Omnibusen flyttade slutdatumet, inte startpunkten
Förordning (EU) 2026/1744, den digitala omnibusen om AI, trädde i kraft den 27 juli 2026 och sköt fram tillämpningsdatumet för fristående högrisksystem enligt bilaga III från den 2 augusti 2026 till den 2 december 2027. Många svenska bolag har tolkat det som andrum för sina interna AI-projekt. Så är det inte. Omnibusen ändrade artikel 2.2 och artikel 2.7 i förordning (EU) 2024/1689 och lade till en ny artikel 2.13, men lämnade undantagen för forskning och utveckling i artikel 2.6 och artikel 2.8 precis som de skrevs 2024.
Just dessa två bestämmelser åberopas ofta och läses sällan. Utgångspunkten i de flesta organisationer är att allt som kallas pilot eller proof of concept ligger utanför AI-förordningen fram till en formell lansering. Förordningen drar gränsen någon annanstans, och för interna projekt hamnar den tidigare än man tror.
Vad omfattar undantaget för vetenskaplig forskning?
Artikel 2.6 anger att förordningen inte tillämpas på AI-system eller AI-modeller, inbegripet deras utdata, som utvecklats och tagits i bruk specifikt och uteslutande för vetenskaplig forskning och utveckling. Varje led bär vikt.
En modell som byggs för att pröva en vetenskaplig hypotes omfattas. En modell som byggs för att ta reda på om en affärsidé fungerar gör det inte, eftersom syftet då är affärsidén. Skäl 25 bekräftar hur snävt undantaget är och klargör att det inte påverkar skyldigheten att följa förordningen när ett system släpps ut på marknaden eller tas i bruk som ett resultat av forskningen. I praktiken är detta en bestämmelse för lärosäten, inte för innovationsavdelningar.
När upphör ett AI-system att vara förkommersiellt?
Artikel 2.8 är den bestämmelse företag bör läsa. Den undantar all forsknings-, testnings- och utvecklingsverksamhet som avser AI-system eller AI-modeller innan de släpps ut på marknaden eller tas i bruk, och tillägger att sådan verksamhet ändå ska bedrivas i enlighet med tillämplig unionsrätt.
Undantaget varar alltså exakt så länge som systemet varken har släppts ut på marknaden eller tagits i bruk. Artikel 3.9 definierar utsläppande på marknaden som första tillhandahållandet av ett system på unionsmarknaden. Artikel 3.11 är den som överraskar: ibruktagande innebär leverans av ett AI-system för första användning direkt till användaren eller för eget bruk i unionen för dess avsedda ändamål. Eget bruk räknas. I samma stund som det interna verktyget lämnas över till den avdelning det byggdes för, och används till det arbete det byggdes för, har det tagits i bruk.
Varför testning under verkliga förhållanden hanteras separat
Sista meningen i artikel 2.8 anger att testning under verkliga förhållanden inte omfattas av undantaget. Det täpper till den uppenbara luckan. Ett bolag kan inte köra ett högrisksystem på verkliga personer, samla in verkliga utfall och kalla alltihop utveckling.
Testning under verkliga förhållanden har ett eget regelverk i artikel 60, som står öppet för leverantörer och potentiella leverantörer av högrisksystem enligt bilaga III eller som omfattas av lagstiftningen i avsnitt A i bilaga I. Artikel 60.4 f begränsar en testplan till sex månader, med förlängning en gång med ytterligare sex efter anmälan till marknadskontrollmyndigheten. Artikel 61 kräver informerat samtycke från försökspersoner, daterat och dokumenterat, med en kopia till personen.
Ett praktiskt exempel
Ett svenskt logistikbolag bygger ett internt verktyg som poängsätter sökande till lagerroller. Under fyra månader tränar och utvärderar ett datateam verktyget mot historiska ansökningar, utan att någon verklig kandidat påverkas. Under den perioden gäller artikel 2.8 och AI-förordningen tillämpas inte, medan GDPR gäller fullt ut eftersom historiska ansökningar är personuppgifter.
