvarlig for at godkende nye anvendelser og følge op på hændelser.
- Krav om menneskeligt tilsyn — AI-genereret indhold skal gennemgås og godkendes, før det sendes til kunder eller offentliggøres.
- Henvisning til GDPR og eksisterende sikkerhedspolitikker — AI-politikken erstatter ikke, men supplerer jeres øvrige regler.
Politikken behøver ikke være lang. Én til to sider er nok, hvis den er konkret og let at forstå.
Trin 4: Håndtér persondata efter GDPR
Når medarbejdere bruger AI-værktøjer, gælder databeskyttelsesreglerne stadig. Afklar sammen med jeres databeskyttelsesansvarlige eller rådgiver blandt andet:
- Om leverandøren behandler persondata på jeres vegne, og hvilken aftale der i så fald skal være på plads.
- Hvor data lagres og behandles — og hvad det betyder, hvis det sker uden for EU/EØS.
- Om I overhovedet har grundlag for at indtaste de persondata, det drejer sig om.
Hvis der sker et brud — fx persondata delt utilsigtet med en AI-tjeneste — har I pligt til at vurdere risikoen og eventuelt anmelde til Datatilsynet. Læs mere i guiden Brud på persondatasikkerheden: Sådan håndterer I de første timer og døgn.
Trin 5: Start et afgrænset pilotprojekt
I stedet for at rulle AI ud i hele organisationen på én gang, så start med ét afgrænset projekt. Vælg en opgave, hvor:
- Gevinsten er tydelig — fx kortere svartid, færre rutineopgaver eller bedre kvalitet.
- Risikoen er begrænset — undgå i første omgang områder med persondata eller høj forretningsmæssig følsomhed.
- I kan måle effekten — definér på forhånd, hvad succes ser ud.
Eksempel på pilotprojekt (fiktivt)
Eksemplet er TechLeads eget, og tallene er fiktive.
En virksomhed med 50 medarbejdere vælger at teste AI til udkast af interne mødereferater. Før brugte en medarbejder 45 minutter pr. møde på at skrive referat. Med AI-værktøjet dikteres hovedpunkterne, værktøjet genererer et udkast, og medarbejderen redigerer og godkender. Tidsforbruget falder til 20 minutter. Efter 8 uger evaluerer ledelsen: kvaliteten er god, ingen fortrolige data er blevet delt (referaterne omhandler kun interne processer), og medarbejderne er positive. Virksomheden beslutter at udvide til andre afdelinger.
Trin 6: Understøt medarbejdernes AI-færdigheder
Efter AI-forordningen skal udbydere og idriftsættere træffe foranstaltninger, der understøtter udviklingen af AI-færdigheder hos deres personale. Det er den formulering, der gælder efter AI omnibussen. For en virksomhed, der bruger AI-værktøjer, er et kompetenceløft en oplagt måde at træffe sådanne foranstaltninger på.
Kompetenceløft kan være:
- En kort intern gennemgang af AI-politikken og de godkendte værktøjer.
- Praktiske øvelser i at formulere prompts uden at dele fortrolige data.
- Overblik over, hvornår AI-output skal tjekkes ekstra grundigt — fx fakta, tal og juridiske udsagn.
- Løbende opfølgning, når nye værktøjer tages i brug.
Flere leverandører tilbyder AI-kurser til virksomheder. Når I vælger en udbyder, så spørg til indholdet (er det tilpasset jeres branche?), formatet (e-læring, workshop eller begge dele?) og opfølgningen (hvad sker der efter kurset?). Priserne varierer meget, og et dyrt kursus er ikke nødvendigvis bedre end en målrettet intern workshop.
Hvad guiden ikke dækker
Denne guide handler om, hvordan en mellemstor virksomhed kommer i gang med AI i praksis. Den dækker ikke:
- Udvikling af egne AI-modeller eller teknisk opsætning af AI-systemer.
- Detaljerede krav til højrisiko-AI-systemer — her bør I søge juridisk rådgivning.
- Sektor-specifikke regler, fx for finansielle virksomheder eller sundhedssektoren.
Hvis jeres AI-brug falder i kategorien høj risiko, eller hvis I er i tvivl om klassificeringen, bør I kontakte en rådgiver med specialviden i AI-regulering.
Tjek jeres udgangspunkt
Brug TechLeads sikkerheds- og compliancetjek til at se, hvor I står med IT-sikkerhed, regler og AI. Tjekket hjælper jer med at prioritere, om AI-politikken eller andre områder skal først.
