EU's AI Act er trådt i kraft, og for de fleste danske organisationer handler arbejdet med den ikke først og fremmest om jura. Det handler om, at brugen af Copilot og resten af Microsoft 365 skal kunne dokumenteres, og det krav lander oven på et governance-fundament, som de færreste har bygget til formålet.
Det korte om, hvad loven kræver
AI Act er EU's forordning om kunstig intelligens, og den er bygget op efter risiko. Jo større risiko en anvendelse udgør, jo flere krav stiller loven. Transparenskravene trådte i kraft den 2. august 2026. De skærpede krav til højrisiko-anvendelser under forordningens Annex III blev med Digital Omnibus-pakken udskudt til den 2. december 2027. For en typisk Microsoft 365-organisation betyder det ikke, at Copilot bliver forbudt, men at brugen skal være gennemsigtig, og at I skal kunne redegøre for, hvad værktøjerne gør ved jeres data.
I er sandsynligvis bruger, inden I er udvikler
De tungeste krav i loven rammer dem, der bygger og leverer højrisiko-AI-systemer. De fleste danske organisationer gør ikke det. De bruger en færdig platform fra Microsoft og slår Copilot til oven på den. Det placerer jer et andet sted i loven end leverandøren, men det fritager jer ikke. Transparenskravene gælder, og I har stadig et ansvar for at vide, hvad jeres AI-funktioner har adgang til, og hvad de gør med det. Hvor præcis jeres organisation lander i lovens kategorier, afhænger af, hvad I bruger AI til, og den vurdering bør I tage sammen med jeres juridiske funktion. Udskydelsen af Annex III-kravene til december 2027 er ikke et frikvarter. Den giver tid til at bygge fundamentet færdigt, inden kravene strammes.
Kravene oversat til Microsoft 365-praksis
Når man skræller juraen af, stiller loven nogle spørgsmål, der i virkeligheden handler om governance. Hvor flyder data hen, når en Copilot-agent svarer? Hvilke kilder henter den svar fra? Hvem besluttede, at den måtte tages i brug, og hvornår bliver den lukket ned igen? Det er ikke juridiske spørgsmål i udgangspunktet, men driftsspørgsmål om, hvordan jeres tenant er sat op.
I praksis er det en håndfuld ting, I skal have styr på, før dokumentationen overhovedet giver mening:
- Overblik over hvad der er slået til. Hvilke AI-funktioner, agenter og connectors er aktive i tenanten, og hvem satte dem i gang?
- Adgange. Hvem kan se hvad. Oversharing og gamle delinger afgør, hvad Copilot kan finde, og det er svært at dokumentere forsvarlig brug oven på et uoverskueligt adgangsbillede.
- Klassificering. Sensitivity labels og DLP, så følsomt indhold er mærket og håndteret, uanset om det er et menneske eller en agent, der leder efter det.
- Sporbarhed. Logning af, hvad der bliver brugt, så I kan svare på, hvad der skete, hvis nogen spørger.
- Ejerskab og livscyklus. Hvem ejer en agent, og hvornår bliver den taget ud af drift, når den ikke bruges længere?
Governance er den dokumentation, loven beder om
Det er her governance og AI holder op med at være to adskilte emner. De fem punkter ovenfor er governance-arbejde, og de er samtidig stort set det, AI Act beder jer om at kunne fremvise. Har I styr på adgange, labels og livscyklus, er dokumentationen næsten et biprodukt af den styring, I allerede udøver. Mangler fundamentet, bliver loven endnu en deadline oven på en Copilot-udrulning, der i forvejen står på løs grund.
Vi ser ofte, at governance bliver behandlet som et dokument, nogen skrev for halvandet år siden, og som ligger på et SharePoint-site, ingen har åbnet siden. Det holder ikke til et tilsyn, og det holder ikke til en Copilot, der gør indholdet nemt at finde. Governance er en styringsmodel, man sætter op og vedligeholder: regler for adgange og deling, en livscyklus for samarbejdsrum og agenter, og en fast kadence for at gennemgå det, der ændrer sig.
Hvad I gør nu
Start med at få overblik over, hvad der allerede er slået til, og hvordan adgange og labels ser ud i dag. Det er sjældent så galt som frygtet, og aldrig så godt som håbet. Derfra kan I prioritere: ryd op i den værste oversharing, få labels på det følsomme, og beslut, hvem der ejer AI-funktionerne og deres livscyklus. Når det fundament er på plads, bliver både Copilot og AI Act til at håndtere. Vi arbejder med den del som governance af jeres cloud-platform, og det er det stykke arbejde, der gør resten muligt.
EU AI Act er ikke i sig selv grunden til at bygge governance op, men den er en god anledning til at tjekke, om det fundament, I troede var på plads, faktisk kan dokumenteres.
Vil I vide, om jeres Microsoft 365-fundament kan dokumenteres, når AI Act-kravene rammer jer? Book et sparringsmøde - 30 min, hvor vi ser på, hvad I allerede kan dokumentere, og hvor hullerne er. Book et sparringsmøde.