Varför AI-förordningen berör fler företag än man tror
Många företagare utgår från att EU:s AI-förordning är ett problem för teknikjättar och ett fåtal specialiserade utvecklare. I praktiken når regelverket betydligt bredare. I samma stund som ett företag bygger, säljer, integrerar eller bara använder ett AI-system i sin verksamhet kan det omfattas. Ett rekryteringsverktyg som gallrar kandidater, en chatbot som hanterar kundärenden, en kreditbedömningsmodell eller en analystjänst som profilerar användare kan alla föra med sig skyldigheter, ofta utan att någon i organisationen har sett det som ett ”AI-projekt”.
AI-förordningen är världens första heltäckande horisontella lag om artificiell intelligens. Den reglerar inte en enskild bransch utan gäller tvärs över ekonomin, och den följer en logik som känns igen för alla som har arbetat med GDPR: ju mer ett AI-system kan påverka människor, desto tyngre blir kraven. Den här artikeln förklarar hur lagen är uppbyggd, vilka regler som gäller och när, samt hur ett företag kan förbereda sig på ett balanserat sätt i stället för att reagera på rubriker.
En riskbaserad lag, inte ett generellt förbud
Den bärande tanken i AI-förordningen är att AI-system sorteras efter hur stor risk de innebär, och att kraven trappas upp i takt med risken. De flesta vardagliga systemen bär en liten eller obefintlig regelbörda, medan ett mindre antal användningar med stor påverkan medför betydande skyldigheter. Att förstå vilken kategori ett system hamnar i är därför det första praktiska steget för varje företag.
Förbjudna användningar
Högst upp på skalan finns ett begränsat antal användningar som helt enkelt är förbjudna. Hit hör till exempel AI för social poängsättning av individer, vissa former av manipulativa system som utnyttjar sårbarheter och oriktad insamling av ansiktsbilder för att bygga igenkänningsdatabaser. För de flesta vanliga företag är förbuden inte en daglig fråga, men det är värt att försäkra sig om att inget verktyg som används korsar någon av dessa gränser.
Högrisksystem
Kärnan i regelverket är kategorin högrisk-AI. Det handlar om användningar där fel eller missbruk på ett påtagligt sätt kan påverka människors säkerhet eller grundläggande rättigheter. Lagen pekar ut områden som AI vid rekrytering och personalstyrning, tillgång till utbildning, kreditbedömningar, viss kritisk infrastruktur och driften av väsentliga samhällstjänster. Ett företag som utvecklar eller använder ett system inom något av dessa områden möter de mest krävande kraven: riskhantering, datastyrning, teknisk dokumentation, mänsklig tillsyn, transparens mot användare och en definierad nivå av träffsäkerhet och robusthet.
System med begränsad och minimal risk
Under högriskkategorin finns system med begränsad risk, där den huvudsakliga skyldigheten är transparens. En chatbot bör till exempel göra klart för personen att den interagerar med en maskin, och visst artificiellt skapat eller manipulerat innehåll ska märkas som sådant. Den stora resten av AI-tillämpningar, från skräppostfilter till rekommendationsfunktioner, hamnar i kategorin minimal risk och bär inga särskilda skyldigheter enligt förordningen, även om allmän lag fortsatt gäller.
Generell AI och användarens roll
Förordningen behandlar också generella AI-modeller, de stora grundmodeller som ligger bakom många välkända verktyg. Leverantörer av dessa modeller bär egna krav på transparens och dokumentation, och ytterligare skyldigheter knyts till de mest kapabla modellerna som kan medföra systemrisker. Reglerna om generell AI började tillämpas i augusti 2025.
För de flesta företag är den mer relevanta frågan inte om de bygger en sådan modell, utan hur de använder en. När en verksamhet integrerar en generell modell i sin egen produkt eller sitt arbetsflöde behöver den förstå vad den ansvarar för. Att använda en modell i ett högrisksammanhang kan dra in företaget i de skyldigheter som hör till den användningen, och att förlita sig på ett tredjepartsverktyg flyttar inte bort det ansvaret. Att känna sin roll i kedjan, som leverantör, användare eller distributör, är därför centralt för att bedöma sina skyldigheter.
