AI Act (EU:s AI-förordning): vad måste ett företag som implementerar AI göra (tidsplan till 2027, skyldigheter, AI-kompetenser)

EU:s AI‑förordning (AI Act, förordning 2024/1689) gäller sedan augusti 2024 och tillämpas stegvis. I juli 2026 antog EU den s.k. Digital Omnibus (förordning 2026/1744), som sköt upp vissa tidsfrister, framför allt för system med hög risk. För ett företag som inför AI i sina processer innebär det två saker: vissa skyldigheter gäller redan, och för andra finns mer tid än tidigare guider antog.

Den här texten bringar ordning i vad som gäller för ett företag som inför AI (i förordningens terminologi: ”användare”), vilka datum som gäller nu och var man börjar. Den är inte juridisk rådgivning; vid system med hög risk bör klassificeringen diskuteras med jurist.

Viktigaste slutsatserna

• Förbud och AI‑kompetens gäller från 2 februari 2025. Varje företag som använder AI måste säkerställa att personalen har en lämplig nivå av AI‑kompetens (artikel 4).
• Transparens gentemot användare gäller från 2 augusti 2026. Chatbots, innehållsgeneratorer och deepfakes måste märkas.
• System med hög risk: tidsfrister uppskjutna. Bilaga III (rekrytering, kreditvärdering, utbildning, biometrik) från 2 december 2027; bilaga I (AI i reglerade produkter, t.ex. medicinteknik) från 2 augusti 2028.
• De flesta affärsinföranden är minimal risk. Dokumentassistent, kunskapssökning eller efterfrågeprognoser är inte system med hög risk, men omfattas ändå av AI‑kompetens och transparens.
• Böter upp till 35 miljoner euro eller 7 % av omsättningen för förbjudna metoder; lägre nivåer för SMF och mindre bolag med medelstor kapitalisering.

Vad är AI‑förordningen och vem omfattas

AI‑förordningen inför enhetliga regler för AI‑system i hela EU. Skyldigheterna beror på två saker: företagets roll i värdekedjan och systemets risknivå.

Roller i förordningen:

• Leverantör (provider): utvecklar ett AI‑system och släpper det på marknaden under eget namn eller varumärke.
• Användare (deployer): använder AI‑systemet i yrkesmässig verksamhet. Det gäller de flesta företag som inför AI.
• Importör och distributör: för in system från länder utanför EU på EU‑marknaden eller gör dem tillgängliga vidare.

Förordningen gäller extraterritoriellt: den omfattar även företag utanför EU om deras AI‑systems resultat används inom unionen.

En viktig regel i artikel 25: ett företag som inför någon annans system med hög risk under eget varumärke, väsentligt modifierar det eller ändrar dess avsedda användning till en tillämpning med hög risk blir leverantör och tar över dess skyldigheter.

Fyra risknivåer

Samma teknik kan hamna i olika kategorier beroende på användning. En språkmodell som sammanfattar dokument internt är minimal risk. Samma modell som används för förurval av kandidater i rekrytering är ett system med hög risk.

Tidsplan: vad gäller redan och vad är uppskjutet

Läget efter Digital Omnibus (förordning 2026/1744, i kraft från 27 juli 2026):

• 1 augusti 2024: AI‑förordningen trädde i kraft.
• 2 februari 2025: förbud (artikel 5) och AI‑kompetens (artikel 4). Gäller.
• 2 augusti 2025: skyldigheter för leverantörer av AI‑system för allmänt ändamål (GPAI), tillsynsstruktur, sanktionsbestämmelser. Gäller.
• 2 augusti 2026: transparenskrav (artikel 50), regulatoriska sandlådor i varje medlemsstat, allmän tillämpning av förordningen utanför hög‑risk‑system. Gäller.
• 2 december 2026: slut på övergångsperioden för märkning av syntetiskt innehåll i system som satts på marknaden före 2.8.2026; nya förbud enligt artikel 5.
• 2 december 2027: system med hög risk enligt bilaga III (tidigare: 2.8.2026). System som satts på marknaden före detta datum omfattas först efter väsentlig ändring.
• 2 augusti 2028: system med hög risk enligt bilaga I, dvs. AI i produkter som omfattas av annan EU‑lagstiftning, t.ex. medicinteknik, maskiner (tidigare: 2.8.2027).
• 2 augusti 2030: system med hög risk som används av offentliga organ.

