AI-förordningen (EU) 2024/1689 är EU:s gemensamma regelverk för artificiell intelligens. Den trädde i kraft den 1 augusti 2024 och tillämpas stegvis. Den 24 juli 2026 ändrades tidplanen: EU:s ändringsförordning, kallad Digital Omnibus, sköt upp de tunga högriskkraven till den 2 december 2027. Tre delar av förordningen gäller dock redan i dag – och de är enklare att få på plats än de flesta guider ger intryck av.
Det betyder också att nästan alla svenska guider om AI-förordningen som skrevs före sommaren 2026 är inaktuella. Många av dem öppnar med böter på 35 miljoner euro och en deadline den 2 augusti 2026 som inte längre stämmer. Den här guiden utgår från det nya rättsläget: vad som faktiskt gäller nu, vad som sköts upp, och vad ett svenskt företag rimligen bör göra i höst.
Vad är AI-förordningen?
AI-förordningen är världens första heltäckande AI-lagstiftning. Den gäller i hela EU utan att behöva införas i svensk lag, och den omfattar både företag som bygger AI-system och företag som bara använder dem.
Logiken är riskbaserad. Förordningen bryr sig inte om hur avancerad tekniken är, utan om vad den används till. Ju större risk användningen innebär för människors rättigheter, säkerhet eller försörjning, desto hårdare krav. En intern skrivassistent och ett system som gallrar jobbansökningar behandlas därför helt olika – även om de bygger på samma underliggande teknik.
I praktiken sorteras all AI-användning in i fyra riskklasser, från förbjuden till minimal risk. Vi går igenom dem längre ned.
Vad hände med den 2 augusti 2026?
Den 2 augusti 2026 skulle de omfattande kraven på högrisk-AI börja gälla. Så blev det inte. Genom den så kallade Digital Omnibus – formellt förordning (EU) 2026/1744, antagen den 8 juli 2026, publicerad i EU:s officiella tidning den 24 juli och i kraft sedan den 27 juli 2026 – sköt EU upp två av de största blocken:
- Högriskkraven för Annex III-system (bland annat rekryterings- och CV-gallringssystem, kreditbedömning och vissa HR-beslutssystem) flyttades från den 2 augusti 2026 till den 2 december 2027.
- Kraven på Annex I-produkter (AI inbyggd i redan reglerade produkter, som medicinteknik och maskiner) flyttades från den 2 augusti 2027 till den 2 augusti 2028.
Ett block sköts däremot inte upp: transparenskraven i artikel 50 gäller från den 2 augusti 2026, precis som planerat. Chatbotar måste tala om att de är AI, och AI-genererat innehåll och deepfakes ska märkas maskinläsbart. Det finns ett enda undantag: system som redan fanns på marknaden före den 2 augusti 2026 fick övergångstid till den 2 december 2026 för just den maskinläsbara märkningen.
En viktig sak att ha klar för sig: uppskjutet betyder inte avblåst. Högriskkraven kommer, med samma innehåll, bara sexton månader senare. För ett företag som använder AI i rekrytering eller kreditbeslut är december 2027 inte en anledning att lägga frågan åt sidan – det är tid att göra jobbet ordentligt i stället för i panik.
De fyra riskklasserna – var hamnar ert AI-system?
All AI-användning i förordningen sorteras i fyra nivåer. Här är klasserna med exempel som ett svenskt SME känner igen sig i:
| Riskklass | Vad det innebär | Typiskt exempel |
|---|---|---|
| Förbjuden | Får inte användas alls, sedan den 2 februari 2025 | Social scoring, manipulativ AI, känsloigenkänning av anställda |
| Högrisk | Omfattande krav på dokumentation, kontroll och tillsyn – från den 2 december 2027 | CV-gallring, kreditbedömning, vissa HR-beslutssystem |
| Begränsad risk | Transparenskrav – från den 2 augusti 2026 | Kundtjänst-chatbot, AI-genererat innehåll |
| Minimal risk | Inga särskilda krav (men artikel 4 om AI-kunskap gäller) | Intern skrivassistent, stavningskontroll, ChatGPT för utkast |
Den goda nyheten för de flesta små och medelstora företag: merparten av vardaglig AI-användning hamnar i de två nedersta klasserna. En chatbot på hemsidan är inte högrisk-AI – den behöver berätta att den är en bot, inget mer. Den interna skrivassistenten har inga särskilda produktkrav alls.
