Uppdaterad den 24 augusti 2026: artikeln publicerades innan Digital Omnibus on AI, förordning (EU) 2026/1744, trädde i kraft den 27 juli 2026. Omnibusförordningen sköt upp högriskkraven till den 2 december 2027 för fristående system enligt bilaga III och till den 2 augusti 2028 för system enligt bilaga I. Transparenskraven i artikel 50 och tillsynsbefogenheterna som beskrivs nedan gällde fortfarande från den 2 augusti 2026. Läs mer i AI-förordningens nya tidsplan.
Varför den 2 augusti 2026 är ett vägskäl för svenska företag
Den 2 augusti 2026 börjar merparten av EU:s AI-förordning (AI Act) att tillämpas fullt ut. Det är från detta datum som kraven på transparens och skärpt tillsyn träder i kraft – och det är då tillsynsmyndigheterna kan börja utfärda sanktioner. För många företag är detta första gången AI-regleringen får konkreta konsekvenser i den dagliga verksamheten.
Om ni utvecklar, säljer eller använder AI-system som påverkar människor, till exempel vid rekrytering, kreditbedömning eller kundtjänst, finns det goda skäl att agera nu. Den här artikeln förklarar vad som börjar gälla, vad det innebär i praktiken och hur ni förbereder er i tid.
Vad är EU:s AI-förordning?
AI-förordningen är världens första heltäckande lagstiftning för artificiell intelligens. Den trädde i kraft den 1 augusti 2024 och tillämpas stegvis. Förbudet mot vissa AI-användningar började gälla redan den 2 februari 2025, och skyldigheterna för leverantörer av allmänna AI-modeller (så kallade GPAI-modeller) från den 2 augusti 2025.
Förordningen bygger på en riskbaserad modell. Ju större risk ett AI-system innebär för människors hälsa, säkerhet eller grundläggande rättigheter, desto strängare krav. Systemen delas in i fyra nivåer: oacceptabel risk (förbjudna), hög risk, begränsad risk (transparenskrav) och minimal risk.
Detta börjar gälla den 2 augusti 2026
Högrisksystem enligt bilaga III (nu uppskjutna till 2027)
De fullständiga kraven för högrisksystem som listas i bilaga III skulle ursprungligen gälla från den 2 augusti 2026. Efter omnibusförordningen gäller de i stället från den 2 december 2027. Det handlar bland annat om AI som används inom biometri, kritisk infrastruktur, utbildning, anställning och personalhantering, tillgång till väsentliga privata och offentliga tjänster (till exempel kreditbedömning och riskbedömning inom försäkring), brottsbekämpning, migration samt rättsskipning.
Leverantörer av sådana system måste bland annat genomföra en bedömning av överensstämmelse, upprätta ett system för riskhantering, säkerställa god datakvalitet, föra loggar, ta fram teknisk dokumentation, möjliggöra mänsklig tillsyn och registrera systemet i EU:s databas innan det släpps ut på marknaden. Även den som använder ett högrisksystem (deployer) får skyldigheter, till exempel att använda systemet enligt instruktionerna och säkerställa mänsklig övervakning.
Ett undantag gäller högrisksystem som är inbyggda i redan reglerade produkter, till exempel medicintekniska produkter eller maskiner. För dessa gäller en förlängd övergångsperiod fram till den 2 augusti 2028.
Transparenskrav enligt artikel 50
Artikel 50 omfattar ett bredare spektrum av system, inte bara högrisksystem, och innebär fyra centrala skyldigheter. För det första ska den som interagerar med en chattbot eller liknande AI-system informeras om att motparten är en AI. För det andra ska innehåll som genererats eller manipulerats av AI – inklusive så kallade deepfakes av bild, ljud eller video – märkas som artificiellt skapat. För det tredje ska AI-genererad text som publiceras för att informera allmänheten om frågor av allmänt intresse märkas som sådan. För det fjärde ska personer informeras när system för känsloigenkänning eller biometrisk kategorisering används.
Leverantörer ska dessutom se till att AI-genererat innehåll är märkt i ett maskinläsbart format så att det går att upptäcka att det skapats artificiellt. Kommissionen publicerade i juni 2026 en frivillig uppförandekod som stöd för hur märkningskraven kan uppfyllas.
Skärpt tillsyn av allmänna AI-modeller
Förpliktelserna för leverantörer av GPAI-modeller, såsom stora språkmodeller, har gällt sedan den 2 augusti 2025. Från och med den 2 augusti 2026 får dock EU:s AI-byrå fulla tillsynsbefogenheter, vilket innebär att den kan begära information, kräva åtgärder och i sista hand utfärda sanktioner mot leverantörer som inte lever upp till kraven.
Vilka sanktioner riskerar företag?
Sanktionerna i AI-förordningen är betydande och beräknas som det högsta av ett fast belopp eller en andel av den globala årsomsättningen. För förbjuden AI-användning kan avgiften uppgå till 35 miljoner euro eller 7 procent av den globala omsättningen. För överträdelser av andra skyldigheter, exempelvis kraven på högrisksystem eller transparens, kan avgiften bli upp till 15 miljoner euro eller 3 procent. Att lämna felaktig eller vilseledande information till myndigheter kan kosta upp till 7,5 miljoner euro eller 1 procent.
