AI-förordningen: guide för företag 2026 (tidsfrister, skyldigheter, böter)

AI-förordningen (EU AI Act, förordning (EU) 2024/1689) är EU:s regelverk för AI. Den gäller både företag som bygger AI och företag som använder den, och den införs stegvis från 2025 till 2028. Sommaren 2026 ändrades tidsplanen genom Digital Omnibus on AI, så mycket av det som skrevs om förordningen 2025 och början av 2026 stämmer inte längre.

Den här guiden samlar det som gäller nu, oktober 2026: tidsfristerna, vilken roll ert företag har, vad som är högrisk, kravet på AI-kompetens, transparenskraven, böterna och vem som har tillsyn i Sverige. Den avslutas med en checklista.

Fakta kommer från förordningstexten med ändringar, EU-kommissionens AI Act Service Desk, rådets slutliga text för Digital Omnibus och svenska myndigheters sidor. Det här är en översikt, inte juridisk rådgivning. Ta hjälp av en jurist för gränsfall, särskilt nära bilaga III.

Det viktigaste på en minut

• Förbjuden AI och kravet på AI-kompetens gäller redan (sedan 2 februari 2025).
• Transparenskraven gäller från 2 augusti 2026. Chattbotar ska tala om att de är AI, deepfakes ska märkas.
• Högriskkraven i bilaga III är flyttade till 2 december 2027. Det gäller till exempel AI i rekrytering, kreditprövning och utbildning.
• De flesta svenska företag är tillhandahållare, inte leverantörer. Kraven är lättare, men de finns.
• Böterna är höga: upp till 35 miljoner euro eller 7 procent av omsättningen för förbjuden AI.
• PTS är central myndighet i Sverige, med IMY, Finansinspektionen och andra inom sina områden.

Tidsfrister: vad gäller när

Efter Digital Omnibus ser tidsplanen ut så här:

Vad Digital Omnibus ändrade. Kommissionen föreslog paketet i november 2025, trilogen enades 7 maj 2026, Europaparlamentet röstade ja 16 juni och rådet antog det 29 juni. Det blev förordning (EU) 2026/1744 och trädde i kraft 27 juli 2026. Det viktigaste:

• Högriskdatumen flyttades till fasta datum: 2 december 2027 och 2 augusti 2028. Kommissionens idé att koppla dem till när standarder finns ströks.
• Artikel 4 om AI-kompetens mjukades upp men finns kvar som skyldighet för företag (se nedan).
• Lättnader för små och medelstora företag utvidgades till små midcap-företag.
• Maskiner flyttades ur det direkta högriskregimet och hanteras i maskinförordningen.
• Två nya förbud lades till, från 2 december 2026.

Om ni har läst äldre material som säger att "allt gäller från 2 augusti 2026": det stämmer för transparens och det mesta av förordningen, men inte för högrisk.

Vilken roll har ert företag?

Kraven beror på er roll. De två som spelar roll för nästan alla:

Leverantör (provider, artikel 3.3) är den som utvecklar ett AI-system, eller låter utveckla det, och släpper ut det på marknaden eller tar det i bruk under eget namn eller varumärke, gratis eller mot betalning. OpenAI, Anthropic och företag som säljer AI-produkter är leverantörer.

Tillhandahållare (deployer, artikel 3.4) är den som använder ett AI-system i sin verksamhet. I den svenska versionen heter det tillhandahållare; i svensk debatt kallas det också användare eller driftsansvarig. Ett företag som använder ChatGPT, Copilot, ett AI-stöd i rekryteringen eller en egen agent byggd på en extern modell är tillhandahållare.

Fällan i artikel 25. Ni blir leverantör av ett högrisksystem, med leverantörens betydligt tyngre krav, om ni:

1. sätter ert namn eller varumärke på ett högrisksystem,
2. gör en väsentlig ändring av ett högrisksystem så att det fortfarande är högrisk, eller
3. ändrar syftet med ett AI-system, även ett allmänt system, så att det blir högrisk.

Det tredje är det som oftast händer av misstag: ett företag tar en allmän AI-modell och bygger en tjänst som sållar jobbsökande eller bedömer kreditvärdighet. Då är det företaget som är leverantör av högrisksystemet, inte modellleverantören. Läs mer i Leverantör, deployer eller distributör.

Förbjuden AI

Sedan 2 februari 2025 är vissa användningar förbjudna i hela EU (artikel 5), bland annat:

• manipulativ eller vilseledande AI som påverkar beteende på ett sätt som orsakar betydande skada,
• AI som utnyttjar sårbarheter på grund av ålder, funktionsnedsättning eller social situation,
• social poängsättning,
• riskbedömning av om en person kommer att begå brott, enbart baserat på profilering,
• att bygga databaser för ansiktsigenkänning genom att skrapa bilder från internet eller övervakningskameror,
• känsloigenkänning på arbetsplatser och i utbildning, med undantag för medicinska och säkerhetsmässiga skäl,
• biometrisk kategorisering för att sluta sig till känsliga uppgifter som etnicitet, politiska åsikter eller sexuell läggning,
• biometrisk fjärridentifiering i realtid på allmän plats för brottsbekämpning, med snäva undantag.

