Sanktionsavgifter i AI-förordningen: nivåer, SMF-regel och tillsyn

Sanktionsavgifterna i AI-förordningen regleras i artikel 99. För förbjudna AI-metoder är taket 35 miljoner euro eller 7 procent av den globala årsomsättningen, beroende på vilket som är högst. Överträdelser av de flesta andra skyldigheter, som högriskkraven och artikel 50, ger upp till 15 miljoner euro eller 3 procent. Vilseledande uppgifter till myndigheter: upp till 7,5 miljoner euro eller 1 procent.

Det viktigaste i korthet

• Det finns tre sanktionsnivåer för företag och organisationer, och en separat ordning för leverantörer av AI-modeller för allmänna ändamål där kommissionen beslutar.
• För stora företag gäller det högre av det fasta beloppet och procentsatsen. För små och medelstora företag, inklusive uppstartsföretag, gäller det lägre.
• Kapitlet om sanktioner tillämpas sedan 2 augusti 2025. Förbjudna AI-metoder kan alltså redan leda till sanktionsavgift.
• Myndigheten ska väga in tio omständigheter enligt artikel 99.7, bland annat samarbete, självrapportering och åtgärder för att minska skadan.
• I Sverige har PTS, IMY och Finansinspektionen ett tillfälligt uppdrag till och med 31 december 2026. Hur sanktionerna ska hanteras nationellt utreds i SOU 2025:101 och är ännu inte slutligt beslutat.

Så fungerar sanktionssystemet

AI-förordningen är en EU-förordning, men tillsynen sker till största delen nationellt. Artikel 99 anger högsta belopp och vad myndigheten ska ta hänsyn till. Varje medlemsstat ska själv fastställa regler om sanktioner och andra åtgärder, anmäla dem till kommissionen och utse de myndigheter som tillämpar dem. Efter omnibusförordningen säger artikel 99.1 uttryckligen att åtgärderna kan bestå av administrativa sanktionsavgifter, varningar och icke-monetära åtgärder. De ska vara effektiva, proportionella och avskräckande och ta hänsyn till små och medelstora företags och små midcapföretags ekonomiska bärkraft. Lagtexten finns i den svenska versionen av AI-förordningen på EUR-Lex.

En språklig detalj: i dagligt tal pratar många om ”böter”, men förordningen talar om administrativa sanktionsavgifter. Det är samma typ av avgift som IMY kan ta ut enligt GDPR, alltså inte straffrättsliga böter. Taken är gemensamma för hela EU, men vilken myndighet ni möter, hur förfarandet går till och hur aktiv tillsynen blir kan skilja sig mellan länderna. En överblick över förordningen finns i vår guide till AI-förordningen. Vill ni veta vilka skyldigheter, och därmed vilka sanktionsnivåer, som gäller era system kan ni göra en gratis bedömning av er AI-styrning på ungefär 40 minuter.

Sanktionsnivåerna i AI-förordningen

”Global årsomsättning” avser den totala omsättningen för föregående räkenskapsår, beräknad på företagsnivå. För en koncern kan det vara betydligt mer än omsättningen i det dotterbolag som använder AI-systemet.

Vad varje nivå omfattar i praktiken

Högsta nivån: förbjudna AI-metoder

De högsta avgifterna gäller metoder som EU anser oacceptabla: social poängsättning, manipulativ eller utnyttjande AI som orsakar betydande skada, oriktad skrapning av ansiktsbilder, känsloigenkänning på arbetsplatsen och i utbildning (med snäva undantag av medicinska skäl och säkerhetsskäl), vissa former av biometrisk kategorisering och brottsprognoser samt biometrisk fjärridentifiering i realtid för brottsbekämpning utanför de strikta undantagen. Från 2 december 2026 tillkommer AI som skapar intimt material utan samtycke eller material med sexuella övergrepp mot barn. Varje förbud förklaras med exempel i artikeln om förbjudna AI-metoder.

Ett exempel: en arbetsgivare som inför ett verktyg för videointervjuer som bedömer kandidaternas känslor utifrån ansiktsuttryck har inte ett högrisksystem med bristande dokumentation. Arbetsgivaren använder en förbjuden metod, och risken ligger på den högsta nivån.

Mellannivån: högrisk, transparens och aktörernas skyldigheter

Här kommer de flesta överträdelser att hamna. En leverantör som säljer en modell för kreditvärdering utan bedömning av överensstämmelse, en tillhandahållare som använder ett AI-verktyg i rekrytering utan mänsklig tillsyn eller loggning, eller en e-handlare vars kundtjänstchattbot aldrig berättar att kunden pratar med en AI, faller alla under artikel 99.4. Omnibusförordningen har också lagt till skyldigheter enligt artikel 25.2 och 25.4 (ansvar längs värdekedjan) i den här nivån. Högriskkraven gäller från 2 december 2027 för system i bilaga III och 2 augusti 2028 för produkter i bilaga I. Artikel 50 gäller sedan 2 augusti 2026, se AI-förordningens tidslinje för alla datum.

Lägsta nivån: vilseledande uppgifter

Att lämna oriktiga, ofullständiga eller vilseledande uppgifter när ett anmält organ eller en myndighet begär det är en egen överträdelse. Dokumentationen är alltså ingen formalitet. En felaktig modellbeskrivning, en ofullständig teknisk dokumentation eller ett överdrivet påstående i ett svar till tillsynsmyndigheten kan ge sanktionsavgift i sig.

