Varför det nya produktansvarsdirektivet är aktuellt nu
EU har gjort om sina 40 år gamla regler om produktansvar. Det reviderade produktansvarsdirektivet (direktiv (EU) 2024/2853) ersätter 1985 års regelverk och för in mjukvara, appar och artificiell intelligens under det strikta ansvaret för defekta produkter. Direktivet trädde i kraft den 8 december 2024, och medlemsstaterna ska ha införlivat det i nationell rätt senast den 9 december 2026. Från det datumet gäller reglerna för produkter som släpps ut på marknaden eller tas i bruk efter tidsfristen.
Om ditt företag utvecklar, tillverkar, importerar, distribuerar eller säljer produkter – och särskilt om produkterna innehåller mjukvara, uppkoppling eller AI – kommer reglerna att förändra er ansvarsexponering. Den här artikeln förklarar vad direktivet ändrar, vem som berörs, vilken tidsplan ni behöver ta höjd för och vilka praktiska steg ni bör ta redan nu.
Vad är produktansvarsdirektivet?
Produktansvar är en form av strikt ansvar: en skadelidande kan kräva ersättning för en defekt produkt utan att behöva bevisa att tillverkaren varit vårdslös. Det räcker att visa defekten, skadan och orsakssambandet mellan dem. Det ursprungliga direktivet från 1985 skrevs för en värld av fysiska varor och passar inte längre digitala produkter, uppkopplade enheter och mjukvara som förändras efter försäljning. Det reviderade direktivet moderniserar regelverket för den digitala och cirkulära ekonomin, men behåller grundprincipen om ansvar utan skuld.
Mjukvara och AI är nu “produkter”
Den viktigaste förändringen är den utvidgade definitionen av en produkt. Fristående mjukvara, inklusive AI-system och maskininlärningsmodeller, betraktas nu som en produkt i ansvarshänseende – oavsett om den levereras på ett fysiskt medium, laddas ned eller nås på annat sätt. Definitionen omfattar även digitala tillverkningsfiler, råmaterial och de komponenter som ingår i en produkt. Kort sagt kan en defekt i er kod nu utlösa strikt produktansvar på samma sätt som en defekt i en fysisk del.
Det finns ett viktigt undantag: fri och öppen källkod som utvecklas eller tillhandahålls utanför kommersiell verksamhet faller utanför direktivet. Så snart öppen källkod tillhandahålls kommersiellt kan den dock omfattas igen.
De viktigaste förändringarna
Ansvar för uppdateringar, cybersäkerhet och självlärande produkter
En produkt kan vara defekt inte bara när den släpps ut på marknaden, utan också på grund av vad som händer därefter. Tillverkare kan hållas ansvariga för skada som orsakas av uteblivna eller otillräckliga säkerhetsuppdateringar, av svag cybersäkerhet eller av hur produkter beter sig när de fortsätter att lära sig eller förändras efter försäljning – i den mån detta ligger inom tillverkarens kontroll. Säkerheten bedöms under produktens hela livslängd, inte bara vid försäljningstillfället.
Nya typer av ersättningsgill skada
Kategorierna av ersättningsgill skada är bredare än tidigare. Vid sidan av dödsfall och personskada kan skadelidande nu få ersättning för medicinskt erkänd skada på den psykiska hälsan, även utan fysisk skada, och för förstörelse eller korruption av data som inte används yrkesmässigt. För datadrivna och uppkopplade produkter vidgar detta den möjliga exponeringen väsentligt. Den tidigare beloppsgränsen för sakskada har också tagits bort.
Lättare bevisbörda för den skadelidande
Direktivet tar hänsyn till hur svårt det kan vara att förstå komplex mjukvara eller AI och lättar därför på den skadelidandes bevisbörda. Domstolar kan förelägga svaranden att lämna ut relevant bevisning, och en defekt eller ett orsakssamband kan presumeras när det skulle vara orimligt svårt att bevisa på grund av teknisk eller vetenskaplig komplexitet – förutsatt att den skadelidande visar att en defekt eller ett orsakssamband åtminstone är sannolikt. Företag bör räkna med att fler krav överlever de tidiga skedena av en tvist.
Fler parter kan hållas ansvariga
Ansvaret sträcker sig nu längre genom leveranskedjan. Utöver tillverkaren kan ansvariga parter vara tillverkaren av en defekt komponent, importörer, tillverkarens auktoriserade representant, leveranstjänstleverantörer och – under vissa förutsättningar – distributörer och onlinemarknadsplatser. Den som väsentligt ändrar en produkt utanför den ursprungliga tillverkarens kontroll kan själv behandlas som tillverkare av den produkten.