De senarelagda tidsfristerna ändrar inte omfattningen av skyldigheterna. För ett system med hög risk tar införandet av dokumentation, loggning och mänsklig tillsyn månader, så år 2027 är närmare än det verkar.

Skyldigheter för företag som inför AI (användare)

För alla AI‑system, oavsett risk

AI‑kompetens (artikel 4). Företaget måste säkerställa att personer som arbetar med AI‑system har tillräcklig kunskap om hur de fungerar, deras begränsningar och risker, i förhållande till kontexten och de grupper som påverkas. Förordningen anger inte formen; i praktiken handlar det om utbildning, interna policyer och instruktioner.

Transparens (artikel 50). Om anställda eller kunder pratar med en chatbot måste de informeras om det, om det inte är uppenbart. AI‑genererat innehåll som publiceras i frågor av allmänt intresse ska märkas som genererat. Deepfakes ska märkas. System för känsloigenkänning och biometrisk kategorisering kräver att berörda personer informeras.

För system med hög risk (artiklarna 26 och 27)

• Användning enligt leverantörens instruktion. Leverantören ska tillhandahålla instruktion; användaren ska följa den.
• Mänsklig tillsyn. Företaget utser personer med kompetens, utbildning och mandat att utöva tillsyn över systemet, inklusive att åsidosätta eller reversera dess beslut.
• Indata. I den utsträckning företaget kontrollerar indata ska de vara adekvata och tillräckligt representativa för systemets avsedda ändamål. Hantering av träningsdata är leverantörens ansvar, inte användarens.
• Övervakning och rapportering. Företaget övervakar systemets funktion; om det upptäcker risk för hälsa, säkerhet eller grundläggande rättigheter ska användningen stoppas och leverantören samt marknadskontrollmyndigheten informeras. Allvarliga incidenter ska rapporteras.
• Loggar. Företaget lagrar loggar som genereras automatiskt av systemet (i den mån det kontrollerar dem) i minst 6 månader, om inte annan lag kräver längre.
• Anställda. Innan ett system med hög risk införs på arbetsplatsen informerar företaget anställda och deras representanter.
• Berörda individer. Företaget informerar fysiska personer om att de omfattas av ett beslut som stöds av ett system med hög risk, och förklarar på begäran systemets roll i beslutet.
• Konsekvensbedömning avseende grundläggande rättigheter (artikel 27). Obligatorisk för offentliga organ och aktörer som tillhandahåller offentliga tjänster samt för företag som använder AI för kreditvärdering och riskbedömning/prissättning i liv‑ och sjukförsäkringar.

Ett internt register över AI‑system är inte uttryckligen en rättslig skyldighet för de flesta användare (registrering i EU‑databasen gäller leverantörer och offentliga organ), men utan en inventering går det inte att uppfylla övriga krav.

AI‑kompetens i praktiken

Artikel 4 gäller från februari 2025 och omfattar alla företag som använder AI, även färdiga verktyg. Vad kompetenshöjningen bör täcka:

• Hur verktyget fungerar: vad modellen kan och inte kan, varifrån den hämtar data för svar.
• Begränsningar: hallucinationer, beroende av datakvalitet, behov av verifiering i uppgifter som påverkar människor eller ekonomi.
• Data: vad som inte får matas in i publika modeller (personuppgifter, företagshemligheter, kunddata) och skillnaden mellan en publik chatbot och ett införande på affärsmässiga villkor.
• Människans roll: vem som ansvarar för ett AI‑stöddt beslut och när det måste ifrågasättas.
• Processer: var felaktig eller oroväckande funktion ska rapporteras.

Detaljnivån beror på roll: en för ledning, en annan för dem som arbetar med systemet dagligen, en tredje för IT‑teamet som driver det.