När reglerna gäller: en tidslinje i rörelse
AI-förordningen trädde i kraft 2024 och fasas in över flera år i stället för på en gång. Förbuden mot oacceptabla användningar och de första kraven på AI-kompetens började gälla i början av 2025. Skyldigheterna för generella AI-modeller följde i augusti 2025. Merparten av de återstående reglerna, inklusive de flesta högriskkraven, var ursprungligen satta att gälla från augusti 2026.
Här är en reservation viktig, och den speglar hur snabbt området rör sig. Under 2026 nådde EU:s institutioner en preliminär överenskommelse, ofta kallad Digital Omnibus, som skulle skjuta upp flera av högrisktidsfristerna, särskilt genom att flytta tillämpningsdatumet för vissa högrisksystem bortom 2026 och in i slutet av 2027. När detta skrivs har förändringen ännu inte slutligt antagits och publicerats, så den är ett förslag snarare än gällande rätt. Den rimliga läsningen är att riktningen är tydlig men att de exakta datumen kan ändras. Ett företag bör förbereda sig utifrån att högriskskyldigheterna är på väg, samtidigt som man håller ett öga på de slutliga tidsfristerna när de bekräftas.
Praktiskt exempel: rekryteringsverktyget som ingen klassade
Tänk er ett växande företag som köper ett AI-baserat verktyg för att gallra jobbansökningar och rangordna kandidater. Verktyget är smidigt, sparar HR-teamet flera timmar i veckan och införs utan större diskussion. Vad ingen gjorde var att fråga var detta system hör hemma i AI-förordningens riskmodell.
AI som används för att bedöma kandidater i rekrytering är just den typ av tillämpning som lagen behandlar som högrisk, eftersom den kan forma människors tillgång till arbete. Den klassningen för med sig skyldigheter kring mänsklig tillsyn, transparens mot kandidater, dokumentation och kvaliteten på de data systemet bygger på. Den överlappar dessutom GDPR:s regler om automatiserat beslutsfattande och diskrimineringslagstiftningen om modellen ger snedvridna utfall. Företaget som bara slog på verktyget, utan att bedöma något av detta, har tyst tagit på sig en regelexponering som en kort genomgång före köp hade lyft fram och gjort hanterbar.
Vanliga misstag som företag gör
Det första misstaget är att anta att lagen inte gäller eftersom företaget ”inte är ett AI-företag”. Förordningen följer användningen, inte etiketten. En verksamhet som aldrig har skrivit en rad modellkod kan ändå vara användare av ett högrisksystem helt enkelt genom att använda ett.
Det andra misstaget är att behandla AI-förordningen som skild från allt annat. I verkligheten överlappar den kraftigt med GDPR, med branschregler och med arbets- och konsumenträtt. Ett AI-system som behandlar personuppgifter väcker frågor enligt båda regelverken samtidigt, och en efterlevnadsinsats som bara ser till det ena lämnar luckor.
Det tredje misstaget är att vänta på den slutliga tidsfristen innan man gör något. Att bygga dokumentation, kartlägga vilka system som används och klargöra ansvar tar tid. Företag som börjar när tidsfristen redan är inne brukar upptäcka att grundarbetet borde ha inletts långt tidigare.
Juridiska risker
AI-förordningen backas upp av ett sanktionssystem som är jämförbart i ambition med GDPR. De allvarligaste överträdelserna, som att använda en förbjuden metod, kan leda till administrativa sanktionsavgifter på den högsta nivån, beräknade som ett betydande fast tak eller en andel av den globala årsomsättningen, beroende på vilket som är högst. Brott mot högriskskyldigheterna bär lägre men ändå kännbara maxbelopp.
Liksom vid dataskydd är den ekonomiska sanktionen inte den enda exponeringen. En tillsynsmyndighet kan kräva att ett system som inte uppfyller kraven dras tillbaka eller rättas till, vilket kan innebära att ett verktyg som verksamheten är beroende av måste bytas ut. Det finns en anseenderisk när ett AI-system visas behandla människor orättvist, och en affärsrisk, eftersom större kunder och offentliga köpare allt oftare ber leverantörer att visa ansvarsfull och dokumenterad användning av AI.