Tidsplanen ni behöver ta höjd för
Direktivet trädde i kraft den 8 december 2024. Medlemsstaterna, inklusive Sverige, ska anta nationell införlivandelagstiftning senast den 9 december 2026. De nya reglerna gäller för produkter som släpps ut på marknaden eller tas i bruk efter den 9 december 2026, medan produkter som redan finns på marknaden dessförinnan omfattas av de gamla reglerna. Det skapar en övergångsperiod då de två regelverken löper parallellt, så 2026 är året att se över avtal, försäkringar och dokumentation.
Praktiskt exempel
Tänk dig ett svenskt företag som säljer en uppkopplad övervakningskamera tillsammans med en AI-driven mobilapp. Enligt det nya direktivet är både hårdvaran och mjukvaran produkter. Om en utebliven säkerhetsuppdatering gör kameran öppen för inträng, eller om en brist i AI:n får den att fallera på ett sätt som skadar användarens lagrade data, kan företaget möta ett strikt ansvarskrav – och kunden kan ha rätt att luta sig mot en presumtion om defekt om tekniken är för komplex att reda ut. Om en återförsäljare väsentligt konfigurerar om appen och säljer den på nya villkor kan återförsäljaren själv behandlas som tillverkare. Det företag som kartlägger dessa risker och skärper sina rutiner för uppdateringar och dokumentation under 2026 står betydligt bättre skyddat.
Vanliga misstag företag gör
Det första misstaget är att anta att produktansvar bara handlar om fysiska varor; fristående mjukvara och AI-system omfattas nu uttryckligen. Det andra är att se ansvaret som fastlåst vid försäljningstillfället, när defekter kan uppstå genom senare uppdateringar, cybersäkerhetsbrister eller självlärande beteende. Det tredje är att underskatta de nya reglerna om utlämnande av bevis och presumtioner, som gör det lättare för skadelidande att driva ett krav. Det fjärde är att förbise vilka andra i kedjan som är exponerade – importörer, auktoriserade representanter, leveranstjänstleverantörer och i vissa fall distributörer och marknadsplatser – och att inte hantera det i avtal och försäkringar.
Rekommenderade åtgärder
Börja med att kartlägga vilka av era produkter, komponenter och mjukvaror som faller under den nya definitionen, och hur länge ni behåller kontroll över dem genom uppdateringar och uppkoppling. Se över och stärk era rutiner för säkerhetsuppdateringar, cybersäkerhet och sårbarhetshantering, eftersom dessa nu direkt påverkar ansvaret. Förbättra er tekniska dokumentation och er spårbarhet så att ni kan bemöta förelägganden om utlämnande av bevis och försvara er mot presumtioner. Se över avtalen genom hela leveranskedjan för att fördela de nya riskerna tydligt, och kontrollera att er produktansvarsförsäkring täcker exponering kopplad till mjukvara, AI och data. Bevaka slutligen den svenska införlivandelagstiftningen och anpassa ert efterlevnadsarbete före den 9 december 2026.
Vanliga frågor
När börjar det nya produktansvarsdirektivet gälla?
Det trädde i kraft den 8 december 2024, och medlemsstaterna ska ha införlivat det senast den 9 december 2026. Det gäller för produkter som släpps ut på marknaden eller tas i bruk efter det datumet; produkter som släppts ut tidigare omfattas av de tidigare reglerna.
Omfattar direktivet verkligen mjukvara och AI?
Ja. Fristående mjukvara, inklusive AI-system, är nu en produkt i ansvarshänseende, liksom komponenter, digitala tillverkningsfiler och råmaterial. Fri och öppen källkod som tillhandahålls utanför kommersiell verksamhet är undantagen.
Måste den skadelidande fortfarande bevisa en defekt?
I princip ja, men direktivet gör det lättare. Domstolar kan förelägga om utlämnande av bevisning, och defekt eller orsakssamband kan presumeras när bevisning skulle vara orimligt svår på grund av teknisk eller vetenskaplig komplexitet och en defekt eller ett orsakssamband åtminstone är sannolikt.
Slutsats
Det reviderade produktansvarsdirektivet placerar mjukvara, AI och uppkopplade produkter mitt i Europas strikta ansvarsregim, vidgar vilka skador som är ersättningsgilla och gör det lättare att rikta krav mot fler parter i leveranskedjan. Med nationellt införlivande senast den 9 december 2026 står de företag väl rustade som redan nu kartlägger sin exponering, skärper sina rutiner för uppdateringar och dokumentation och ser över sina avtal och försäkringar – medan de som väntar riskerar att överraskas av ett bredare och mer skadelidandevänligt regelverk.
Lawgent hjälper företag att navigera produktansvar, teknik och AI-reglering med hjälp av juridik och AI. Vill ni förstå hur det nya produktansvarsdirektivet påverkar just era produkter och hur ni förbereder er i praktiken? Kontakta Lawgent så hjälper vi er att komma igång.