Så ser det ut i praktiska införanden

Tekniskt handlar de flesta skyldigheter i AI‑förordningen om arkitekturval i början av projektet. På Startup House, i införanden av AI‑assistenter, agenter och kunskapsbaser för företag, tillämpar vi principer som gör efterlevnad enklare oavsett riskklass:

• Svar baserade på verifierade kunddata (RAG) med källhänvisningar, vilket minskar hallucinationer och låter användaren kontrollera ursprunget.
• Integration med befintliga åtkomstpolicyer (bl.a. Okta), så att AI bara ser data som användaren har behörighet till.
• Införande i kundens moln och arbete med modeller på affärsmässiga villkor: kunddata tränar inte publika AI‑modeller.
• Loggning av frågor och svar från första versionen, inte som ett tillägg efter driftsättning.
• Människa i loopen där AI stödjer beslut som rör människor eller pengar: systemet föreslår, människan godkänner.
• Öppenhet mot användaren: assistenten presenterar sig som AI och informerar när den saknar svar.
• Arkitektur som möjliggör byte av modell (t.ex. från OpenAI till Anthropic) utan att bygga om systemet, eftersom kraven på GPAI‑modeller och modellerna själva förändras snabbare än företagsystemen.

Vi arbetar enligt ISO 27001 och anpassar projekt till kraven hos kunder i reglerade branscher (fintech, hälso‑ och sjukvård, cybersäkerhet). Riskklassificering och rättsliga skyldigheter fastställer kunden tillsammans med sin juristavdelning; vi levererar den tekniska sidan: dokumentation, loggar, tillsyns‑ och transparensmekanismer.

Inventering av AI‑system, ansvarsfördelning och bevakning av tidsfrister stöds av Compliance Copilot (produktsida): en AI‑agent från Startup House för kontinuerlig regelefterlevnad (bl.a. GDPR, DORA, NIST, ISO) som pekar ut luckor i dokumentation och processer innan revisionen gör det.

Så förbereder du företaget: 5 steg

1. Inventering. Lista alla AI‑verktyg i företaget: från chatbots i kundservice och AI‑funktioner i SaaS till modeller i backend. För varje: leverantör, användningsfall, vem som använder, vilka data som matas in.
2. Riskklassificering. Tilldela varje verktyg en av de fyra kategorierna utifrån användning, inte teknik. Kontrollera separat om företaget blir leverantör i något fall (eget varumärke, väsentlig modifiering).
3. Leverantörsgranskning. För system med hög risk: kommer leverantören leverera instruktion, dokumentation och stöd för loggning? För GPAI‑verktyg (AI‑system för allmänt ändamål): säkerställ i affärsavtalet att företagets data inte används för träning.
4. Policy för AI‑användning. Regler för anställda: tillåtna verktyg, förbud mot att mata in känsliga uppgifter i publika modeller, krav på verifiering av resultat, kanal för att rapportera problem, märkning av AI‑genererat innehåll.
5. Kompetens och processer. Rollanpassade utbildningar, utse ansvariga för tillsyn av systemen, processer för övervakning och incidentrapportering. För system med hög risk: plan för att nå efterlevnad före december 2027 (bilaga III) eller augusti 2028 (bilaga I).

Sanktioner vid bristande efterlevnad

• Upp till 35 miljoner euro eller 7 % av global årlig omsättning (det högre beloppet): förbjudna metoder.
• Upp till 15 miljoner euro eller 3 %: överträdelse av övriga skyldigheter, inklusive för system med hög risk och transparens.
• Upp till 7,5 miljoner euro eller 1,5 %: att lämna oriktiga eller ofullständiga uppgifter till myndigheter.

För SMF och startupbolag, och efter Digital Omnibus även för mindre bolag med medelstor kapitalisering, tillämpas det lägre av de två beloppen. Utöver sanktionsavgifter kan tillsynsmyndigheten beordra att systemet tas ur bruk.

Se även: Hur väljer man företag för AI‑införande: checklista med 20 frågor och avtalspunkter · Microsoft 365 Copilot, ChatGPT Enterprise eller egen AI‑assistent?

Vanliga frågor

Gäller AI‑förordningen även små och medelstora företag?