I månad fem börjar HR använda verktyget för att rangordna verkliga sökande. Det är leverans för eget bruk för avsett ändamål enligt artikel 3.11, och systemet har alltså tagits i bruk. Eftersom bolaget själv utvecklat verktyget och tagit det i bruk i eget namn är det leverantör enligt definitionen i artikel 3.3 och samtidigt användare. Kandidatgallring ligger i bilaga III punkt 4 a, så kraven i kapitel III slår till den 2 december 2027.
Vanliga misstag
Det första är att behandla ordet pilot som en juridisk kategori. Det är det inte. Förordningen frågar om systemet har släppts ut på marknaden eller tagits i bruk, och den frågan besvaras av hur verksamheten faktiskt bedrivs, inte av interna beteckningar eller budgetposter.
Det andra är att tro att undantaget även täcker dataskydd. Artikel 2.8 kräver uttryckligen att verksamheten bedrivs i enlighet med tillämplig unionsrätt, och att träna en modell på uppgifter om anställda, kunder eller sökande aktualiserar GDPR från första dagen. Det tredje är att blanda ihop artikel 2.6 med artikel 2.8, när kravet på uteslutande forskningssyfte i artikel 2.6 sällan uppfylls av ett kommersiellt bolag.
Rekommenderade åtgärder
Börja med att skriva ned, för varje AI-projekt, vilket datum systemet först användes eller kommer att användas för sitt avsedda ändamål av någon inom eller utanför organisationen. Det datumet, inte lanseringsdatumet i produktplanen, är när AI-förordningen börjar tillämpas, och det bör dokumenteras innan det passerar snarare än rekonstrueras i efterhand.
Klassificera därefter varje projekt mot bilaga III medan det fortfarande är genuint förkommersiellt, eftersom omklassificering efter driftsättning kostar betydligt mer. Håll utvecklingsverksamheten dokumenterad och avgränsad från skarp användning. Om ni avser att köra ett högrisksystem mot verkliga personer innan det släpps ut på marknaden, behandla det som testning under verkliga förhållanden enligt artikel 60 och planera för tidsgränserna och samtycket i artikel 61.
Vanliga frågor
Gäller AI-förordningen en modell vi bara använder internt?
Ja. Artikel 3.11 definierar ibruktagande så att det omfattar leverans för eget bruk i unionen för systemets avsedda ändamål. Intern driftsättning är driftsättning, och den avslutar det förkommersiella undantaget i artikel 2.8 även om ingenting har sålts eller tillhandahållits externt.
Utvidgade den digitala omnibusen forskningsundantaget?
Nej. Förordning (EU) 2026/1744 ändrade artikel 2.2 och artikel 2.7 och införde artikel 2.13, men lydelsen i artikel 2.6 och artikel 2.8 är oförändrad från 2024 års text. Det som flyttades var tillämpningsdatumen för högriskkraven, inte bestämmelserna om tillämpningsområde.
Får vi testa ett högrisksystem på verkliga användare före lansering?
Endast enligt artikel 60. Testning under verkliga förhållanden är uttryckligen undantagen från artikel 2.8, vilket innebär krav på testplan, registrering, högst sex månader med möjlighet till sex månaders förlängning, samt informerat samtycke från försökspersoner enligt artikel 61.
Slutsats
Den digitala omnibusen gav företagen tid på högriskkraven. Vad den inte gav var tid på tröskelfrågan om AI-förordningen över huvud taget är tillämplig, eftersom artikel 2 är oförändrad och artikel 3.11 alltjämt räknar intern användning som ibruktagande. De organisationer som står trygga i december 2027 är de som behandlar sina piloter som reglerade system i väntan.
På Lawgent hjälper vi företag att avgöra exakt när AI-förordningen börjar tillämpas på ett visst system, att dokumentera utvecklingsfasen korrekt och att lägga upp testning under verkliga förhållanden enligt artiklarna 60 och 61 så att den håller. Hör av dig om du vill att vi går igenom var era AI-projekt står i förhållande till artikel 2.