Från 2 december 2026 tillkommer förbud mot AI-system som skapar sexuella bilder av personer utan samtycke och material med sexuella övergrepp mot barn.

För de flesta företag är förbuden inte vardagsfrågor, men två är värda att kontrollera: känsloigenkänning på arbetsplatsen (vissa verktyg för samtalsanalys och medarbetarövervakning) och manipulativa tekniker i kundflöden.

Högrisk: bilaga III

Ett AI-system är högrisk om det används inom något av de åtta områdena i bilaga III:

1. Biometri, till exempel fjärridentifiering och känsloigenkänning där det är tillåtet
2. Kritisk infrastruktur, som säkerhetskomponenter i el, vatten och trafik
3. Utbildning, till exempel antagning, bedömning och provövervakning
4. Anställning och arbetsledning, till exempel att annonsera riktat, sålla ansökningar, bedöma kandidater, besluta om befordran eller uppsägning
5. Tillgång till väsentliga tjänster, till exempel kreditprövning, prissättning av liv- och sjukförsäkring, bedömning av rätt till offentliga förmåner
6. Brottsbekämpning
7. Migration, asyl och gränskontroll
8. Rättskipning och demokratiska processer

Undantaget i artikel 6.3. Ett system inom bilaga III är inte högrisk om det inte innebär en betydande risk och bara gör en av fyra saker: en snäv procedurmässig uppgift, förbättrar resultatet av ett redan utfört mänskligt arbete, upptäcker mönster i beslut utan att ersätta mänsklig bedömning, eller utför en förberedande uppgift. Profilering av fysiska personer är alltid högrisk. Leverantören ska dokumentera sin bedömning innan systemet släpps ut, och systemet ska fortfarande registreras.

För svenska exempel per område, se Bilaga III: högrisk-AI med svenska exempel. HR är det område där flest vanliga företag hamnar: ett AI-stöd som rangordnar ansökningar är högrisk, medan en HR-medarbetare som använder AI för att skriva en annons inte är det.

Skyldigheter för tillhandahållare av högrisksystem

Från 2 december 2027 gäller artikel 26 för er som använder ett högrisksystem. I korthet ska ni:

• använda systemet enligt leverantörens bruksanvisning,
• utse personer med rätt kompetens och befogenheter för mänsklig tillsyn,
• se till att indata är relevant och representativ, där ni styr över den,
• övervaka driften, informera leverantören och myndigheten om risker och allvarliga incidenter, och pausa användningen vid behov,
• spara loggar i minst sex månader,
• informera arbetstagare och deras representanter innan ett högrisksystem används på arbetsplatsen,
• använda leverantörens information i er konsekvensbedömning enligt GDPR,
• informera personer som berörs av beslut där systemet används,
• samarbeta med myndigheterna.

Offentliga myndigheter ska dessutom registrera sin användning.

Leverantörens krav är tyngre: riskhanteringssystem, datastyrning, teknisk dokumentation, loggning, transparens, noggrannhet och robusthet, kvalitetsledningssystem, bedömning av överensstämmelse, CE-märkning och registrering.

AI-kompetens: artikel 4

Det här är kravet som gäller alla företag som använder AI, och det har gällt sedan 2 februari 2025.

Efter Digital Omnibus lyder kravet att leverantörer och tillhandahållare ska vidta åtgärder för att stödja utvecklingen av AI-kompetens hos sin personal och andra som använder AI-system för deras räkning, med hänsyn till deras kunskap, erfarenhet, utbildning och sammanhanget där systemen används. Den nya texten säger uttryckligen att skyldigheten inte kräver att företaget garanterar en viss kompetensnivå hos varje individ. Tidigare stod det att företaget skulle säkerställa en tillräcklig nivå. Kommissionen och medlemsstaterna ska stödja arbetet, särskilt för mindre företag.

Kommissionen föreslog att helt flytta ansvaret till medlemsstaterna. Det gick inte igenom. Skyldigheten finns kvar, men den är en insatsplikt, inte en resultatgaranti.

I praktiken räcker ofta:

1. En AI-policy som säger vilka verktyg som är godkända och vad som inte får matas in.
2. Utbildning anpassad efter roll: en kort grund för alla, mer för dem som använder AI i beslut som påverkar människor.
3. Dokumentation av vad ni har gjort, så att ni kan visa det vid tillsyn.

Transparens: artikel 50

Från 2 augusti 2026 gäller:

• Chattbotar och AI-assistenter ska tala om för människor att de interagerar med AI, om det inte är uppenbart (leverantörens ansvar, 50.1).
• AI-genererat ljud, bild, video och text ska märkas maskinläsbart så att det går att upptäcka (leverantörens ansvar, 50.2). Generativa system som fanns på marknaden före 2 augusti 2026 har till 2 december 2026 på sig.
• Känsloigenkänning och biometrisk kategorisering: tillhandahållaren ska informera de som utsätts (50.3).
• Deepfakes ska märkas som AI-genererade eller manipulerade. AI-genererad text som publiceras för att informera allmänheten om frågor av allmänt intresse ska också märkas, om den inte har granskats av en människa och någon har redaktionellt ansvar (tillhandahållarens ansvar, 50.4).

