Därför berör det nya produktansvaret fler företag än många tror
Den 13 augusti 2026 beslutade regeringen om en lagrådsremiss med förslag till en ny produktansvarslag, byggd på betänkandet En ny produktansvarslag (SOU 2025:103). Lagen föreslås träda i kraft den 9 december 2026, samma dag som genomförandefristen i Europaparlamentets och rådets direktiv (EU) 2024/2853 löper ut, och produktansvarslagen (1992:18) upphör då att gälla.
Den vanliga missuppfattningen är att produktansvar är något som rör tillverkare av fysiska varor. Så har det i stort sett varit i Sverige sedan 1992. I december slutar det gälla. I den nya lagen är mjukvara en produkt i sig, vilket innebär att ett företag som aldrig har tillverkat något fysiskt kan bli strikt ansvarigt för vad dess kod orsakar.
Vad är det egentligen som ändras?
Själva grundkonstruktionen känns igen. Ansvaret är fortsatt strikt, vilket betyder att den skadelidande inte behöver visa vårdslöshet utan bara att produkten hade en säkerhetsbrist, att en skada har inträffat och att det finns ett orsakssamband. Det som ändras är nästan allt runt omkring: vad som är en produkt, vem som kan krävas, vilken skada som ersätts och hur svårt det är att driva ett anspråk.
Vilka produkter omfattas?
Artikel 4 i direktiv (EU) 2024/2853 räknar mjukvara som produkt, oavsett om den är inbyggd i en fysisk vara eller tillhandahålls fristående, och detsamma gäller digitala tillverkningsfiler och elektricitet. AI-system faller in eftersom de är programvara. En anknytande digital tjänst, till exempel den molntjänst som en uppkopplad enhet är beroende av, behandlas som en komponent i produkten snarare än som en egen produkt. Fri och öppen programvara som utvecklas eller tillhandahålls utanför näringsverksamhet är undantagen, men undantaget följer inte med när sådan kod byggs in i ett kommersiellt erbjudande.
En produkt kan dessutom bli bristfällig långt efter leverans. En utebliven eller otillräcklig säkerhetsuppdatering, eller en uppdatering som introducerar ett fel, kan innebära en säkerhetsbrist flera år efter försäljningen när frågan legat inom tillverkarens kontroll. Den som väsentligt ändrar en produkt som redan finns på marknaden utanför tillverkarens kontroll, och därefter tillhandahåller den på nytt, behandlas som tillverkare av den ändringen.
Vem kan hållas ansvarig?
Kretsen av ansvariga aktörer är betydligt vidare än i 1992 års lag. Vid sidan av tillverkaren och tillverkaren av en bristfällig komponent når den importörer, en auktoriserad representant etablerad i unionen och leveranstjänstleverantörer när ingen tillverkare, importör eller representant i unionen kan identifieras. En distributör som inte inom en månad från en begäran kan peka ut rätt aktör blir själv ansvarig, och en onlineplattform kan bli ansvarig när den presenterar en produkt så att en genomsnittskonsument uppfattar det som att plattformen tillhandahåller den. Är flera aktörer ansvariga för samma skada är ansvaret solidariskt.
Vilka skador ersätts?
Personskada omfattar uttryckligen medicinskt erkänd skada på den psykiska hälsan. När det gäller sakskada har tillämpningsområdet vidgats. 1992 års lag träffar egendom av ett slag som normalt är avsedd för privat bruk, medan den nya ordningen träffar all egendom utom den bristfälliga produkten själv och egendom som används uteslutande yrkesmässigt, vilket medvetet drar in föremål med blandad användning som en dator eller en bil. Nytt i det digitala kapitlet är ersättning för förstörelse eller förvanskning av data som inte används yrkesmässigt. Ren förmögenhetsskada, integritetskränkningar och diskriminering ligger fortfarande utanför och måste drivas på annan grund.
Två trösklar försvinner. Det nya direktivet för inte vidare någon motsvarighet till golvet på 500 euro i 1985 års regelverk, och den svenska remissen tar bort det avdrag på 3 500 kronor som 9 § i 1992 års lag tillämpar i dag. Anspråk som tidigare inte var värda att driva blir värda att driva, särskilt när grupptalan enligt direktiv (EU) 2020/1828 fortsätter att utvecklas.
Hur mycket svårare blir det att försvara sig?
Här är den praktiska förskjutningen som störst. En svensk domstol kommer att kunna förelägga en svarande att lägga fram relevant bevisning som den förfogar över, när käranden har lagt fram omständigheter och bevis som gör anspråket rimligt, med skydd för företagshemligheter. Något så brett har svensk civilprocess inte tidigare erbjudit i produktmål.
Direktivet inför också presumtioner som går att motbevisa. Säkerhetsbrist presumeras när svaranden inte följer ett föreläggande om bevisning, när produkten inte uppfyller tvingande säkerhetskrav som ska skydda mot just den risk som förverkligats, eller när skadan orsakats av en uppenbar felfunktion vid rimligen förutsebar användning. Både säkerhetsbrist och orsakssamband kan presumeras när käranden har alltför stora svårigheter att bevisa dem på grund av teknisk eller vetenskaplig komplexitet, förutsatt att anspråket är åtminstone sannolikt. För ett AI-system vars beslutsvägar inte utan vidare går att rekonstruera är det villkoret ofta uppfyllt.
