Varför den 2 augusti 2026 är ett vägskäl för svenska företag
Den 2 augusti 2026 börjar merparten av EU:s AI-förordning (AI Act) att tillämpas fullt ut. Det är från detta datum som kraven på högrisksystem, transparens och skärpt tillsyn träder i kraft – och det är då tillsynsmyndigheterna kan börja utfärda sanktioner. För många företag är detta första gången AI-regleringen får konkreta konsekvenser i den dagliga verksamheten.
Om ni utvecklar, säljer eller använder AI-system som påverkar människor, till exempel vid rekrytering, kreditbedömning eller kundtjänst, finns det goda skäl att agera nu. Den här artikeln förklarar vad som börjar gälla, vad det innebär i praktiken och hur ni förbereder er i tid.
Vad är EU:s AI-förordning?
AI-förordningen är världens första heltäckande lagstiftning för artificiell intelligens. Den trädde i kraft den 1 augusti 2024 och tillämpas stegvis. Förbudet mot vissa AI-användningar började gälla redan den 2 februari 2025, och skyldigheterna för leverantörer av allmänna AI-modeller (så kallade GPAI-modeller) från den 2 augusti 2025.
Förordningen bygger på en riskbaserad modell. Ju större risk ett AI-system innebär för människors hälsa, säkerhet eller grundläggande rättigheter, desto strängare krav. Systemen delas in i fyra nivåer: oacceptabel risk (förbjudna), hög risk, begränsad risk (transparenskrav) och minimal risk.
Detta börjar gälla den 2 augusti 2026
Högrisksystem enligt bilaga III
Från och med den 2 augusti 2026 gäller de fullständiga kraven för högrisksystem som listas i bilaga III till förordningen. Det handlar bland annat om AI som används inom biometri, kritisk infrastruktur, utbildning, anställning och personalhantering, tillgång till väsentliga privata och offentliga tjänster (till exempel kreditbedömning och riskbedömning inom försäkring), brottsbekämpning, migration samt rättsskipning.
Leverantörer av sådana system måste bland annat genomföra en bedömning av överensstämmelse, upprätta ett system för riskhantering, säkerställa god datakvalitet, föra loggar, ta fram teknisk dokumentation, möjliggöra mänsklig tillsyn och registrera systemet i EU:s databas innan det släpps ut på marknaden. Även den som använder ett högrisksystem (deployer) får skyldigheter, till exempel att använda systemet enligt instruktionerna och säkerställa mänsklig övervakning.
Ett undantag gäller högrisksystem som är inbyggda i redan reglerade produkter, exempelvis medicintekniska produkter eller maskiner. För dessa gäller en förlängd övergångsperiod till den 2 augusti 2028.
Transparenskrav enligt artikel 50
Artikel 50 gäller ett bredare spann av system, inte bara högrisksystem, och innebär fyra centrala skyldigheter. För det första ska den som interagerar med en chatbot eller liknande AI-system informeras om att motparten är en AI. För det andra ska innehåll som genererats eller manipulerats av AI – bland annat så kallade deepfakes av bild, ljud eller video – märkas som artificiellt skapat. För det tredje ska AI-genererad text som publiceras för att informera allmänheten om frågor av allmänt intresse märkas som sådan. För det fjärde ska personer informeras när system för känsloigenkänning eller biometrisk kategorisering används.
Leverantörer ska dessutom se till att AI-genererat innehåll är märkt i ett maskinläsbart format så att det går att upptäcka att det skapats artificiellt. Kommissionen publicerade i juni 2026 en frivillig uppförandekod som stöd för hur märkningskraven kan uppfyllas.
Skärpt tillsyn av allmänna AI-modeller
Skyldigheterna för leverantörer av GPAI-modeller, till exempel stora språkmodeller, har gällt sedan den 2 augusti 2025. Från den 2 augusti 2026 får dock EU:s AI-byrå fulla tillsynsbefogenheter, vilket innebär att den kan begära information, kräva åtgärder och ytterst utfärda sanktioner mot leverantörer som inte lever upp till kraven.
Vilka sanktioner riskerar företag?
Sanktionerna i AI-förordningen är kännbara och beräknas som det högsta av ett fast belopp eller en andel av den globala årsomsättningen. För förbjuden AI-användning kan avgiften uppgå till 35 miljoner euro eller 7 procent av den globala omsättningen. För överträdelser av andra skyldigheter, exempelvis kraven på högrisksystem eller transparens, kan avgiften bli upp till 15 miljoner euro eller 3 procent. Att lämna felaktig eller vilseledande information till myndigheter kan kosta upp till 7,5 miljoner euro eller 1 procent.
