Den 2 augusti 2026 började EU:s AI-förordning gälla på allvar för vanliga svenska företag. Många har hört att reglerna sköts upp, och det stämmer delvis. EU beslutade i somras om ändringar som flyttar fram de tunga kraven på högrisksystem, men samtidigt trädde transparensreglerna i kraft precis som planerat.
Det innebär att du som driver ett litet företag och använder AI i marknadsföring, kundtjänst eller innehållsproduktion har nya skyldigheter redan nu. Dessutom kan tillsynsmyndigheterna utfärda sanktionsavgifter från samma datum. Nedan går vi igenom vad som gäller, vad som väntar och vilka steg du behöver ta.
Vad AI-förordningen är
AI-förordningen, formellt förordning (EU) 2024/1689, är världens första heltäckande regelverk för artificiell intelligens. Den trädde i kraft den 1 augusti 2024 och får full verkan stegvis fram till 2028. Eftersom det handlar om en EU-förordning gäller den direkt som svensk lag, utan att riksdagen behöver skriva om den.
Regelverket bygger på risk. Ju större risk ett AI-system innebär för hälsa, säkerhet eller grundläggande rättigheter, desto hårdare krav ställer förordningen. Post- och telestyrelsen delar i sin genomgång av AI-förordningen in systemen i fyra kategorier: förbjudna tillämpningar, högrisk-AI, begränsad risk och minimal risk.
De flesta småföretag rör sig uteslutande i de två nedersta kategorierna. En chattbot på hemsidan hamnar exempelvis i begränsad risk, medan ett skräppostfilter hör till minimal risk. Kraven finns dock även där, vilket många missar.
Din roll avgör dina skyldigheter
Förordningen skiljer mellan olika aktörer, och skyldigheterna ser helt olika ut beroende på var du hamnar. Därför är det första steget att ta reda på vilken roll ditt företag har.
| Roll | Vad det innebär |
|---|---|
| Leverantör | Du utvecklar ett AI-system, eller låter någon utveckla det åt dig, och släpper det på marknaden i ditt eget namn. Leverantörsrollen bär de tyngsta kraven. |
| Tillhandahållare | Du använder ett AI-system yrkesmässigt i din verksamhet, exempelvis genom en licens till ett färdigt verktyg. De allra flesta småföretag hamnar här. |
| Importör eller distributör | Du för in ett AI-system till EU-marknaden eller säljer det vidare. Då ansvarar du bland annat för att kontrollera leverantörens dokumentation. |
Observera att en tillhandahållare i vissa fall kan bli leverantör. Bygger du om ett inköpt system i grunden, sätter ditt eget varumärke på det eller använder det för ett helt annat syfte än tillverkaren avsåg, kan ansvaret flytta över på dig. I verkligheten händer det sällan i ett litet bolag, men risken är värd att känna till.
Tidslinjen efter sommarens ändringar
EU antog under 2026 ändringsförordning (EU) 2026/1744, den så kallade digitala omnibusförordningen om AI. Förordningen flyttar fram flera datum och lägger samtidigt till ett nytt förbud. Post- och telestyrelsen har uppdaterat sin tidslinje efter ändringen, och nedan följer den i sammanfattad form.
| Datum | Vad som börjar gälla |
|---|---|
| 2 februari 2025 | Förbuden mot vissa AI-system trädde i kraft. Samtidigt infördes kravet på tillräcklig AI-kunnighet hos personalen. |
| 2 augusti 2025 | Reglerna för AI-modeller för allmänna ändamål trädde i kraft. |
| 2 augusti 2026 | Transparensreglerna i artikel 50 trädde i kraft. Datumet berör flest småföretag. |
| 2 december 2026 | Övergångsregeln för system som redan fanns på marknaden i augusti löper ut. Dessutom träder det nya förbudet mot avklädningsappar i kraft. |
| 2 augusti 2027 | Den nationella regulatoriska sandlådan för AI ska senast vara etablerad. |
| 2 december 2027 | Reglerna för fristående högrisksystem enligt bilaga III träder i kraft, exempelvis AI i rekrytering och kreditbedömning. |
| 2 augusti 2028 | Reglerna för högrisk-AI som är inbyggd i produkter träder i kraft. |
Många drog slutsatsen att EU pausade hela regelverket i somras. Det stämmer inte. Uppskjutningen gäller högriskkraven, medan transparensreglerna och förbuden fortsätter enligt plan.
