Varför den 2 augusti 2026 är ett vägskäl för alla bolag som rör AI
Få regelverk har skapat lika mycket osäkerhet i styrelserum och ledningsgrupper som EU:s AI-förordning. Den är världens första heltäckande lagstiftning om artificiell intelligens, och den 2 augusti 2026 börjar merparten av dess skyldigheter att tillämpas. För företagsledare som hört talas om förordningen men skjutit upp frågan är det här tidpunkten då den går från abstrakt framtidsoro till konkret efterlevnadsansvar.
Det vanligaste misstaget är att tro att förordningen bara berör bolag som bygger egna AI-modeller. I praktiken träffar den lika hårt de många företag som köper in och använder AI i sin vardag, ofta inbyggt i verktyg de redan förlitar sig på för rekrytering, kreditbedömning, kundservice eller övervakning. Den här artikeln förklarar vad förordningen faktiskt kräver, vem som bär ansvaret och hur ni förbereder er innan tidsfristen passerar.
Vad förordningen kräver – och av vem
Förordningen vilar på en enkel men ofta missförstådd uppdelning av roller. Era skyldigheter avgörs av vilken roll ni har i förhållande till AI-systemet, och samma bolag kan ha olika roller för olika verktyg.
Leverantör eller användare – rollen avgör allt
En leverantör är den som utvecklar ett AI-system, eller låter utveckla det, och släpper ut det på marknaden under eget namn. En användare, eller deployer på förordningens språk, är den som använder ett AI-system i sin verksamhet. De allra flesta företag är användare, och det är en viktig insikt eftersom även användare bär egna skyldigheter: att använda systemet enligt instruktionerna, säkerställa mänsklig tillsyn, bevaka att indata är relevanta och att informera berörda när så krävs. Att ni köpt verktyget av någon annan flyttar inte bort hela ansvaret.
Riskklassningen som styr era krav
Förordningen graderar AI efter risk. Vissa användningar är förbjudna, till exempel social poängsättning och viss biometrisk kategorisering, och de reglerna gäller redan sedan februari 2025. Den tunga kategorin för de flesta bolag är högrisksystem, dit förordningen räknar bland annat AI för rekrytering och urval av personal, kreditbedömning av privatpersoner, vissa försäkringstillämpningar och AI i kritisk infrastruktur. Är ert system högrisk följer en lång rad krav. Är det inte det gäller i stället lättare transparensregler, exempelvis att tydligt informera om att en kund talar med en chatbot eller att innehåll är AI-genererat.
Var kraven blir tunga: högrisksystemen
För högrisksystem kräver förordningen ett dokumenterat system för riskhantering, styrning av de data modellen tränas och används på, teknisk dokumentation, automatisk loggning, meningsfull mänsklig tillsyn samt en nivå av träffsäkerhet, robusthet och cybersäkerhet som står i proportion till användningen. Innan ett högrisksystem släpps ut ska leverantören dessutom genomföra en bedömning av överensstämmelse, upprätta en EU-försäkran om överensstämmelse, CE-märka systemet och registrera det i en EU-databas.
Som användare av ett högrisksystem ärver ni inte leverantörens hela börda, men ni måste bland annat följa bruksanvisningen, utöva den mänskliga tillsyn systemet kräver och se till att de uppgifter ni matar in är lämpliga. Det betyder att due diligence av leverantören blir en juridisk nödvändighet, inte bara en inköpsfråga.
Praktiskt exempel: bolaget som var leverantör utan att veta om det
Tänk er ett medelstort SaaS-bolag som byggt en smart funktion ovanpå en inköpt språkmodell och säljer den vidare till sina kunder som en del av sin produkt. Ledningen ser sig som användare av någon annans AI och utgår från att efterlevnaden ligger hos den underliggande modelleverantören.
Problemet är att bolaget, genom att släppa ut funktionen under eget namn, i praktiken blivit leverantör i förordningens mening, med allt vad det innebär av dokumentation, riskhantering och eventuell bedömning av överensstämmelse om funktionen används för ett högriskändamål hos kunderna. När en kund i ett upphandlingsunderlag begär bevis på efterlevnad står bolaget utan dokumentation, utan att ha kartlagt sina skyldigheter och med en tidsfrist som redan passerat. En tidig rollanalys hade visat att de var leverantör och gett dem månader att bygga rätt underlag.
Vanliga misstag som företag gör
Det första misstaget är att tro att förordningen inte gäller för att bolaget inte bygger AI. Den som köper in och använder AI är användare med egna skyldigheter, och den som bakar in AI i en egen produkt kan oförvarandes bli leverantör.