Det som kräver uppmärksamhet är gränsdragningen uppåt. Använder ni AI för att sortera eller ranka jobbansökningar? Då är det ett högrisksystem, och kraven börjar gälla den 2 december 2027. Samma sak gäller AI-stödd kreditbedömning. Det är den klassificeringen – inte tekniken i sig – som avgör vad ni behöver göra.
Vad gäller redan i dag?
Tre delar av förordningen är skarpa här och nu. Alla tre är hanterbara för ett normalt företag.
1. Förbuden (sedan den 2 februari 2025)
Vissa AI-användningar är helt förbjudna: social scoring, AI som manipulerar människor på skadliga sätt, biometrisk kategorisering utifrån känsliga egenskaper, och viss känsloigenkänning på arbetsplatser och i skolor. För de allra flesta svenska företag är detta en icke-fråga – ni gör inget av detta. Men det är värt en kontrollrunda: ett verktyg som påstår sig läsa av medarbetares engagemang eller sinnesstämning via kamera eller röst kan hamna på fel sida gränsen.
2. AI-kunskapskravet, artikel 4 (sedan den 2 februari 2025)
Artikel 4 säger att alla som använder AI-system ska säkerställa att personalen har tillräcklig AI-kunskap för sin roll. Det gäller alltså även företaget som “bara” använder ChatGPT internt – inte enbart de som bygger AI.
Kravet är medvetet flexibelt: en säljare som använder en skrivassistent behöver inte samma kunskap som den som konfigurerar ett gallringssystem. Det finns ingen direkt bötesgrund kopplad till artikel 4 i sanktionskapitlet, men efterlevnaden kan vägas in när andra överträdelser bedöms. Det praktiska sättet att uppfylla kravet är en grundläggande utbildningsinsats plus en AI-policy som beskriver vad som gäller hos er. Vi går igenom hur en sådan utbildning kan läggas upp i vår guide om AI-utbildning för företag.
3. Transparenskraven (sedan den 2 augusti 2026)
Sedan den 2 augusti 2026 gäller transparenskraven. Konkret för ett SME:
- Chatbotar ska avslöja att de är AI. En tydlig upplysning i gränssnittet räcker – “du chattar med en AI-assistent”.
- AI-genererat innehåll och deepfakes ska märkas maskinläsbart. Publicerar ni AI-genererade bilder, ljud eller video ska det framgå i filens metadata eller motsvarande.
Undantaget: system som redan fanns på marknaden före den 2 augusti 2026 har till den 2 december 2026 på sig för just den maskinläsbara märkningen. Men upplysningsplikten för chatbotar gäller nu.
Utöver dessa tre gäller sedan den 2 augusti 2025 även reglerna för generella AI-modeller (GPAI) – de träffar främst modelleverantörer som OpenAI och Google, inte företag som använder modellerna.
Vilka böter riskerar man – egentligen?
Sanktionsnivåerna är oförändrade efter Digital Omnibus, och sanktionskapitlet (artikel 99–100) gäller redan sedan den 2 augusti 2025:
- Upp till 35 miljoner euro eller 7 procent av global årsomsättning för förbjudna AI-metoder.
- Upp till 15 miljoner euro eller 3 procent för brott mot övriga skyldigheter.
- Upp till 7,5 miljoner euro eller 1 procent för felaktig information till myndigheter.
Det är de siffrorna som ger rubriker. Men två saker brukar falla bort i skrämselversionen.
För det första: för små och medelstora företag samt startups gäller enligt artikel 99(6) det lägre av beloppen – procentsatsen eller det fasta beloppet – inte det högre, som för storföretag. Sanktionerna är uttryckligen tänkta att vara proportionerliga.
För det andra införde Digital Omnibus en ny kategori, “small mid-cap”: företag med färre än 750 anställda och antingen högst 150 miljoner euro i omsättning eller högst 129 miljoner euro i balansomslutning (ett av kriterierna räcker). De får samma lättnader som SME – förenklad teknisk dokumentation, prioriterad tillgång till regulatoriska sandlådor och proportionerliga sanktioner. Det fångar upp en stor grupp svenska tillväxtbolag som annars hade räknats som “stora”.
Rimlig slutsats: sanktionerna förtjänar respekt, inte panik. Ett svenskt SME som använder AI i vardagen och gör de tre sakerna ovan ligger inte i riskzonen för maxbeloppen. Risken uppstår när man ignorerar klassificeringen – framför allt om man använder högrisk-AI utan att veta om det.
Vem är tillsynsmyndighet i Sverige?
Här är läget, ärligt beskrivet: det är inte helt klart än.