Transparensreglerna som gäller nu
Artikel 50 handlar om att människor ska förstå när de möter AI. Reglerna träffar betydligt bredare än högriskbestämmelserna, eftersom de gäller nästan alla system som kommunicerar med människor eller skapar innehåll åt dem. Tre situationer är särskilt viktiga för småföretag.
Chattbottar och AI-assistenter
Använder du en chattbot på hemsidan måste besökaren förstå att den pratar med en maskin. Kravet gäller dock inte om det redan är uppenbart för en normalt uppmärksam person. I verkligheten löser du det enklast med en tydlig rad i chattfönstret, exempelvis att svaren kommer från en AI-assistent.
AI-genererat innehåll
Leverantörerna ansvarar för att AI-genererat innehåll bär en maskinläsbar märkning. Du som använder verktygen har däremot ett eget ansvar när du publicerar syntetiska medier för allmänheten. Det gäller framför allt bilder, ljud och video som föreställer verkliga personer, platser eller händelser.
För ren produkttext eller en AI-skriven bloggpost om ditt eget område är kraven mildare. Publicerar du däremot AI-genererad text om frågor av allmänt intresse behöver du vara öppen med hur den kommit till. Med andra ord bör du ha en tydlig linje för hur ni märker material internt.
Känsloigenkänning och biometri
Använder ditt företag system som analyserar känslor eller biometriska data måste du informera de personer som berörs. Kameraanalys i butiksmiljö är ett typiskt exempel. Kombinationen med dataskyddsreglerna gör dessutom området juridiskt känsligt, så ta hjälp innan ni inför något sådant.
Kravet på AI-kunnighet gäller redan
Sedan februari 2025 ska personal som arbetar med AI-verktyg ha tillräcklig AI-kompetens. Kravet gäller både leverantörer och tillhandahållare, alltså även ett litet bolag som köpt en licens till ett textverktyg. Formuleringen är medvetet öppen, eftersom kraven ska stå i proportion till hur ni faktiskt använder tekniken.
I verkligheten räcker det långt att göra tre saker. Dokumentera vilka verktyg ni använder, håll en kort intern genomgång av risker som felaktiga svar och läckta uppgifter, och skriv ned vem som deltog. På så sätt kan du visa att kravet är uppfyllt om frågan skulle komma upp.
Sanktioner och tillsyn i Sverige
Från och med den 2 augusti 2026 kan myndigheterna utfärda sanktionsavgifter. Myndigheten räknar fram avgiften som det högsta av ett fast belopp eller en andel av den globala årsomsättningen. För förbjuden AI-användning ligger taket på 35 miljoner euro eller 7 procent, för överträdelser av andra skyldigheter på 15 miljoner euro eller 3 procent, och för vilseledande uppgifter till myndigheter på 7,5 miljoner euro eller 1 procent.
Siffrorna ser skrämmande ut för ett litet bolag, men förordningen tar hänsyn till storlek. För små och medelstora företag gäller i stället det lägsta av beloppet och procentsatsen. Sanktionerna ska dessutom vara proportionerliga, vilket innebär att ett mindre bolag som agerat i god tro knappast hamnar i toppen av skalan.
I Sverige pågår arbetet med kompletterande lagstiftning fortfarande. Regeringen har därför gett Post- och telestyrelsen och flera andra myndigheter i uppdrag att till och med den 31 december 2026 vara nationella behöriga myndigheter. Utredningen föreslår att Post- och telestyrelsen får huvudansvaret, medan Integritetsskyddsmyndigheten tar hand om marknadskontrollen inom bland annat brottsbekämpning och kreditvärdering.
Sju steg för ditt företag
- Kartlägg era AI-verktyg: Lista allt som används, inklusive verktyg som enskilda medarbetare skaffat på egen hand.
- Bestäm er roll: I de flesta fall är ni tillhandahållare, men kontrollera om ni bygger vidare på något system.