Vad gäller i Sverige?
Varje medlemsstat ska peka ut nationella myndigheter som ansvarar för tillsyn. I Sverige har regeringen föreslagit att Post- och telestyrelsen (PTS) blir huvudsaklig marknadskontrollmyndighet och samordnande kontaktpunkt, med ett antal ytterligare sektorsmyndigheter som ansvarar för sina respektive områden. Integritetsskyddsmyndigheten (IMY) har i sitt remissvar förespråkat att myndigheten ensam bör ansvara för tillsynen av förbjudna AI-system enligt artikel 5. Den föreslagna svenska kompletterande lagstiftningen är avsedd att träda i kraft i tid till den 2 augusti 2026.
Eftersom detaljerna i den svenska regleringen fortfarande behandlas bör företag följa utvecklingen och inte utgå från att ansvarsfördelningen är slutgiltig.
Praktiskt exempel: ett AI-verktyg i rekryteringen
Anta att ett svenskt bolag använder ett AI-verktyg som rangordnar jobbansökningar och föreslår vilka kandidater som bör kallas till intervju. AI-system som används för rekrytering och urval faller under bilaga III och räknas därmed som högrisk. Från den 2 augusti 2026 innebär det att bolaget måste säkerställa att verktyget uppfyller kraven: att det finns dokumentation och mänsklig tillsyn, att beslut inte fattas helt automatiserat utan meningsfull mänsklig kontroll, och att kandidater informeras på rätt sätt. Använder bolaget dessutom en chatbot i ansökningsflödet ska sökanden få veta att de talar med en AI. Att bara lita på att leverantören ”sköter compliance” räcker inte – även den som använder systemet har egna skyldigheter.
Vanliga misstag företag gör
Ett vanligt misstag är att tro att AI-förordningen bara gäller techbolag eller de som bygger AI. I själva verket omfattas även företag som endast använder AI-system i sin verksamhet. Ett annat misstag är att sakna en samlad bild av vilka AI-system som faktiskt används – många organisationer upptäcker sent att verktyg för HR, marknadsföring eller kundtjänst innehåller AI som kan vara reglerad. Slutligen underskattar många den tid det tar att ta fram dokumentation, rutiner för mänsklig tillsyn och avtal med leverantörer.
Rekommenderade åtgärder inför den 2 augusti 2026
Börja med att kartlägga alla AI-system i verksamheten och klassificera dem efter risknivå. Identifiera vilka som kan vara högrisk enligt bilaga III och vilka som omfattas av transparenskraven i artikel 50. Gå igenom leverantörsavtalen och säkerställ att ansvaret för efterlevnad är tydligt reglerat. Inför interna rutiner för mänsklig tillsyn, loggning och dokumentation, och utse en ansvarig för AI-frågor. Se också till att medarbetare har tillräcklig AI-kompetens, eftersom kravet på AI-kunnighet redan gäller. Ju tidigare arbetet påbörjas, desto mindre blir risken för brådska och misstag när tillsynen inleds.
Vanliga frågor
Gäller AI-förordningen mitt företag om vi bara använder AI, inte utvecklar den?
Ja. Förordningen omfattar både leverantörer och användare av AI-system. Den som använder ett högrisksystem har egna skyldigheter, exempelvis att följa instruktionerna och säkerställa mänsklig tillsyn.
Måste vi märka innehåll som skapats med AI?
Om ni publicerar AI-genererad text i frågor av allmänt intresse, eller genererar bild-, ljud- eller videoinnehåll som utgör en deepfake, ska innehållet märkas som artificiellt skapat enligt artikel 50. Chattbotar ska dessutom informera användaren om att den är en AI.
Vad händer om vi inte hinner bli klara till den 2 augusti 2026?
Från detta datum kan tillsynsmyndigheterna börja agera och utfärda sanktioner. Att kunna visa att ett strukturerat efterlevnadsarbete pågår är bättre än att inte ha påbörjat något alls, men målet bör vara att uppfylla kraven i tid.
Slutsats
Den 2 augusti 2026 markerar övergången från teori till praktik för EU:s AI-förordning. Kraven på högrisksystem, transparens och tillsyn börjar gälla, och sanktionerna kan bli betydande. Företag som redan nu kartlägger sina AI-system, klassificerar riskerna och inför rätt rutiner står betydligt starkare än de som väntar. På Lawgent hjälper vi företag att förstå AI-förordningen och omsätta den i konkreta åtgärder – från kartläggning och riskklassificering till avtal, dokumentation och intern styrning. Kontakta oss gärna om ni vill säkerställa att er AI-användning är redo inför den 2 augusti 2026.