Ja. Det finns inget undantag baserat på företagsstorlek; skyldigheterna beror på roll och systemets risknivå. SMF har lägre sanktionsnivåer, förenklad dokumentation för leverantörer och tillgång till regulatoriska sandlådor som varje medlemsstat skulle ha lanserat senast augusti 2026.

Är det förenligt med AI‑förordningen att använda ChatGPT eller annan chatbot i företaget?

Själva användningen är det, förutsatt att artikel 4 (personalens AI‑kompetens) uppfylls och interna dataskyddsregler följs. Problemet uppstår när företaget använder en modell i en tillämpning med hög risk (t.ex. kandidaturval) eller integrerar den i en egen produkt under eget varumärke: då kan man bli leverantör av systemet och ta över dess skyldigheter.

Måste jag bygga om vårt nuvarande AI‑system?

Det beror på kategorin. System med minimal risk kräver inga ändringar utöver transparens om de interagerar med användare. System med hög risk som satts på marknaden före 2 december 2027 omfattas först efter väsentlig ändring; nya måste uppfylla kraven från detta datum. System i den förbjudna kategorin (t.ex. känsloigenkänning av anställda) skulle ha stängts av senast 2 februari 2025.

Vad skiljer en leverantör från en användare?

Leverantören skapar systemet och släpper det på marknaden (t.ex. en modellutvecklare eller ett företag som säljer ett eget AI‑verktyg). Användaren använder systemet i sin verksamhet (t.ex. en bank som använder ett externt verktyg för kreditvärdering). Överensstämmelsebedömning, teknisk dokumentation och registrering ligger på leverantören; mänsklig tillsyn, övervakning, loggar och information till anställda ligger på användaren.

Hur vet jag om mitt system är med hög risk?

Bilaga III anger områden: biometrik, kritisk infrastruktur, utbildning, anställning och personalhantering, tillgång till grundläggande tjänster (inkl. kreditvärdering och försäkringar), brottsbekämpning, migration, rättsväsendet. Bilaga I omfattar AI som säkerhetskomponent i reglerade produkter (medicinteknik, maskiner, fordon). Om systemet verkar i dessa områden och påverkar beslut om personer är det med hög risk, såvida det inte endast utför en rent begränsad stödjande uppgift (undantagen i artikel 6.3).

Vad gäller för AI‑system för allmänt ändamål (GPAI) som vi använder via API?

Skyldigheterna för GPAI‑modeller (dokumentation, upphovsrättspolicy, för systemiska riskmodeller ytterligare tester) ligger på deras leverantörer och gäller från 2 augusti 2025. Ett företag som använder modellen via API är användare av det system som byggs på modellen, med skyldigheter som beror på användningsfallet.

Hur påverkar AI‑förordningen AI‑utvecklingen i polska företag?

AI‑förordningen reglerar införandet av artificiell intelligens i näringslivet. Den har stor betydelse för innovationsförmåga, säkerhet och kundernas förtroende. Företag i Polen bör ta hänsyn till kraven i sina investerings- och expansionsstrategier.

Omfattar AI‑förordningen AI i marknadsföring och e‑handel?

Ja, även webbutiker och marknadsföringsbyråer måste följa relevanta regler. AI som används för innehållsskapande, intäktsanalys eller optimering av utgifter hör vanligen till tillämpningar med minimal risk. Ytterligare skyldigheter kan följa av hur data och genererat innehåll används.

Hur förbereder man företaget för AI‑förordningens krav under fjärde kvartalet 2026?

Börja med att analysera tillgängliga AI‑verktyg och testa deras regelefterlevnad. Experter bör identifiera risker, ta fram checklistor och rutiner för varningar. Innan nya införanden startar ska personalen också utbildas.

Reglerar AI‑förordningen AI i rekrytering och lönesättning?

Ja, AI‑system som stödjer rekrytering, utvärdering av anställda och beslut om ersättning kan klassas som system med hög risk. De kräver lämplig mänsklig tillsyn, dokumentation och kontroll av funktion. Det är särskilt viktigt för att skydda arbetstagares rättigheter och säkerställa transparens i besluten.

Texten är informativ och utgör inte juridisk rådgivning. Rättsligt läge: oktober 2026, efter ikraftträdandet av förordning 2026/1744 (Digital Omnibus).