Regeringen beslutade den 15 juni 2026 att Integritetsskyddsmyndigheten (IMY) tillfälligt är marknadskontrollmyndighet för AI-förordningen, i samverkan med PTS och Finansinspektionen, till och med den 31 december 2026.
Den långsiktiga strukturen är fortfarande ett förslag. Utredningen SOU 2025:101, överlämnad den 6 oktober 2025, föreslår att PTS blir huvudansvarig marknadskontrollmyndighet och nationell kontaktpunkt, med IMY och Finansinspektionen som ansvariga för delar av högriskområdet – totalt elva marknadskontrollmyndigheter. Observera: detta är en utredning, inte beslutad lag.
För ett företag spelar den exakta myndighetskartan mindre roll just nu. Kraven är desamma oavsett vem som utövar tillsynen.
Checklista: fem saker att göra i höst
- Inventera er AI-användning. Lista alla AI-verktyg och AI-inslag i era system – även de inofficiella, som medarbetares egna ChatGPT-konton. Det man inte vet om kan man inte klassificera.
- Klassificera mot riskklasserna. Placera varje användning i tabellen ovan. De flesta hamnar i minimal eller begränsad risk. Flagga allt som rör rekrytering, kredit eller beslut om enskilda personer.
- Uppfyll AI-kunskapskravet. En grundutbildning för dem som använder AI i arbetet, anpassad efter roll. Kravet gäller sedan februari 2025 – det här är den enklaste punkten att bocka av.
- Skriv eller uppdatera er AI-policy. En policy som beskriver tillåten användning, dataregler och ansvar är det praktiska navet för efterlevnad. Vi har skrivit mer om skugg-AI och varför företag behöver en AI-policy, och hjälper till med AI-policy och rådgivning som tjänst.
- Använder ni högrisk-AI: börja dokumentera nu. Den 2 december 2027 låter avlägset, men kraven på dokumentation, datakvalitet och mänsklig kontroll tar tid att bygga upp. Sexton månader går fortare än man tror – särskilt om leverantören av ert rekryterings- eller kreditsystem också ska hinna anpassa sig.
Vanliga frågor om AI-förordningen
När träder AI-förordningen i kraft?
Den är redan i kraft – sedan den 1 augusti 2024 – men tillämpas stegvis. Förbuden och AI-kunskapskravet gäller sedan den 2 februari 2025, GPAI-reglerna och sanktionerna sedan den 2 augusti 2025, transparenskraven sedan den 2 augusti 2026. Högriskkraven börjar gälla den 2 december 2027 (Annex III) respektive den 2 augusti 2028 (Annex I), efter att Digital Omnibus sköt upp dem i juli 2026.
Gäller AI-förordningen småföretag?
Ja. Förordningen gäller alla företag som utvecklar eller använder AI-system, oavsett storlek. Men kraven är proportionerliga: SME och startups omfattas av det lägre av sanktionsbeloppen, och sedan juli 2026 får även “small mid-caps” (färre än 750 anställda och begränsad omsättning eller balansomslutning) samma lättnader.
Är en chatbot högrisk-AI?
Nej. En kundtjänst-chatbot räknas som begränsad risk. Kravet är transparens: den ska tala om att den är AI. Det gäller sedan den 2 augusti 2026.
Räknas intern ChatGPT-användning som AI-användning enligt förordningen?
Ja. Även om verktyget i sig är minimal risk är ni ett företag som använder AI-system, och då gäller AI-kunskapskravet i artikel 4 er – personalen ska ha tillräcklig AI-kunskap för sin användning. Det har gällt sedan den 2 februari 2025.
Behöver vi en AI-policy?
En AI-policy är inte ett formellt lagkrav i sig. Men den är det praktiska sättet att uppfylla artikel 4 och att kunna visa hur ni arbetar med efterlevnad: vad som är tillåtet, vilka data som får användas och vem som ansvarar. För de flesta företag är policyn plus en utbildningsinsats hela grundarbetet.
Osäker på var er AI-användning hamnar?
Det mesta i AI-förordningen är hanterbart när man vet var man står. Problemet är sällan kraven – det är att ingen har gjort inventeringen.
Vi erbjuder en kostnadsfri AI-kartläggning: vi går igenom era processer och er AI-användning, visar var varje del hamnar i riskklasserna och ger en prioriterad lista över vad som är värt att göra – både för efterlevnad och för var AI faktiskt lönar sig i verksamheten. Behöver ni sedan hjälp med policy eller utbildning finns AI-policy och rådgivning som tjänst.