AI-förordningen – juridisk rådgivning för företag
Reglerna gäller redan, och de träder i kraft i etapper. Vi hjälper er att avgöra vad som faktiskt omfattar er verksamhet, vad det innebär i praktiken och vad ni bör göra först.
Ni utvecklar, köper in eller använder AI, och någonstans mellan rubrikerna och förordningens 180 artiklar finns en praktisk fråga: vad betyder det här för oss? De flesta företag behöver inte ett fullskaligt efterlevnadsprogram. De behöver veta vilka av deras system som omfattas, vilken roll de har enligt regelverket och vilka tre saker som ska åtgärdas först.
Första timmen bjuder vi på. Utan bindning.
Vad ni får
- En klassificering av varje AI-system ni utvecklar eller använder – förbjudet, hög risk, transparenskrav eller begränsad risk – med en skriftlig motivering ni kan visa upp för kund, investerare eller tillsynsmyndighet
- Besked om er roll – leverantör, tillhandahållare, importör eller distributör – eftersom skyldigheterna skiljer sig markant åt, och många företag har flera roller samtidigt
- En prioriterad åtgärdslista med datum, kopplad till den faktiska infasningen
- Avtalsvillkor mot era AI-leverantörer och kunder som placerar skyldigheterna där de hör hemma
- Dokumentation – teknisk dokumentation, loggning, mänsklig kontroll och AI-kunnighet – på den nivå er riskkategori faktiskt kräver
Så går det till
- Uppstartssamtal, 45 minuter. Ni berättar vad ni bygger och använder. Kostnadsfritt.
- Kartläggning, en till tre veckor. Vi går igenom systemen, klassificerar dem och identifierar de luckor som betyder något.
- Planen. En skriftlig rapport med prioriterade åtgärder och tidplan. Ni väljer om ni driver den själva eller tillsammans med oss.
Vem ni arbetar med
Fidan Ibrahimzada, Legal Counsel inom AI- och teknikjuridik, leder det här arbetet. Hon rådger företag om AI-reglering, dataskydd och teknikavtal, och har tidigare lett juridikavdelningen på en affärsjuridisk byrå. Hon har en LL.M. i europeisk affärsjuridik från Lunds universitet. Lawgent är Sveriges första advokatbyrå med AI och EU-reglering som specialområde — möt teamet.
Vad AI-förordningen faktiskt kräver
AI-förordningen är i grunden en produktsäkerhetsreglering, inte en dataskyddslag. Den reglerar AI-system utifrån den risk de medför, och lägger merparten av ansvaret på den som släpper ut ett system på marknaden.
Fyra nivåer: ett begränsat antal förbjudna användningar; system med hög risk, som bär de tunga skyldigheterna; system med transparenskrav, där ni exempelvis måste upplysa om att någon talar med en chattbot eller märka AI-genererat innehåll; och övriga system, som förordningen i huvudsak lämnar i fred.
För de flesta företag visar kartläggningen att betydligt färre system än befarat är högrisksystem – och att ett eller två system som ingen tänkt på faktiskt är det.
Datumen som gäller
Förordningen trädde i kraft den 1 augusti 2024 och tillämpas etappvis:
| Datum | Vad som gäller |
|---|---|
| 2 februari 2025 | Förbjudna användningar. Kravet på AI-kunnighet (artikel 4) |
| 2 augusti 2025 | Skyldigheter för AI-modeller för allmänna ändamål. Styrning och nationella myndigheter |
| 2 december 2026 | Märkningskrav för system som släppts ut före augusti 2026 |
| 2 december 2027 | Högrisksystem enligt bilaga III – rekrytering, kreditgivning, utbildning, kritisk infrastruktur med flera |
| 2 augusti 2028 | Högrisk-AI i redan reglerade produkter – medicintekniska produkter, maskiner, leksaker |
Datumen 2027 och 2028 sköts fram under 2026 genom EU:s ändringar av regelverket. Förbuden och kravet på AI-kunnighet sköts inte fram – de gäller nu.
Framflyttningen innebär inte att arbetet försvinner. Den innebär att ni har ett användbart tidsfönster för att göra det ordentligt – och att avtal som tecknas i dag fortfarande löper när skyldigheterna börjar gälla.
Leverantör eller tillhandahållare – frågan som avgör allt
Samma bolag kan vara leverantör av ett system och tillhandahållare av ett annat, och skyldigheterna är inte jämförbara i omfattning.
En leverantör utvecklar ett AI-system och släpper ut det på marknaden i eget namn. För högrisksystem innebär det riskhanteringssystem, datastyrning, teknisk dokumentation, loggning, konstruktion för mänsklig kontroll, krav på noggrannhet och cybersäkerhet, bedömning av överensstämmelse och CE-märkning.
En tillhandahållare använder ett system som någon annan utvecklat. Skyldigheterna är lättare men verkliga: använda systemet enligt instruktionerna, utse kompetent mänsklig kontroll, övervaka driften, bevara loggar och i flera fall informera de människor som berörs.
Två saker gör er till leverantör utan att ni avsett det: att sätta ert eget namn eller varumärke på någon annans system, och att väsentligt ändra ett system. Bådadera sker rutinmässigt vid white label-lösningar och finjustering av modeller – och båda är värda att kontrollera innan ett avtal skrivs under.
Hur det hänger ihop med GDPR, NIS2 och DORA
AI-förordningen ersätter inte GDPR. Behandlar systemet personuppgifter gäller båda regelverken, och en konsekvensbedömning kan krävas parallellt med AI-dokumentationen. Omfattas ni av cybersäkerhetslagen tillkommer NIS2-kraven. Är ni en finansiell aktör styr DORA motståndskraften i de system som AI:n körs på.
Den effektiva vägen är att göra det här en gång, tvärs över regelverken, i stället för fyra gånger i fyra projekt.
Vanliga frågor
Behöver vi jurist för AI-förordningen, eller räcker ett efterlevnadsverktyg?
Verktyg är bra på inventering och uppföljning. Klassificeringen är en juridisk bedömning – om ett system omfattas av bilaga III, om ni är leverantör, om ett undantag är tillämpligt – och det är den bedömningen ni ska kunna försvara. De flesta använder båda delarna.
Vi bara använder AI, vi bygger inget. Omfattas vi?
Sannolikt ja, som tillhandahållare. Skyldigheterna är lättare än leverantörens, men omfattar mänsklig kontroll, övervakning och i vissa fall information till de personer som berörs.
Vad gäller för oss som säljer in i EU men sitter utanför?
Förordningen når leverantörer som släpper ut system på EU-marknaden oavsett var de är etablerade. Leverantörer utanför EU behöver som regel ett auktoriserat ombud i unionen för högrisksystem.
Högriskkraven sköts fram. Kan vi vänta?
Framflyttningen gäller delar av högriskregelverket. Förbud, AI-kunnighet och skyldigheterna för allmänna AI-modeller gäller redan. Och de system ni upphandlar nu kommer att vara i drift 2027 – avtalen är den del som är svår att rätta till i efterhand.
Vad kostar en kartläggning?
Första samtalet är kostnadsfritt. Därefter sätter vi omfattningen efter vad ni faktiskt har, och ni får ett fast pris innan vi börjar.
Kan ni vara vårt löpande juridiska stöd?
Ja. Många anlitar oss vid behov för enskilda frågor, andra som fast partner med en bestämd omfattning per månad.
Var ni börjar
Ni behöver inte lösa hela regelverket. Ni behöver veta vad som gäller er och vad som kommer först. Det är ett samtal, inte ett projekt.