EU-lagar som påverkar svenska företag
Ungefär hälften av de regler som styr ett svenskt företags digitala verksamhet kommer numera från EU. Den här sidan går igenom de som faktiskt spelar roll – vad de kräver, när de börjar gälla och vem de träffar.
Första timmen bjuder vi på. Utan bindning.
Varför EU-rätten träffar er direkt
En förordning gäller som lag i Sverige från den dag den börjar tillämpas. Ingen svensk riksdag behöver rösta om den, och den kräver ingen svensk lagtext för att bli bindande. GDPR, AI-förordningen, DORA och Data Act är alla förordningar.
Ett direktiv fungerar annorlunda. Det binder Sverige att uppnå ett resultat, men riksdagen bestämmer hur. NIS2 är ett direktiv – därför heter det cybersäkerhetslagen när ni möter det i praktiken, och därför skiljer sig detaljerna åt mellan medlemsstaterna.
Skillnaden avgör var ni ska leta efter svaret. För en förordning står svaret i EU-texten. För ett direktiv står det i den svenska lagen, och EU-texten förklarar bara varför.
De regelverk som gäller nu
GDPR – dataskyddsförordningen
Gäller sedan 2018 och är fortfarande det regelverk som oftast utlöser tillsyn. Träffar varje företag som behandlar personuppgifter. Det som förändrats de senaste åren är inte reglerna utan tillämpningen: internationella överföringar, samtycke i digitala gränssnitt och rättslig grund för AI-träning är där frågorna ställs i dag.
AI-förordningen
Trädde i kraft i augusti 2024 och tillämpas i etapper. Förbjudna användningar och kravet på AI-kunnighet gäller sedan februari 2025. Skyldigheterna för AI-modeller för allmänna ändamål sedan augusti 2025. Kraven på högrisksystem gäller från december 2027, och för AI i redan reglerade produkter från augusti 2028 – de två sista sköts fram under 2026.
Träffar er om ni utvecklar, säljer eller använder AI-system i EU, oavsett var ni är etablerade.
NIS2 – cybersäkerhetslagen
Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026. Omfattar arton sektorer och företag från 50 anställda eller 10 miljoner euro i omsättning. Kräver riskhanteringsåtgärder, incidentrapportering inom 24 respektive 72 timmar, registrering hos rätt myndighet och ett dokumenterat ansvar hos ledningen.
Många företag som aldrig sett sig som kritisk infrastruktur omfattas – tillverkning, livsmedel, avfall och digitala tjänster ingår.
DORA – digital motståndskraft i finanssektorn
Tillämpas sedan januari 2025 på banker, försäkringsbolag, värdepappersbolag, betalinstitut, fondbolag och kryptotjänsteleverantörer. Kräver IKT-riskhantering, incidentrapportering, motståndskraftstester, ett register över informationstillgångar och specifika avtalsvillkor mot alla IKT-leverantörer.
För finansiella företag har DORA företräde framför cybersäkerhetslagen.
Data Act, DSA och DMA
Data Act reglerar åtkomst till data från uppkopplade produkter och byte av molnleverantör. DSA gäller digitala plattformar och innehållsmoderering. DMA riktar sig mot de största plattformsföretagen. Vilka av dessa som träffar er beror på affärsmodellen snarare än på storleken.
Hur de hänger ihop
Det som gör detta krävande är inte något enskilt regelverk. Det är att de överlappar.
| Om ni… | …gäller |
|---|---|
| Bygger AI som behandlar personuppgifter | AI-förordningen + GDPR |
| Är finansiellt företag med AI i drift | AI-förordningen + GDPR + DORA |
| Är tillverkare över tröskeln med uppkopplade produkter | Cybersäkerhetslagen + Data Act |
| Levererar IT-tjänster till finanssektorn | DORA via kundavtalen |
En konsekvensbedömning enligt GDPR, en riskbedömning enligt AI-förordningen och ett IKT-riskregister enligt DORA täcker till stor del samma mark. Gör dem en gång, kopplade till varandra. Gör dem i tre separata projekt och de kommer att säga emot varandra – vilket är sämre än att bara ha ett av dem.
Vad ni bör göra först
- Avgör vilka regelverk som faktiskt träffar er. De flesta företag omfattas av färre än de tror, och av något de inte räknat med.
- Skriv ner bedömningen. Även slutsatsen att ni inte omfattas är värd att dokumentera.
- Bygg en gemensam grund för riskbedömning, dokumentation och avtal i stället för fyra parallella spår.
- Se över avtalen. Det är den del som är svårast att rätta till i efterhand.
Vanliga frågor
Gäller EU-regler även för företag utanför EU?
Ofta ja. GDPR, AI-förordningen och DSA når verksamheter utanför EU som riktar sig mot eller påverkar personer i unionen. Etableringsorten är sällan avgörande.
Vad händer om en EU-förordning krockar med svensk lag?
EU-rätten har företräde. Svensk lag som strider mot en förordning ska inte tillämpas i den delen.
Hur vet vi när nya regler börjar gälla?
Ikraftträdande och tillämpning är olika saker, och de flesta större förordningar tillämpas i etapper. Skillnaden är ofta ett till tre år, och det är tillämpningsdatumet som räknas.
Behöver vi ett eget program för varje regelverk?
Nej, och det är oftast fel väg. Kraven överlappar tillräckligt mycket för att en gemensam struktur ska fungera bättre och kosta mindre.
Var ni börjar
Med en genomgång av vilka regelverk som faktiskt gäller er verksamhet. Det är ett samtal, det kostar ingenting, och det brukar korta listan snarare än förlänga den.
Vem ni arbetar med
Narmin Abbasova, Legal Advisor inom EU- och affärsjuridik, leder det här arbetet. Hon är specialiserad på EU:s affärsjuridik, gränsöverskridande frågor och kommersiella avtal, med erfarenhet från internationella byråer och advokatsamfund, och har en LL.M. i europeisk affärsjuridik från Lunds universitet. Lawgent är Sveriges första advokatbyrå med AI och EU-reglering som specialområde — möt teamet.