AI Act, eller AI-förordningen, är EU:s regelverk för utveckling och användning av AI. Skyldigheterna beror på systemets användning, riskklass och er roll som exempelvis leverantör eller tillhandahållare. Förordningen trädde i kraft den 1 augusti 2024 och tillämpas stegvis.
Lagen syftar till att balansera innovation och skydd av medborgarnas rättigheter genom att införa olika regler beroende på hur stor risk AI-systemet innebär.
Börja med att inventera era AI-system, beskriva användningen och fastställa er roll. Här får ni en överblick över reglerna och tidslinjen, uppdaterad efter AI Omnibus i juli 2026.
När börjar AI-förordningen gälla?
AI-förordningen tillämpas stegvis enligt en bestämd tidplan, med ändrade högriskdatum enligt EU-kommissionens besked om AI Omnibus:
| Datum | Vad börjar gälla |
|---|---|
| 1 augusti 2024 | Förordningen träder i kraft – inga krav börjar gälla ännu |
| 2 februari 2025 | Förbud mot otillåtna AI-system (bl.a. social poängsättning och manipulativ AI) samt det ursprungliga kravet på AI-kompetens; det förenklades senare genom AI Omnibus |
| 2 augusti 2025 | Regler för generella AI-modeller (GPAI), som ChatGPT, Claude och Gemini, börjar gälla – inklusive krav på teknisk dokumentation, transparens kring träningsdata och hantering av systemrisk |
| 2 augusti 2026 | Huvuddelen av förordningen blir tillämplig – bl.a. de flesta transparenskraven i artikel 50. Märkning av syntetiskt innehåll (artikel 50.2) gäller för system som släpptes före detta datum först från 2 december 2026. Högriskkraven är uppskjutna, se nedan |
| 2 december 2026 | Nya förbud mot vissa AI-system som skapar sexuellt material utan samtycke eller material som visar sexuella övergrepp mot barn börjar tillämpas |
| 2 augusti 2027 | GPAI-modeller som fanns på marknaden före augusti 2025 ska vara fullt compliant |
| 2 december 2027 | Krav på högrisksystem enligt bilaga III (rekrytering, utbildning, kreditbedömning m.m.) börjar tillämpas |
| 2 augusti 2028 | Krav på högrisksystem inbäddade i redan reglerade produkter (bilaga I, t.ex. medicinteknik och maskiner) börjar tillämpas |
Förbuden, GPAI-reglerna och de flesta transparenskraven har nu börjat tillämpas. AI Omnibus förenklade även företagens kompetenskrav: enligt den ändrade artikel 4 ska leverantörer och tillhandahållare vidta åtgärder som stödjer personalens AI-kompetens. Kommissionen och medlemsstaterna ska främja sådan kompetens. Ändringarna och de nya förbuden framgår av förordning (EU) 2026/1744. Den 27 juli 2026 trädde AI Omnibus, AI-delen av EU:s digitala förenklingspaket, i kraft, som sköt upp tillämpningen av högrisk-kraven enligt ovan. Det ursprungliga datumet 2 augusti 2026 för bilaga III-system gäller alltså inte längre. Företag bör ändå inte vänta med att kartlägga sin AI-användning, eftersom de uppskjutna datumen är bindande sluttider oavsett om tekniska standarder är klara dessförinnan.
Vad är syftet med AI Act?
AI Act är EU:s första lag för att reglera artificiell intelligens och skapa tydliga regler för hur AI-system ska utvecklas, användas och spridas inom EU.
Lagens huvudmål är att säkerställa att AI-teknologi används på ett säkert och etiskt sätt och att våra grundläggande rättigheter skyddas. Samtidigt strävar den efter att främja innovation och teknikens fördelar.
Lagen fokuserar särskilt på AI-system med hög risk. Det kan vara system som vården använder för att ställa diagnoser, eller som företag använder vid rekrytering. Dessa måste uppfylla hårda krav på säkerhet, transparens och rättvisa.
För de flesta sådana system finns inget förhandsgodkännande från en myndighet. Bilaga III-system bedöms som regel genom intern kontroll enligt bilaga VI, som leverantören själv genomför. Systemet måste ändå testas noga, vara pålitligt och inte diskriminera. Ni måste också informera användarna tydligt om hur systemet fungerar och vilka risker som finns.
Om ni inte uppfyller kraven får ni inte använda systemet inom EU. Fuskar man kan det leda till böter eller att systemet stoppas helt.
AI-förordningen bygger på en riskbaserad modell
Risknivåerna nedan är en pedagogisk översikt. Den juridiska klassningen beror på systemets syfte, användning och förordningens villkor. Krav för generella AI-modeller (GPAI) är dessutom ett separat lager.
- Förbjudna användningar: Artikel 5 förbjuder vissa metoder, bland annat skadlig manipulation och vissa former av social poängsättning. Alla påverkande eller profilerande system är inte automatiskt förbjudna.
- Högrisksystem: System enligt artikel 6 och bilagorna I eller III, när villkoren är uppfyllda. Rekrytering och kreditvärdighetsbedömning är exempel, men en branschetikett räcker inte för att klassificera varje system.
- System med transparenskrav: Artikel 50 gäller bland annat interaktion med AI och märkning av vissa syntetiska innehåll. Undantag finns, exempelvis när det är uppenbart att användaren möter AI.
