AI-förordningen (EU AI Act): vad gäller för ditt företag?
Av Gabriel Johansson, AI-kollen · Uppdaterad 29 oktober 2026
Kort svar: AI-förordningen (EU AI Act, förordning (EU) 2024/1689) är EU:s lag om AI. För de flesta företag som använder ChatGPT, Copilot eller liknande gäller i dag tre saker: personalen ska ha tillräcklig AI-kunskap, en AI-chatt på er sajt ska tala om att den är AI, och realistiska AI-bilder och AI-video som kan uppfattas som äkta ska märkas. De tunga kraven på högrisk-AI gäller först från 2 december 2027.
Tidslinje: vad gäller när?
| Datum | Vad som börjar gälla | Berör |
|---|---|---|
| 1 aug 2024 | Förordningen träder i kraft | – |
| 2 feb 2025 | Förbjudna AI-metoder och krav på AI-kunnighet hos personalen | Alla som utvecklar eller använder AI |
| 2 aug 2025 | Regler för AI-modeller för allmänna ändamål (som GPT, Gemini, Claude) | AI-bolagen |
| 2 aug 2026 | Transparenskrav: chattbottar, märkning av deepfakes, sanktionsavgifter och tillsyn | Alla som använder AI mot kunder eller publicerar AI-innehåll |
| 2 dec 2026 | Maskinläsbar märkning av AI-innehåll för system som fanns före augusti, nya förbud mot AI-genererade nakenbilder utan samtycke | Leverantörer av AI-verktyg |
| 2 dec 2027 | Krav på högrisk-AI i bilaga III, t.ex. rekrytering, kreditbedömning, utbildning | Företag som använder AI för beslut om människor |
| 2 aug 2028 | Högrisk-AI i reglerade produkter (bilaga I), t.ex. medicinteknik och maskiner | Tillverkare |
Högriskdatumen flyttades fram genom EU:s Digital Omnibus om AI (förordning (EU) 2026/1744), som trädde i kraft 27 juli 2026.
De fyra risknivåerna
- Oacceptabel risk – förbjudet. Till exempel social poängsättning, manipulation som utnyttjar sårbarheter, känsloigenkänning på arbetsplatser och i skolor, och de flesta former av biometrisk identifiering i realtid på allmän plats.
- Hög risk – strikta krav. AI som påverkar människors möjligheter: rekrytering och personalbeslut, kreditprövning, antagning och bedömning i utbildning, tillgång till samhällstjänster och kritisk infrastruktur. Kräver riskhantering, dokumentation, mänsklig kontroll och loggning.
- Begränsad risk – transparens. Chattbottar, AI-genererade bilder, ljud och video. Människor ska veta när de pratar med en AI eller ser syntetiskt innehåll.
- Minimal risk – fritt fram. Det mesta: skrivhjälp, översättning, spamfilter, rekommendationer, AI i Excel. Inga särskilda krav utöver AI-kunnighet.
Leverantör eller tillhandahållare?
Förordningen skiljer på leverantörer (de som utvecklar och säljer AI, som OpenAI, Google och Microsoft) och tillhandahållare (de som använder AI i sin verksamhet). De allra flesta svenska företag är tillhandahållare. Bygger ni en egen AI-tjänst under eget namn kan ni bli leverantör och får då fler skyldigheter.
Det här gäller för ditt företag redan nu
1. AI-kunnighet hos personalen
Den som använder AI i jobbet ska ha tillräcklig kunskap om hur verktygen fungerar, vad de är bra på och var riskerna finns. Efter Omnibus-ändringen är kravet att företaget vidtar åtgärder för detta – det finns inget krav på certifikat. En kort intern genomgång, en AI-policy och yrkesanpassade exempel räcker långt. Färdiga arbetsexempel finns i AI per yrke.
2. AI-chatt på hemsidan
En chattbot eller röstassistent som pratar med kunder ska tydligt tala om att det är en AI, om det inte är uppenbart. En enkel rad som ”Du chattar med vår AI-assistent” räcker.
3. AI-bilder, video och ljud
Realistiska AI-bilder, AI-video och klonade röster som föreställer verkliga personer, platser eller händelser och kan uppfattas som äkta ska märkas tydligt när de publiceras. Uppenbart konstnärligt, satiriskt eller fiktivt innehåll har lättare krav. Läs mer i guiden AI-bilder.