- Märk chattbottar: Se till att besökare förstår att de talar med AI.
- Sätt en policy för AI-genererat innehåll: Bestäm vad ni märker och hur ni formulerar det.
- Dokumentera AI-kunnigheten: En kort genomgång och en deltagarlista räcker som utgångspunkt.
- Gå igenom leverantörsavtalen: Klargör vem som ansvarar för efterlevnaden, precis som ni gör när ni skriver affärsavtal i övrigt.
- Titta framåt mot högriskkraven: Använder ni AI i rekrytering eller kreditbedömning har ni tid till december 2027, men förberedelserna tar tid.
Sambandet med dataskyddsreglerna
AI-förordningen ersätter inte dataskyddsreglerna, utan lägger sig ovanpå dem. Matar ni in personuppgifter i ett AI-verktyg gäller alltså båda regelverken samtidigt. Många småföretag har redan gjort grundarbetet i samband med GDPR för småföretag, och den kartläggningen går ofta att återanvända.
Tänk särskilt på var uppgifterna hamnar. Ett molnbaserat AI-verktyg innebär i regel en tredjepartsöverföring, vilket kräver personuppgiftsbiträdesavtal och ibland en bedömning av överföring till tredjeland. Kombinationen av GDPR och AI-förordningen gör därför att ni bör hantera de två frågorna i samma process.
Vanliga frågor om AI-förordningen
Gäller AI-förordningen om vi bara använder ChatGPT?
Ja, förordningen gäller även den som enbart använder färdiga verktyg yrkesmässigt. Ni har då rollen som tillhandahållare, vilket bland annat innebär krav på AI-kunnighet och på att märka syntetiskt innehåll som ni publicerar.
Har högriskreglerna i AI-förordningen skjutits upp?
Ja, för fristående högrisksystem enligt bilaga III gäller nu den 2 december 2027. För högrisk-AI som är inbyggd i produkter gäller den 2 augusti 2028. Uppskjutningen påverkar däremot inte transparensreglerna eller förbuden.
Måste vi märka alla AI-skrivna texter?
Nej, kravet är inte generellt för all text. Skyldigheten träffar framför allt syntetiska medier som föreställer verkliga personer eller händelser, samt AI-genererad text i frågor av allmänt intresse. Många företag väljer ändå att märka bredare av förtroendeskäl.
Vilken myndighet ansvarar för AI-förordningen i Sverige?
Under 2026 fungerar Post- och telestyrelsen som gemensam kontaktpunkt enligt regeringens uppdrag. Frågor som rör personuppgifter hanterar du däremot fortfarande hos Integritetsskyddsmyndigheten.
När började transparensreglerna i artikel 50 gälla?
Transparensreglerna började tillämpas den 2 augusti 2026. För AI-system som redan fanns på marknaden det datumet gäller en övergångsregel, och leverantörerna ska uppfylla märkningsskyldigheten senast den 2 december 2026.
Vad händer med system vi redan använde i augusti?
För AI-system som fanns på marknaden den 2 augusti 2026 gäller en övergångsregel kopplad till märkningskravet. Leverantörerna av sådana system ska uppfylla skyldigheten senast den 2 december 2026.
Utvecklingen går snabbt, och Sverige har fortfarande inte kompletterande lagstiftning på plats. Den här guiden ger dig en praktisk överblick, men den ersätter inte juridisk rådgivning. Vid större AI-satsningar eller vid användning som kan falla inom högrisk bör du därför stämma av med en jurist.
Relaterade guider
- GDPR för småföretag
- Skriva affärsavtal
- Bygga ett AI-drivet bolag
- Företag tappar koll på AI-kostnaderna
- GDPR
Magnus Bergström
Magnus Bergström är nyhetsredaktör på alltomforetagande.se. Ekonomijournalist med journalistexamen från JMG vid Göteborgs universitet. Tolv års erfarenhet av rapportering från svenska SME-bolag, kapitalmarknad och konjunkturläget, bland annat åtta år på en ledande ekonomidagstidning. Bevakar löpande skatteregler, bidragsändringar, politiska beslut och branschtrender som påverkar svenska företag.
