AI-förordningen: vad svenska företag behöver göra

Vad är AI-förordningen, och gäller den i Sverige?

AI-förordningen är EU:s gemensamma regelverk för artificiell intelligens, antagen som förordning (EU) 2024/1689. Som EU-förordning gäller den direkt i Sverige, ingen svensk lag krävs, och den följer inte tekniken utan risken: reglerna kopplas till hur ett system kan skada människor, inte till vilken teknologi som bygger det. Därför omfattas allt från rekryteringsverktyg och kreditbedömning till chattbotar och bildgenerering.

Förordningen trädde i kraft 1 augusti 2024, men kraven gäller i faser: förbud mot vissa användningar och kravet på AI-kompetens sedan 2 februari 2025, reglerna för generella AI-modeller sedan 2 augusti 2025 och transparenskraven i artikel 50 sedan 2 augusti 2026. Högriskkraven har med förordning (EU) 2026/1744, antagen 8 juli 2026 och i kraft sedan 27 juli 2026, skjutits fram till 2 december 2027 för AI-system med hög risk enligt bilaga III och till 2 augusti 2028 för AI inbyggd i produkter (bilaga I). Att detaljer fortfarande klarnar via vägledningar och standarder är ett skäl att bevaka, inte vänta.

Vilka krav ställer AI-förordningen på din verksamhet?

Utgå från två frågor: vilken roll har ni, och vilken riskklass berör användningen? Det skiljs mellan den som tar fram ett AI-system (leverantören) och den som sätter det i bruk i egen verksamhet. Köper ni ett färdigt system och använder det som tänkt är ni i den senare kategorin, med betydligt lättare krav än leverantören, men inte noll.

Risktrappan ser ut så här:

• Förbjuden praxis, bland annat social poängsättning och vissa manipulativa metoder; förbud sedan 2 februari 2025.
• Hög risk, exempelvis AI i rekrytering, kreditbedömning och kritisk infrastruktur: krav på riskhantering, datastyrning, dokumentation, loggning och mänsklig tillsyn. Kraven gäller från 2 december 2027 (bilaga III) respektive 2 augusti 2028 (bilaga I).
• Transparensrisk, chattbotar och genererat innehåll: användaren ska veta att den interagerar med en AI, och syntetiskt material ska vara märkt. Kraven gäller sedan 2 augusti 2026.
• Minimal risk, de flesta vardagsanvändningar: inga särskilda skyldigheter enligt förordningen, men god praxis och AI-kunskap lönar sig.

Vad krävs av företag som bara använder AI-verktyg?

För de flesta svenska företag är det här verkligheten: ni använder färdiga verktyg, språkmodeller, bildgenerering, funktioner inbyggda i affärssystem, och tar inte fram egna modeller. Då handlar efterlevnaden om fyra saker: grundläggande AI-kunskap i organisationen, att följa leverantörens bruksanvisning, transparens när kunder möter en chattbot eller AI-genererat innehåll, och kontroll på inköpet, välj leverantörer som själva kan redogöra för sina skyldigheter.

Observera att AI-förordningen inte tränger undan GDPR, de gäller parallellt. Skriver ni in personuppgifter i en extern AI-tjänst behandlas personuppgifter, med krav på rättslig grund, biträdesavtal och information till de registrerade, precis som vid annan behandling. Verktygens villkor ändras dessutom ofta; hur ni håller koll på tolkningslagret kring dataskydd går vi igenom i vår genomgång av GDPR-bevakning.

Ett exempel gör bilden klar. En kundtjänstchatbot som svarar på allmänna frågor om öppettider och returer är typiskt en transparensfråga: kunden ska veta att den kommunicerar med en AI. Använder ni liknande teknik för att sålla jobbansökningar kan användningen i stället hamna i kategorin hög risk, med betydligt tyngre krav. Samma teknik, två olika ansvarsnivåer, klassificeringen avgör allt, och den behöver göras vid inköpet, inte efteråt.

När gäller kraven i AI-förordningen?

Tidsplanen står nu fast i sina huvuddrag, men detaljer klarnar löpande i vägledningar från EU-kommissionen och nationella myndigheter. Även Sverige är på väg: utredningen om AI-förordningen föreslog i SOU 2025:101 ett system med flera marknadskontrollmyndigheter, med Post- och telestyrelsen (PTS) som huvudansvarig. I juni 2026 beslutade regeringen att PTS, IMY och Finansinspektionen tillfälligt ska vara nationella behöriga myndigheter enligt förordningen, ett uppdrag som gäller till och med 31 december 2026, medan den permanenta svenska lagstiftningen fortfarande bereds; IMY ansvarar i uppdraget bland annat för AI inom brottsbekämpning och kreditvärdering. Hur hela kedjan från EU-beslut till svensk tillämpning fungerar beskriver vi i vår guide till EU-lagstiftning.

Som perspektiv: överträdelser av de förbjudna praktikerna (artikel 5) kan medföra sanktionsavgifter på upp till 35 miljoner euro eller sju procent av den årliga globala omsättningen, bland de högsta beloppen i EU-regelverket. Sanktionen är dock sällan det bästa argumentet; fördelen med att kunna visa vilka AI-beslut som fattats, på vilken grund och med vilken kontroll, brukar väga tyngre hos kunder och vid revision.

Hur efterlever svenska företag AI-förordningen?

Ingen behöver göra allt på en gång, men alla behöver veta var de står. Fem steg tar de flesta verksamheter igenom på någon vecka i stället för månader:

• Inventera hur ni använder AI i dag, inklusive funktioner gömda i affärssystem och det medarbetare gör med egna konton.
• Klassificera användningen mot risktrappan; i de flesta verksamheter hamnar allt på transparens- eller minimalnivå.
• Skriv en kort intern AI-riktlinje: vilka verktyg, vilka uppgifter som aldrig lämnar huset, vem som svarar på frågor.
• Lägg upp AI-kunskap: en genomgång för alla som använder verktygen räcker långt som första steg.
• Bevaka förloppet, fasdatum, vägledningar och svenska tillsynsbeslut, så att riktlinjen ni skrev inte tyst blir gammal.

Anslut bevakningen, då håller riktlinjen sig aktuell

AI-förordningen är också ett bra tillfälle att granska regelbevakningen i övrigt: den som nu sätter sig in i fasdatum har nytta av en rutin som fungerar för alla regelverk. LawCrawl bevakar svenska och EU-källor, AI-förordningen inkluderad, och mailar tydliga notiser när en ändring upptäcks, så att AI-riktlinjen och resten av efterlevnadsarbetet utgår från regelverket som gäller just nu.