För de flesta företag betyder det: märk era AI-chattar på webben, och ha en människa som granskar och ansvarar för AI-skriven text ni publicerar. Kommissionens uppförandekod för transparens kring AI-genererat innehåll publicerades i juni 2026.

AI-modeller för allmänna ändamål (GPAI)

Reglerna för stora AI-modeller, som de bakom ChatGPT, Claude och Gemini, gäller sedan 2 augusti 2025 och riktar sig till modelleverantörerna, inte till företag som använder dem. Kommissionens uppförandekod för GPAI publicerades 10 juli 2025, och de stora modelleverantörerna har skrivit under den. AI Office kan verkställa reglerna från 2 augusti 2026, och modeller som fanns före 2 augusti 2025 ska uppfylla kraven senast 2 augusti 2027.

För er som köpare är det relevanta att fråga leverantören om de följer koden och vilken dokumentation ni kan få. Läs mer i GPAI-reglerna och uppförandekoden.

Böter och sanktioner

Artikel 99 sätter taken:

För stora företag gäller det högre av beloppet och procentsatsen. För små och medelstora företag och startups gäller det lägre, och efter Digital Omnibus gäller samma lättnad för små midcap-företag för de två lägre nivåerna. Förordningen öppnar också för varningar och andra åtgärder än böter.

Böterna är taket. I praktiken är det ofta värre att behöva ta ett system ur drift. Mer om processen i Sanktioner i AI-förordningen.

AI-förordningen i Sverige: vem har tillsyn?

Utredningen SOU 2025:101, Anpassningar till AI-förordningen, presenterades i oktober 2025. Den föreslår en kompletterande svensk lag och förordning, med:

• Post- och telestyrelsen (PTS) som central marknadskontrollmyndighet, gemensam kontaktpunkt och Sveriges representant i EU:s AI-styrelse,
• IMY och Finansinspektionen med ansvar inom sina områden, tillsammans med flera andra sektorsmyndigheter,
• sanktionsavgifter enligt förordningens tak, som också kan riktas mot offentliga aktörer.

I juni 2026 fick PTS ett regeringsuppdrag som central behörig myndighet: kontaktpunkt, marknadskontroll av förbjuden AI och vissa högrisksystem, och ansvar för att bygga den nationella regulatoriska sandlådan, som ska finnas på plats till 2 augusti 2027. Flera andra myndigheter har tillfälliga uppdrag till och med 31 december 2026 medan den permanenta lagstiftningen tas fram. IMY har bekräftat att myndigheten är en av flera marknadskontrollmyndigheter, bland annat för AI inom brottsbekämpning och kreditbedömning.

Vi har inte hittat någon proposition om den permanenta lagen ännu. Håll koll på PTS sida om AI-förordningen.

AI-förordningen gäller parallellt med GDPR, NIS2 och, för finanssektorn, DORA. En AI-tillämpning som behandlar personuppgifter behöver fortfarande rättslig grund, konsekvensbedömning och personuppgiftsbiträdesavtal. Mer om samspelet i AI-förordningen i Sverige.

Checklista för företag

Gör nu (det här gäller redan):

1. Inventera vilka AI-verktyg och AI-funktioner som används i verksamheten, även de som är inbyggda i andra system.
2. Kontrollera förbuden, särskilt känsloigenkänning på arbetsplatsen och manipulativa tekniker.
3. Arbeta med AI-kompetens: en AI-policy, rollanpassad utbildning, dokumentation.
4. Märk AI-chattar och inför mänsklig granskning av AI-skriven text ni publicerar (artikel 50).

Förbered till 2 december 2027:

5. Klassificera varje användning mot bilaga III. Dokumentera varför något inte är högrisk om ni stöder er på artikel 6.3.
6. Kontrollera artikel 25: bygger ni något på en allmän modell som gör er till leverantör av ett högrisksystem?
7. Kräv dokumentation från leverantörer av högrisksystem, och planera mänsklig tillsyn, loggning i minst sex månader och information till arbetstagare.
8. Utse en ansvarig per AI-system, på samma sätt som för andra system med skrivrättigheter.

En gapanalys är i praktiken punkterna ovan som tabell: system, användning, roll, risknivå, krav, status. Det är också underlaget en tillsynsmyndighet frågar efter.

Var Walma passar in

Den tekniska delen av efterlevnaden, alltså att veta vilka modeller och verktyg som används, av vem, till vad, med loggar som går att visa upp, är svår att få till när varje avdelning har sina egna AI-konton. Walma AI Hub samlar all AI-användning i en gateway i kundens egen Azure-miljö i en EU-region: godkända modeller och MCP-kopplingar, policyer per team och en logg över varje anrop. Det ger inventeringen och loggarna som AI-förordningen förutsätter. Läs om AI-hubben, eller om hur AI-styrning sätts upp utan att bromsa projekten.