Slutligen flyttas den yttersta gränsen. Anspråk faller normalt bort tio år efter att produkten släpptes ut på marknaden, men vid en personskada med lång latens sträcker sig fristen till tjugofem år.
Ett praktiskt exempel
Ett svenskt bolag säljer en smart värmestyrning till konsumenter, bestående av en enhet och en app med en maskininlärningsmodell som förutser behovet. Arton månader efter lansering läser en modelluppdatering av sensordata fel i ett mindre antal installationer, vilket orsakar vattenskador i flera hem och samtidigt raderar familjefoton i det kopplade molnkontot.
Enligt 1992 års lag hade mjukvaruleverantören med rimliga utsikter kunnat invända att ingen produkt orsakat skadan och att dataförlusten över huvud taget inte var ersättningsgill. Från den 9 december 2026 är appen en produkt, uppdateringen ligger inom tillverkarens kontroll, vattenskadan på privat egendom ersätts utan avdrag och de förstörda personliga filerna utgör en egen skadepost. Kan de skadelidande inte förklara varför modellen betedde sig som den gjorde talar komplexitetspresumtionen sannolikt till deras fördel och inte till bolagets.
Vanliga misstag
Det vanligaste felet är att behandla detta som en försäkringsfråga att titta på i höst. Ett ansvarsskydd tecknat på 1992 års förutsättningar svarar inte nödvändigtvis mot dataförlust eller psykisk skada, och förnyelsesamtal tar tid.
Ett andra fel är att utgå från att gamla regler styr befintliga produkter. Det gör de för produkter som släppts ut på marknaden före den 9 december 2026, men en väsentlig ändring eller en uppdatering efter det datumet kan dra in en äldre produkt i den nya ordningen.
Ett tredje är att invänta ett särskilt AI-ansvarsinstrument. Kommissionen drog tillbaka förslaget till AI-ansvarsdirektiv i februari 2025, vilket gör direktiv (EU) 2024/2853 till det ramverk som faktiskt gäller för skador orsakade av AI.
Ett fjärde är att dokumentera för en revisor snarare än för en domstol. Under ett föreläggande om bevisning är tunn eller utspridd dokumentation inte neutral, eftersom utebliven efterlevnad utlöser en presumtion om säkerhetsbrist.
Rekommenderade åtgärder
Börja med att kartlägga vilka av era erbjudanden som blir en produkt i december, inklusive fristående mjukvara, inbyggd kod, AI-komponenter och digitala tjänster som är integrerade i en fysisk vara, och notera för varje del om ni är tillverkare, komponenttillverkare, importör eller distributör. Kartlägg leverantörskedjan bakom varje produkt så att en begäran om identifiering faktiskt går att besvara inom en månad. Se över era rutiner för uppdatering och säkerhet, eftersom ett beslut att inte åtgärda en sårbarhet numera är ett ansvarsbeslut och inte enbart ett kommersiellt. Sätt teknisk dokumentation, riskbedömningar, testresultat och modelldokumentation i ett skick där de kan läggas fram för domstol med kort varsel, och förvara dem samlat i stället för i enskilda utvecklares mappar. Gå därefter igenom avtal med leverantörer, integratörer och plattformspartner vad gäller ansvarsfördelning, skadeslöshet och regress, och ta med hela bilden till försäkringsmäklaren i god tid före december.
Vanliga frågor
Gäller det här mjukvara som säljs till företag?
Regelverket skyddar fysiska personer, och egendom som används uteslutande yrkesmässigt är undantagen. Mjukvara som säljs till företag faller inte utanför, eftersom en brist i den kan skada en enskild eller egendom med blandad användning, men ett kundföretags kommersiella förluster ligger utanför.
Kan vi avtala bort ansvaret i våra villkor?
Nej. Ansvaret enligt direktivet kan inte begränsas eller uteslutas i förhållande till den skadelidande, vare sig genom avtal eller nationell rätt. Ansvarsfördelning mellan kommersiella parter är fortsatt möjlig och har betydelse för regressen, men den påverkar inte den skadelidandes ställning.
Ansvarar vi om bristen inte gick att upptäcka?
Utvecklingsinvändningen finns kvar, så en aktör kan undgå ansvar genom att visa att det vetenskapliga och tekniska kunskapsläget inte gjorde det möjligt att upptäcka bristen. Den har snävats in, eftersom kunskapsläget nu bedöms över hela den tid produkten stod under tillverkarens kontroll och inte enbart vid lanseringen.
Slutsats
Direktiv (EU) 2024/2853 flyttar mjukvaran från produktansvarets utkant till dess mitt, och den 9 december 2026 är dagen då det sker i Sverige lika väl som i övriga inre marknaden. Kombinationen av strikt ansvar, editionsföreläggande, presumtioner anpassade till svårgenomtränglig teknik och en svans på tjugofem år är en väsentligt annorlunda riskbild för alla som skriver eller levererar kod. På Lawgent hjälper vi företag att avgöra vilka av deras produkter som omfattas av den nya lagen, se över rutiner för uppdatering och dokumentation mot reglerna om bevisning och presumtioner samt fördela om risken genom avtal och försäkring. Hör av dig så går vi igenom vad det nya produktansvaret innebär för er verksamhet.