Rekommenderade åtgärder
Börja med att upprätta en inventering av de AI-system som er organisation bygger, köper eller använder, inklusive funktioner inbäddade i större programvara ni redan förlitar er på. Utan den kartan är det omöjligt att veta vilka skyldigheter som gäller. Identifiera för varje system er roll, om ni är leverantör, användare eller något däremellan, och placera systemet i rätt riskkategori.
För allt som hamnar i högriskkategorin, börja bygga stödstrukturen tidigt: arrangemang för mänsklig tillsyn, dokumentation, kontroller av datakvalitet och transparens mot de människor som berörs. Behandla AI och dataskydd tillsammans i stället för i skilda stuprör, eftersom samma system oftast väcker båda uppsättningarna frågor. Investera i grundläggande AI-kompetens i de team som använder verktygen, och dokumentera de bedömningar ni gör. Gör slutligen översynen återkommande och bevaka de rörliga tidsfristerna, eftersom både er egen användning av AI och rättsläget kommer att fortsätta förändras.
Vanliga frågor om EU:s AI-förordning
Gäller AI-förordningen oss om vi bara använder AI-verktyg och inte bygger dem?
Mycket möjligt, ja. Förordningen lägger skyldigheter på användare, inte bara utvecklare. Om ni använder ett AI-system i ett högrisksammanhang, som rekrytering eller kreditbedömning, kan krav på tillsyn, transparens och dokumentation gälla er trots att ni inte byggt verktyget.
Hur vet vi om ett system är högrisk?
Högriskanvändningar definieras av tillämpningsområdet, som anställning, utbildning, kreditvärdighet, väsentliga tjänster och vissa säkerhetskritiska produkter. Det praktiska steget är att jämföra varje system ni använder mot dessa områden. Vid tveksamhet är det klokt att bedöma noga snarare än att anta att den lättare kategorin gäller.
När börjar reglerna faktiskt gälla?
Förordningen fasas in. Förbud och regler om AI-kompetens gällde från början av 2025 och regler för generell AI från augusti 2025. De flesta högriskskyldigheter var satta till augusti 2026, även om en preliminär överenskommelse från 2026 kan skjuta flera av dessa datum till 2027. Eftersom detta fortfarande färdigställs bör ni förbereda er för skyldigheterna samtidigt som ni bekräftar de exakta tidsfristerna när de fastställs.
Hur förhåller sig AI-förordningen till GDPR?
Det är två skilda lagar som ofta gäller samtidigt. Ett AI-system som behandlar personuppgifter måste uppfylla GDPR:s krav på rättslig grund, transparens och automatiserat beslutsfattande lika väl som AI-förordningens krav. Det mest effektiva är att hantera båda tillsammans snarare än som orelaterade projekt.
Sammanfattning
EU:s AI-förordning är inte en nischfråga för utvecklare utan ett ramverk som berör nästan varje företag som använder modern programvara. Utmaningen är sällan ond vilja; det är att AI har letat sig in i vardagliga verktyg så tyst att få organisationer har stannat upp för att fråga vilka system de använder, vad systemen gör och vem som ansvarar för dem. Företag som kartlägger sina system, klassar dem ärligt och dokumenterar sina resonemang står väl rustade, och slipper de obehagliga överraskningarna när en kund, en myndighet eller en tidsfrist börjar ställa frågor.
Lawgent hjälper företag att förstå hur AI-förordningen träffar just deras verktyg, klassa sina system rätt och bygga en efterlevnadsstruktur som håller även när tidsfrister och detaljer fortsätter att röra sig. Vi kombinerar erfaren affärsjuridisk rådgivning med AI-driven effektivitet, så att ni når trygg och dokumenterad efterlevnad snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta var er AI-användning står enligt de nya reglerna? Kontakta Lawgent för en genomgång av era AI-system.