Vad gäller i Sverige?
Varje medlemsstat ska utse nationella myndigheter som ansvarar för tillsynen. I Sverige har regeringen föreslagit att Post- och telestyrelsen (PTS) ska vara den primära marknadskontrollmyndigheten och den samordnande kontaktpunkten, med ett antal ytterligare sektorsmyndigheter som ansvarar för sina respektive områden. Integritetsskyddsmyndigheten (IMY) har i sitt remissvar förespråkat att myndigheten ensam bör ansvara för tillsynen av förbjudna AI-system enligt artikel 5. Den föreslagna svenska kompletterande lagstiftningen är avsedd att träda i kraft i god tid före den 2 augusti 2026.
Eftersom detaljerna i den svenska regleringen fortfarande behandlas bör företag följa utvecklingen och inte utgå från att ansvarsfördelningen är slutgiltig.
Praktiskt exempel: ett AI-verktyg inom rekrytering
Anta att ett svenskt bolag använder ett AI-verktyg som rangordnar jobbansökningar och föreslår vilka kandidater som bör kallas till intervju. AI-system som används för rekrytering och urval faller under bilaga III och räknas därmed som högrisk. Från den 2 augusti 2026 innebär det att bolaget måste säkerställa att verktyget uppfyller kraven: att det finns dokumentation och mänsklig tillsyn, att beslut inte fattas helt automatiserat utan meningsfull mänsklig kontroll, och att kandidater informeras på rätt sätt. Använder bolaget dessutom en chatbot i ansökningsflödet ska sökanden få veta att de talar med en AI. Att bara lita på att leverantören ”sköter compliance” räcker inte – även den som använder systemet har egna skyldigheter.
Vanliga misstag företag gör
Ett vanligt misstag är att tro att AI-förordningen endast gäller teknikföretag eller de som bygger AI. I själva verket omfattas även företag som enbart använder AI-system i sin verksamhet. Ett annat misstag är bristen på en samlad bild över vilka AI-system som faktiskt används – många organisationer upptäcker sent att verktyg för HR, marknadsföring eller kundtjänst innehåller AI som kan vara reglerad. Slutligen underskattar många den tid det tar att ta fram dokumentation, rutiner för mänsklig tillsyn och avtal med leverantörer.
Rekommenderade åtgärder inför den 2 augusti 2026
Påbörja med att kartlägga samtliga AI-system inom verksamheten och klassificera dem efter risknivå. Identifiera vilka som kan vara högrisk enligt bilaga III och vilka som omfattas av transparenskraven i artikel 50. Granska leverantörsavtal och säkerställ att ansvaret för efterlevnad är tydligt reglerat. Inför interna rutiner för mänsklig tillsyn, loggning och dokumentation, samt utse en ansvarig för AI-frågor. Se även till att medarbetare har tillräcklig AI-kompetens, då kravet på AI-kunnighet redan gäller. Ju tidigare arbetet påbörjas, desto mindre blir risken för stress och misstag när tillsynsmyndigheten inleder sitt arbete.
Vanliga frågor
AI-förordningen gäller även företag som enbart använder AI-system, inte bara de som utvecklar dem. Användningen av AI-system kan innebära ansvar, särskilt om det rör sig om system med hög risk.
Ja. Förordningen omfattar både leverantörer och användare av AI-system. Den som använder ett högrisksystem har egna skyldigheter, exempelvis att följa instruktionerna och säkerställa mänsklig tillsyn.
Måste vi märka AI-genererat innehåll?
Om ni publicerar AI-genererad text i frågor av allmänt intresse, eller genererar bild-, ljud- eller videoinnehåll som utgör en deepfake, ska innehållet märkas som artificiellt skapat enligt artikel 50. Chattbotar ska dessutom informera användaren om att den är en AI.
Vad händer om vi inte hinner bli klara till den 2 augusti 2026?
Från detta datum kan tillsynsmyndigheterna börja agera och utfärda sanktioner. Att kunna visa att ett strukturerat efterlevnadsarbete pågår är bättre än att inte ha påbörjat något alls, men målet bör vara att uppfylla kraven i tid.
Slutsats
Den 2 augusti 2026 markerar övergången från teori till praktik för EU:s AI-förordning. Kraven på högrisksystem, transparens och tillsyn börjar gälla, och sanktionerna kan bli betydande. Företag som redan nu kartlägger sina AI-system, klassificerar riskerna och inför rätt rutiner står betydligt starkare än de som väntar. På Lawgent hjälper vi företag att förstå AI-förordningen och omsätta den i konkreta åtgärder – från kartläggning och riskklassificering till avtal, dokumentation och intern styrning. Kontakta oss gärna om ni vill säkerställa att er AI-användning är redo inför de nya tidsfristerna.
