Europa-Kommissionen offentliggjorde den digitale omnibuspakke i slutningen af 2025 med forslag, der har til formål at forenkle og harmonisere dele af EU's digitale lovgivningsramme, herunder ændringer af GDPR , NIS 2 og mere.
Mens den bredere digitale omnibus stadig er under forhandling, blev den separate digitale omnibus om AI (AI Omnibus) fremskyndet, fordi den foreslog ændrede frister for forpligtelser vedrørende højrisiko-AI-systemer i henhold til EU's AI-lov. Disse foreslåede ændringer skulle træde i kraft, før de første højrisiko-AI-forpligtelser i henhold til EU's AI-lov skulle finde anvendelse den 2. august 2026.
Den 7. maj 2026 nåede Europa-Parlamentets og Rådets forhandlere til en foreløbig aftale om AI-omnibus, som udskød overholdelsesfristerne for højrisiko-AI-systemer til 2027 og 2028. Den endelige forordning trådte i kraft den 27. juli 2026.
Så hvad har ændret sig? I denne blog vil vi udforske nogle af de vigtigste ændringer, som AI Omnibus foretager i EU's AI-lov, og hvad de betyder for organisationer.
Reviderede overholdelsesfrister for højrisiko-AI-systemer
Under AI Omnibus har udbydere og distributører af højrisiko-AI-systemer en forlænget tidsfrist til at sikre overholdelse af reglerne.
Fra den 2. december 2027 skal AI-systemer, der er klassificeret som højrisikosystemer i henhold til artikel 6(2) og bilag III , i det omfang deres anvendelse er tilladt i henhold til relevant EU- eller national lovgivning, kunne påvise overholdelse af reglerne.
Dette dækker AI-systemer, der anvendes inden for områder som:
- Biometri
- Kritisk infrastruktur
- Uddannelse og erhvervsuddannelse
- Beskæftigelse, arbejdstageradministration og adgang til selvstændig virksomhed
- Adgang til og brug af essentielle private tjenester og essentielle offentlige tjenester og ydelser
- Retshåndhævelse
- Migration, asyl og grænsekontrol
- Retsadministration og demokratiske processer.
At være opført i bilag III betyder ikke automatisk, at alle AI-systemer, der anvendes i et af disse områder, vil kvalificere som højrisiko. Klassificeringsreglerne og undtagelserne i artikel 6 skal også tages i betragtning.
Og fra den 2. august 2028 vil højrisikoforpligtelser gælde for AI-systemer i henhold til artikel 6(1) og bilag I. Dette omfatter højrisiko-AI-systemer, der anvendes som sikkerhedskomponenter i visse regulerede produkter, eller som selv er sådanne produkter, hvor det relevante produkt er underlagt et krav om overensstemmelsesvurdering fra en tredjepart. Dette omfatter:
- Legetøj
- Lifte
- Medicinsk udstyr
- Køretøjer.
AI Omnibus indsnævrer også definitionen af, hvad der kvalificerer som sikkerhedskomponenter. Produkter med AI-funktioner, der kun hjælper brugere eller optimerer ydeevnen, vil ikke automatisk være underlagt højrisikoforpligtelser. Fokus er i stedet på, om deres fejl eller funktionsfejl skaber sikkerheds- eller sundhedsrisici.
Et udvidet retsgrundlag for behandling af særlige kategorier af personoplysninger
AI Omnibus udvider retsgrundlaget for behandling af følsomme data med henblik på biasdetektering og -afbødning til at omfatte distributører af højrisiko-AI-systemer og leverandører og distributører af andre AI-systemer og -modeller. Tidligere var dette retsgrundlag kun gældende for udbydere af højrisiko-AI.
Dette er ikke en generel tilladelse til at behandle følsomme oplysninger. Behandlingen skal opfylde betingelserne i AI-loven og, afhængigt af omstændighederne, være nødvendig. Organisationer skal også implementere sikkerhedsforanstaltninger, herunder adgangskontrol, sikkerheds- og privatlivsbevarende foranstaltninger samt begrænsninger for genbrug og passende sletning af data.
Begrænset frist for mærkning af AI-genereret indhold
AI Omnibus har generelt ikke udskudt AI-lovens gennemsigtighedskrav for AI-genereret indhold.
Gennemsigtighedsforpligtelserne i henhold til artikel 50 gælder generelt fra den 2. august 2026. Dette omfatter kravet om, at udbydere af visse AI-systemer, der genererer syntetisk lyd-, billed-, video- eller tekstindhold, skal sikre, at output er markeret i et maskinlæsbart format og kan detekteres som kunstigt genereret eller manipuleret.
AI Omnibus indfører dog en begrænset overgangsperiode for systemer, der allerede er på markedet. Udbydere af relevante systemer, der bringer dem på markedet før den 2. august 2026, har indtil den 2. december 2026 til at overholde kravene om maskinlæsbar mærkning i artikel 50(2).
For organisationer er den vigtige forskel, at den 2. december 2026 er en begrænset henstandsperiode for visse eksisterende systemer, ikke den generelle startdato for gennemsigtighedskravene i henhold til AI-loven.
FRIA'er kan udnytte DPIA'er
I henhold til AI Omnibus kan konsekvensanalyser af grundlæggende rettigheder (FRIA'er) nu indeholde krydshenvisninger til eller de relevante afsnit af en konsekvensanalyse af databeskyttelse (DPIA), der udføres i henhold til den generelle forordning om databeskyttelse eller retshåndhævelsesdirektivet.
De to vurderinger forbliver adskilte, men organisationer, der allerede udfører DPIA'er, kan muligvis genbruge relevante analyser i stedet for unødvendigt at duplikere dem.