4. AI-text i frågor av allmänt intresse
AI-genererad text som publiceras för att informera allmänheten om samhällsfrågor ska märkas, om inte en människa har granskat texten och har redaktionellt ansvar. Vanliga företagstexter som produktbeskrivningar och blogginlägg som någon granskat omfattas normalt inte.
5. Inga förbjudna metoder
Använd inte AI för att läsa av anställdas känslor, sortera människor efter känsliga egenskaper eller manipulera kunder. Det har varit förbjudet sedan februari 2025.
Använder ni AI vid rekrytering eller kreditbeslut?
Då är systemet högrisk och från 2 december 2027 krävs bland annat mänsklig kontroll av besluten, loggar, information till de som berörs och att ni följer leverantörens bruksanvisning. Börja kartlägga redan nu: vilka verktyg sorterar CV, bedömer kandidater eller sätter kreditgränser?
Checklista för små och medelstora företag
- Lista alla AI-verktyg ni använder och vad de används till.
- Placera varje användning i en risknivå – för de flesta blir det minimal eller begränsad risk.
- Skriv en kort AI-policy: godkända verktyg, vad som inte får klistras in och vem som ansvarar.
- Ge personalen en introduktion till AI – dokumentera att den har genomförts.
- Märk AI-chatt på sajten och realistiska AI-bilder i marknadsföringen.
- Använd företagsversioner av AI-verktygen för kund- och personuppgifter – GDPR gäller parallellt.
- Sätt en påminnelse om att se över högrisk-användning före december 2027.
Skriv er AI-policy på fem minuter
Kartlägg er AI-användning
Vem har tillsyn i Sverige?
Sveriges kompletterande lag till AI-förordningen är inte klar. I väntan på den har regeringen gett Post- och telestyrelsen (PTS), Integritetsskyddsmyndigheten (IMY), Finansinspektionen, Läkemedelsverket och Swedac tillfälliga uppdrag som behöriga myndigheter till och med 31 december 2026. Utredningen SOU 2025:101 föreslår att PTS blir samordnande myndighet och nationell kontaktpunkt, och att IMY ansvarar för bland annat förbjudna AI-metoder.
Sanktionsavgifter
| Överträdelse | Max avgift |
|---|---|
| Förbjudna AI-metoder | 35 miljoner euro eller 7 % av global årsomsättning |
| Övriga skyldigheter, bl.a. högrisk och transparens | 15 miljoner euro eller 3 % |
| Felaktiga uppgifter till myndigheter | 7,5 miljoner euro eller 1 % |
För små och medelstora företag gäller det lägre av de två beloppen. Den här guiden är en sammanfattning och ersätter inte juridisk rådgivning i enskilda fall.
Vanliga frågor
Vad är AI Act?
AI Act, på svenska AI-förordningen, är EU:s förordning (EU) 2024/1689 om artificiell intelligens. Den delar in AI efter risk och gäller direkt i hela EU, även i Sverige.
När börjar AI-förordningen gälla?
Den gäller stegvis: förbud och AI-kunnighet sedan 2 februari 2025, regler för AI-modeller sedan 2 augusti 2025, transparenskrav sedan 2 augusti 2026 och högriskkrav från 2 december 2027.
Gäller AI Act för små företag som använder ChatGPT?
Ja, men kraven är lätta: se till att personalen kan använda AI på ett säkert sätt, märk AI-chatt och realistiska AI-bilder, och använd inte AI till förbjudna eller högriskändamål utan att uppfylla kraven.
Måste vi skicka personalen på AI-utbildning?
Det finns inget krav på en viss kurs eller certifikat. Företaget ska vidta åtgärder så att de som använder AI har tillräcklig kunskap, till exempel en intern genomgång och en AI-policy.
Vad är skillnaden mellan AI-förordningen och GDPR?
GDPR skyddar personuppgifter. AI-förordningen reglerar själva AI-systemen och hur de används. Båda gäller samtidigt när AI hanterar personuppgifter.
Har högriskreglerna skjutits upp?
Ja. Genom Digital Omnibus om AI gäller kraven för högrisk-AI i bilaga III från 2 december 2027 i stället för 2 augusti 2026, och för AI i reglerade produkter från 2 augusti 2028.