Det andra misstaget är att behandla tidsfristen den 2 augusti 2026 som ett startdatum för att börja titta på frågan. Att kartlägga system, klassa risk och bygga dokumentation tar tid, och flera krav förutsätter åtgärder som måste vara på plats innan systemet används.
Det tredje misstaget är att förlita sig blint på leverantörens försäkringar. En leverantörs CE-märkning hjälper er, men den befriar er inte från era egna användarskyldigheter eller från ansvaret att kontrollera att verktyget passar för det ni faktiskt använder det till.
Juridiska risker
Sanktionerna är utformade för att märkas. Förbjudna AI-användningar kan medföra avgifter på upp till 35 miljoner euro eller sju procent av den globala årsomsättningen, beroende på vilket som är högst. Överträdelser av högriskkraven kan ge upp till 15 miljoner euro eller tre procent av omsättningen. För mindre bolag tillämpas i regel det lägre av belopp och procentsats, men nivåerna visar ändå att lagstiftaren menar allvar.
Utöver de formella avgifterna finns en kommersiell exponering. Allt fler kunder, investerare och samarbetspartner begär bevis på efterlevnad innan de ingår avtal, och ett bolag som inte kan visa att dess AI är ordentligt styrd riskerar att förlora affärer långt innan en tillsynsmyndighet hört av sig.
Rekommenderade åtgärder
Börja med en inventering av all AI som rör er verksamhet, inklusive funktioner som ligger inbäddade i system ni redan använder. För varje system, fastställ er roll och om användningen är högrisk. Det avgör vilka krav som gäller.
Bygg därefter den dokumentation och styrning som er roll kräver, ställ skarpa frågor till era leverantörer om deras efterlevnad och spara svaren, och se till att verklig mänsklig tillsyn finns där förordningen kräver den. Behandla detta som en löpande process, eftersom både era system och de exakta tidsfristerna fortsätter att utvecklas. Under 2026 har EU dessutom föreslagit justeringar av vissa tidsfrister för högrisksystem, vilket gör det extra viktigt att bekräfta de datum som gäller för just era system.
Vanliga frågor om EU:s AI-förordning
Gäller förordningen oss om vi bara använder inköpt AI?
Ja. Den som använder ett AI-system i sin verksamhet är användare och har egna skyldigheter, särskilt om systemet är högrisk. Att ni inte byggt modellen själva ändrar inte det.
Vad händer egentligen den 2 augusti 2026?
Då börjar merparten av förordningens skyldigheter att tillämpas, inklusive reglerna för högrisksystem. Vissa delar gäller redan tidigare, och vissa tidsfrister för högrisksystem har varit föremål för föreslagna ändringar, så de exakta datumen bör bekräftas för era system.
Hur vet vi om vårt AI-system är högrisk?
Förordningen pekar ut särskilda användningsområden som högrisk, bland annat rekrytering, kreditbedömning och vissa tillämpningar i försäkring och kritisk infrastruktur. En strukturerad genomgång av var och hur ni använder AI ger svaret.
Räcker det att vår leverantör är compliant?
Nej. Leverantörens efterlevnad är viktig men täcker bara leverantörens skyldigheter. Som användare ansvarar ni för hur verktyget används i ert sammanhang, för tillsyn och för att indata är lämpliga.
Vi är ett litet bolag – är sanktionerna verkligen relevanta för oss?
Ja. För mindre bolag tillämpas ofta det lägre av fast belopp och procentandel, men efterlevnad handlar i praktiken minst lika mycket om att inte förlora kunder och investerare som kräver bevis på att er AI är ordentligt styrd.
Sammanfattning
EU:s AI-förordning är inte enbart en fråga för techjättar som bygger egna modeller. Den träffar varje bolag som använder AI, och den 2 augusti 2026 går flertalet skyldigheter från teori till praktik. De företag som hamnar i svårigheter är sällan de som agerar i ond tro, utan de som aldrig kartlagt sin roll, sin riskklass och sina skyldigheter i tid. De som gör den analysen nu kan dra nytta av AI med självförtroende och möta kunders och investerares krav utan att tappa fart.
Lawgent hjälper bolag att kartlägga sin AI, fastställa om de är leverantör eller användare och bygga den dokumentation och styrning som förordningen kräver. Vi kombinerar erfaren affärsjuridisk rådgivning med AI-driven effektivitet, så att ni får tydlig och praktisk vägledning snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta var ert bolag står inför den 2 augusti 2026? Kontakta Lawgent för en genomgång av era AI-system och era skyldigheter.