Forbud mod skadelige AI-systemer
Omnibus-forbuddet indfører et forbud mod AI-systemer, der genererer intimt materiale eller materiale med seksuelt misbrug af børn uden samtykke fra den 2. december 2026.
Forbuddet gælder for at bringe AI-systemer i omsætning på EU-markedet med det formål at skabe eller manipulere dette materiale. Det kan også gælde, hvor dette er et rimeligt forudsigeligt og reproducerbart resultat af systemet, og systemet ikke har rimelige og tilstrækkelige tekniske sikkerhedsforanstaltninger til at forhindre en sådan brug.
For udbredere gælder forbuddet, når de bruger et AI-system til at generere eller manipulere det forbudte materiale.
SMV-fleksibilitet udvidet til små midcap-virksomheder
AI Omnibus introducerer en ny kategori af små midcap-virksomheder (SMC'er) og udvider adskillige regulatoriske fleksibiliteter, der tidligere var tilgængelige for SMV'er, til disse virksomheder.
Disse omfatter:
- Muligheden for at bruge forenklet teknisk dokumentation til AI-systemer med høj risiko
- Forholdsmæssig implementering af visse krav til kvalitetsstyringssystemer
- Reduceret maksimalt bødeniveau, med relevante bøder for SMC'er begrænset til det laveste af den gældende procentdel eller det faste pengebeløb
Disse ændringer betyder ikke, at alle SMV-fritagelser automatisk gælder for SMV'er. AI Omnibus udvider snarere specifikke forenklings- og proportionalitetsforanstaltninger til denne nye virksomhedskategori.
andre overvejelser
Ændringer for tilsynsmyndigheder: AI Omnibus udvider og præciserer EU's AI-kontors eksklusive tilsyns- og håndhævelsesrolle. Det har eksklusiv kompetence for visse AI-systemer, der er bygget på generelle AI-modeller, hvor modellen og systemet er udviklet af den samme udbyder eller inden for den samme virksomhed, med forbehold af specifikke undtagelser.
Dens eksklusive kompetence dækker også AI-systemer, der udgør eller er integreret i meget store onlineplatforme eller søgemaskiner, der er reguleret i henhold til Digital Services Act (DSA). Dette er snævrere end at gælde for AI-systemer, der falder ind under DSA'ens anvendelsesområde.
AI-færdigheder: AI Omnibus reviderer også AI-lovens krav til AI-færdigheder. Udbydere og distributører skal træffe foranstaltninger til at støtte udviklingen af AI-færdigheder blandt personale og andre, der driver eller bruger AI-systemer på deres vegne. Den reviderede bestemmelse gør det klart, at organisationer ikke behøver at garantere et bestemt niveau af AI-færdigheder for hver enkelt person.
Forlænget frist for regulatoriske sandkasser: Fristen for medlemsstaterne til at sikre, at deres kompetente myndigheder har mindst én national regulatorisk sandkasse for AI i drift, forlænges fra den 2. august 2026 til den 2. august 2027. AI-kontoret kan også etablere en regulatorisk sandkasse på EU-niveau for AI-systemer, der ikke opfylder betingelserne for dets kompetence.
Hvad dette betyder for organisationer
Ændringerne i AI Omnibus-forordningen til EU's AI-lovgivning strømliner eller præciserer i vid udstrækning eksisterende krav. Det er afgørende, at de ikke udsætter AI-loven som helhed.
Som et første skridt foreslår vi, at du gennemgår dit nuværende AI-styringsprogram, kortlægger det til ændringerne i AI Omnibus og identificerer eventuelle områder, der skal revideres. Sørg for, at du har overblik over, hvilke AI-systemer din virksomhed bruger, og hvor de bruges.
Gennemsigtighedsmærkning er et område, der kræver særlig opmærksomhed nu. Artikel 50-gennemsigtighedskravene har generelt været gældende siden den 2. august 2026. Hvis din organisation leverer eller implementerer systemer til at generere indhold, der er omfattet af oplysningskravene, skal du identificere, hvilke udbyder- eller distributørforpligtelser der gælder. Udbydere af relevante systemer, der allerede var på markedet før den 2. august 2026, bør også afgøre, om de falder inden for den begrænsede overgangsperiode, der slutter den 2. december 2026.
Organisationer, der bruger AI, bør også gennemgå deres tilgang til AI-kompetencer i henhold til den ændrede artikel 4 og sikre, at der er truffet passende foranstaltninger til at støtte personale, der driver eller bruger AI-systemer.
For organisationer med ansvar for højrisikosystemer i henhold til bilag III giver de reviderede frister yderligere implementeringstid, men de fjerner ikke de underliggende krav. Organisationer har muligvis allerede arbejdet på at overholde den oprindelige frist den 2. august 2026, mens organisationer med ansvar for systemer i henhold til bilag I arbejdede hen imod AI-lovens senere produktrelaterede tidsplan.
Afgørende er det, at de reviderede frister ikke repræsenterer en fritagelse fra compliance-krav, og den ekstra tid bør bruges til at styrke compliance-programmer, bekræfte klassificeringer af AI-systemer, etablere styrings- og dokumentationsprocesser, teste kontroller og afhjælpe mangler i god tid inden de nye frister den 2. december 2027 og den 2. august 2028.
Udvid din viden
Blog: Det Hvide Hus' AI-samarbejdsordning bør inspirere til bredere introspektion af AI-forsyningskæden
Podcast: Phishing for Trouble S2 E10: Bygget til at holde: Hvordan compliance muliggør virksomhedens modstandsdygtighed