- Övriga system: Har inte automatiskt högriskkrav, men andra regler, exempelvis GDPR, kan fortfarande gälla.
Hur påverkar detta företag?
Företag måste se över hur de använder AI. Det är extra viktigt inom vård, skola, rekrytering och rättsväsende. Där är kraven hårdare.
Om er applikation klassas som "hög risk" ökar kraven på dokumentation och säkerhet rejält. Ni måste kunna bevisa att ni följer reglerna.
Börja med att kartlägga vilka AI-tjänster ni använder och vilka leverantörer som ligger bakom. I ChainSec GRC kan ni samla leverantörsbedömningar, risker och åtgärder på ett ställe.
För överträdelser av förbuden kan sanktionsavgiften uppgå till 35 miljoner euro eller 7 procent av den globala årsomsättningen, enligt artikel 99. Andra överträdelser har andra tak, och särskilda regler gäller för mindre företag.
Krav på generella AI-modeller (GPAI)
Reglerna för GPAI riktar sig framför allt till modellleverantörer. De behöver bland annat upprätta teknisk dokumentation, lämna information till systemleverantörer, ha en upphovsrättspolicy och publicera en sammanfattning av träningsinnehållet. Dokumentationen ska inte generellt publiceras öppet. Modeller med systemrisk omfattas av ytterligare skyldigheter.
Ett företag som använder en chattjänst blir inte en modellleverantör bara genom användningen. Kartlägg tjänsterna, vem som är leverantör, vilka uppgifter som matas in och hur resultaten används. Integrering eller vidareutveckling kan däremot påverka vilken roll ni har. Ska ni köpa en AI-tjänst finns en checklista för att bedöma en AI-leverantör med frågor, belägg och ett ifyllt exempel.
Utvecklingsmiljöer för mindre företag
Lagen inför "regulatoriska sandlådor". Det är testmiljöer där små och medelstora företag kan utveckla AI under övervakning. Tanken är att ni ska kunna innovera utan att fastna i byråkrati direkt.
AI-förordningen har kritiserats för att öka regelbördan och för att tekniska standarder dröjt. Delar av kritiken har mötts genom AI Omnibus (förordning (EU) 2026/1744), som sköt upp högriskkraven och förenklade kompetenskravet. Debatten om balansen mellan reglering och innovation fortsätter.
Hur påverkar det dig som individ?
Förordningen begränsar vissa riskfyllda användningar och kräver transparens i angivna situationer. Vid direkt interaktion med AI behöver användaren normalt informeras, om det inte redan är uppenbart. Reglerna är mer specifika än en allmän rätt att få veta varje gång AI används i en organisation.
AI-förordningen ersätter inte GDPR. Rättslig grund, information till registrerade och skydd för personuppgifter behöver bedömas separat. Vid behandling som sannolikt medför hög risk kan en konsekvensbedömning enligt GDPR behövas.
Läs AI-förordningen tillsammans med ändringsförordning (EU) 2026/1744 för de aktuella bestämmelserna och övergångsreglerna.
Vanliga frågor
Vad är AI Act?
AI Act (AI-förordningen) är EU:s första heltäckande regelverk för artificiell intelligens. Förordningen klassificerar AI-system efter risknivå och ställer olika krav beroende på hur stor risk systemet utgör för människors hälsa, säkerhet och grundläggande rättigheter.
När börjar AI Act gälla?
AI Act trädde i kraft i augusti 2024 och tillämpas stegvis. Förbuden mot vissa AI-system började gälla i februari 2025 och regler för generella AI-modeller från augusti 2025. Sedan 2 augusti 2026 tillämpas huvuddelen av förordningen, bland annat de flesta transparenskraven. Märkning av syntetiskt innehåll enligt artikel 50.2 gäller dock först från 2 december 2026 för system som släpptes på marknaden före 2 augusti 2026. Nya förbud mot AI som skapar intima bilder utan samtycke eller material med sexuella övergrepp mot barn gäller från 2 december 2026. Genom AI Omnibus, som trädde i kraft den 27 juli 2026, sköts kraven på högrisksystem enligt bilaga III upp till den 2 december 2027, och krav för högrisksystem enligt bilaga I till den 2 augusti 2028. Svenska företag bör ändå redan ha påbörjat sin kartläggning.
Vilka AI-system är förbjudna enligt AI Act?
Förordningen förbjuder AI-system som anses utgöra oacceptabel risk. Exempel är vissa former av social poängsättning, skadlig manipulation, utnyttjande av sårbarheter och brottsriskbedömning enbart utifrån profilering. Förbudet mot biometrisk fjärridentifiering i realtid gäller brottsbekämpning på allmänt tillgängliga platser, med snäva undantag.
Vad är högrisksystem enligt AI Act?
AI inom exempelvis rekrytering, kreditbedömning, utbildning och kritisk infrastruktur kan vara högrisk enligt artikel 6 och bilagorna I eller III. Klassningen beror på systemets funktion och förordningens villkor; ett användningsområde räcker inte alltid. När de tillämpliga kraven börjar gälla omfattar de bland annat riskhantering, datakvalitet, dokumentation och mänsklig övervakning.
