For de fleste forsyningsvirksomheder rammer de særlige regler AI, der bruges i driften af anlæg, som sikkerhedskomponent i styringen af vand, varme, gas eller el. En sprogmodel til mails, referater og søgning i procedurer vælges efter de samme spørgsmål som i alle andre virksomheder. Artiklen er derfor en afgrænsning: hvor grænsen går, og hvad der ændrer sig på den anden side af den.
Reglerne står her i forenklet udgave. Vores tolkninger er markeret med “efter vores læsning”, og spørgsmål om et bestemt anlæg hører hos sektormyndigheden eller en advokat.
AI-forordningen: sikkerhedskomponenter
Efter AI-forordningens bilag III, pkt. 2, er AI-systemer, der skal bruges som sikkerhedskomponenter i forvaltning og drift af kritisk digital infrastruktur, vejtrafik eller forsyning af vand, gas, varme og elektricitet, højrisikosystemer. Efter AI-omnibussen starter bilag III-reglerne 2. december 2027.
AI-omnibussen, som ændringsforordningen kaldes, har også præciseret, hvad en sikkerhedskomponent er. Efter den ændrede art. 3, nr. 14, har en komponent en sikkerhedsfunktion, når dens formål er at forebygge eller begrænse risici for sundhed, sikkerhed eller ejendom. Digitaliseringsstyrelsen skriver på sin side om omnibussen, at AI, der kun bruges til fx brugerhjælp, optimering eller automatisering uden betydning for sikkerheden, ikke er en sikkerhedskomponent, medmindre et svigt udgør en fare (den nye art. 6, stk. 1a til 1c).
Efter vores læsning betyder det, at en sprogmodel til kontorarbejde i et forsyningsselskab ikke er højrisiko efter bilag III, pkt. 2. Et AI-system, der styrer eller overvåger anlæg, og hvor et svigt kan give fare, kan være det.
Energisektorens regel om placering
Energisektoren har sin egen lov om beredskab og er undtaget fra NIS2-loven, i det omfang den er omfattet af den lov. Bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren deler virksomhederne i fem niveauer. Efter § 50 skal virksomheder i niveau 4 og 5 placere servere og datacentre, der understøtter deres forsyningskritiske net- og informationssystemer, i EU- eller EØS-lande. Bekendtgørelsen stod som gældende i Retsinformation, da vi så den 8. november 2026.
Efter vores læsning kan reglen ramme en AI-tjeneste, hvis tjenesten understøtter et forsyningskritisk system hos en virksomhed i de to højeste niveauer. Så skal beregningen ske i EU eller EØS. For en sprogmodel brugt til administration gælder reglen ikke, fordi den ikke understøtter et forsyningskritisk system. Hvordan reglen rammer drift og cloud i bredden, gennemgår europaeisk-cloud.dk.
NIS2 og AI-tjenesten
NIS2-loven nævner ikke AI. Drikkevand og spildevand er sektorer i loven, og omfattede virksomheder i dem har pligt til at styre sikkerheden i forsyningskæden (§ 6, stk. 1, nr. 4). En AI-leverandør er en leverandør som andre og skal med i den vurdering. Hvordan AI-leverandøren dukker op i NIS2-arbejdet, står i NIS2-arbejdet finder en AI-leverandør.
Om en AI-tjeneste leveret som API er en cloudcomputingtjeneste efter NIS2-loven, har vi ikke set afklaret nogen steder. Kommissionens forslag til Cloud and AI Development Act læser NIS2-direktivets definition sådan, at adgang efter behov til AI-systemer er omfattet. Det er Kommissionens læsning i et forslag. En dansk afgørelse har vi ikke fundet. Forslaget er gennemgået i Cloud and AI Development Act.
Hvor grænsen går
Efter vores læsning kan AI i en forsyningsvirksomhed deles i tre grupper:
- Kontor og kundeservice: mails, referater, svar på kundehenvendelser og søgning i dokumenter. Her gælder de samme spørgsmål som overalt: data, jurisdiktion, binding og økonomi.
- Planlægning og optimering uden betydning for sikkerheden: fx prognoser for forbrug. Efter Digitaliseringsstyrelsens beskrivelse er det ikke en sikkerhedskomponent, medmindre et svigt udgør en fare. Vurder det konkret.
- Styring og overvågning af anlæg: her kan bilag III, pkt. 2, ramme fra 2. december 2027, og energisektorens § 50 kan ramme placeringen allerede nu.
Den tredje gruppe handler typisk om specialiserede systemer fra leverandører af styringsudstyr. Sprogmodeller er sjældent i den gruppe. Valget sker sammen med valget af anlæg og styring.
Hvad det kræver, og hvad det koster at lade være
At dele jeres AI-anvendelser i de tre grupper tager en driftsansvarlig og IT en dag. For den tredje gruppe skrives ned, hvem der leverer systemet, hvor beregningen sker, og hvad et svigt kan føre til. Hører I under energisektorens niveau 4 eller 5, holdes placeringen op mod § 50.
Lader I være, kan en AI-funktion glide fra kontoret ind i driften, fx fra at opsummere driftslogs til at foreslå indgreb. Så kan den ende i en gruppe med andre krav, uden at nogen har taget stilling til det.
Det skal I lade være med
- At regne al AI i en forsyningsvirksomhed som højrisiko · bilag III, pkt. 2, handler om sikkerhedskomponenter.
- At overse § 50 for AI, der understøtter forsyningskritiske systemer · i niveau 4 og 5 gælder placeringskravet.
- At læse CADA-forslagets definition som gældende · det er et forslag.
Det skal valget kunne vise
- ☐ AI-anvendelserne delt i kontor, optimering og styring af anlæg.
- ☐ For styring af anlæg: leverandør, placering af beregning og følger af svigt.
- ☐ Jeres niveau efter energisektorens bekendtgørelse, hvis den gælder jer.
- ☐ AI-leverandørerne med i vurderingen af forsyningskæden.
Kilder
- Forordning (EU) 2024/1689, dansk tekst, bilag III, pkt. 2, https://publications.europa.eu/resource/celex/32024R1689, læst 8. november 2026.
- Forordning (EU) 2026/1744, art. 1 om ændring af art. 3, nr. 14, art. 6 og art. 113, https://publications.europa.eu/resource/celex/32026R1744, læst 8. november 2026.
- Digitaliseringsstyrelsen, AI-omnibus, https://digst.dk/tilsyn/ai-forordningen/ai-omnibus/, læst 8. november 2026.
- Bekendtgørelse nr. 260 af 6. marts 2025 om modstandsdygtighed og beredskab i energisektoren, § 50, https://www.retsinformation.dk/eli/lta/2025/260, status set 8. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven), §§ 1 og 6, https://www.retsinformation.dk/eli/lta/2025/434, læst november 2026.
Senest gennemgået: november 2026.
Næste skridt
Del jeres AI-anvendelser i de tre grupper, og se særskilt på dem, der rører driften af anlæg.
Læs også: Cloud and AI Development Act · Finansielle virksomheder: AI-tjenesten som IKT-tredjepart
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