Leverantörer av AI-modeller för allmänna ändamål

GPAI-leverantörer svarar inför kommissionen, genom AI-byrån, och inte inför nationella myndigheter. Enligt artikel 101 kan avgiften bli upp till 15 miljoner euro eller 3 procent av den globala omsättningen, till exempel om leverantören inte lämnar begärd dokumentation. Skyldigheterna har gällt sedan 2 augusti 2025, och kommissionens befogenhet att ta ut avgifter sedan 2 augusti 2026.

Regeln om det lägre beloppet för små och medelstora företag

För stora företag gäller ”det som är högst”. För små och medelstora företag, inklusive uppstartsföretag, vänder artikel 99.6 på regeln: sanktionsavgiften får uppgå till högst det av beloppet och procentsatsen som är lägre. Omnibusförordningen har lagt till en ny punkt 6a, som ger små midcapföretag (färre än 750 anställda och en omsättning på högst 150 miljoner euro eller en balansomslutning på högst 129 miljoner euro) samma regel. För dem gäller den dock bara nivåerna i punkt 4 och 5, inte förbjudna metoder.

Ett räkneexempel: ett svenskt mjukvaruföretag med 40 miljoner euro i årsomsättning bryter mot en högriskskyldighet. 3 procent av omsättningen är 1,2 miljoner euro och det fasta beloppet är 15 miljoner euro. Är företaget stort är taket 15 miljoner euro. Räknas det som ett litet eller medelstort företag är taket 1,2 miljoner euro. Det är högsta belopp, inte förväntade utfall. Den faktiska avgiften beror på omständigheterna nedan.

Vad avgör beloppet? Artikel 99.7

Myndigheten ska beakta alla relevanta omständigheter och, när det är lämpligt, ta hänsyn till

1. överträdelsens art, svårighetsgrad och varaktighet samt följderna, med hänsyn till AI-systemets syfte, antalet berörda personer och skadans omfattning,
2. om andra marknadskontrollmyndigheter redan har påfört samma aktör sanktionsavgift för samma överträdelse,
3. om andra myndigheter redan har påfört sanktionsavgift för brott mot annan EU-rätt eller nationell rätt som beror på samma verksamhet, till exempel enligt GDPR,
4. aktörens storlek, årsomsättning och marknadsandel,
5. andra försvårande eller förmildrande omständigheter, som ekonomisk vinst eller undvikna förluster,
6. graden av samarbete med myndigheterna för att åtgärda överträdelsen,
7. aktörens grad av ansvar med hänsyn till de tekniska och organisatoriska åtgärder som vidtagits,
8. hur myndigheten fick kännedom om överträdelsen, särskilt om aktören själv anmälde den,
9. om överträdelsen skett med uppsåt eller genom oaktsamhet,
10. åtgärder som aktören vidtagit för att minska skadan för de berörda.

Flera av punkterna belönar förberedelse. En organisation som kan visa riskbedömning, dokumenterad mänsklig tillsyn, utbildad personal och snabb hantering av incidenter står mycket starkare än en som inte kan det.

Vem utdömer sanktionsavgifter i Sverige?

Per oktober 2026 ser det ut så här:

• Tillfälligt uppdrag till och med 31 december 2026. I väntan på kompletterande svensk lagstiftning har regeringen gett flera myndigheter i uppdrag att vara nationella behöriga myndigheter. Enligt PTS är PTS gemensam kontaktpunkt och marknadskontrollmyndighet för vissa förbjudna användningar och vissa högrisksystem. Enligt IMY ansvarar IMY bland annat för AI-system inom brottsbekämpning och kreditvärdering. Finansinspektionen är också utpekad för finanssektorn.
• Förslaget i SOU 2025:101. Utredningen ”Anpassningar till AI-förordningen”, överlämnad 6 oktober 2025, föreslår en ny lag och en ny förordning, elva marknadskontrollmyndigheter och två anmälande myndigheter, där PTS får huvudansvaret. Den föreslår också bestämmelser om sanktioner och ingripanden, bland annat anmärkning och sanktionsavgift vid de överträdelser som avses i artikel 99.3–5. Om även myndigheter, kommuner och regioner ska kunna påföras sanktionsavgift är en öppen fråga som flera remissinstanser har synpunkter på. Artikel 99.8 överlåter det beslutet till varje medlemsstat.
• Inget är slutligt beslutat. Den permanenta tillsynsstrukturen och de svenska reglerna om förfarandet för sanktionsavgifter är ännu inte beslutade per oktober 2026. Följ pts.se, imy.se och regeringen.se.

På EU-nivå beslutar kommissionen om avgifter för GPAI-leverantörer, och AI-byrån har sedan omnibusen även exklusiv tillsyn över vissa AI-system som bygger på en GPAI-modell från samma leverantör eller koncern. Europeiska datatillsynsmannen har tillsyn över EU:s egna institutioner. Mer om svenska myndigheter och tillsyn finns i guiden till AI-förordningen i Sverige.

Så minskar ni risken

1. Uteslut förbjudna användningar först. De ger de högsta avgifterna och kan redan bli föremål för tillsyn. Granska funktioner för känsloigenkänning, biometri och beteendepoäng i de verktyg ni köper.
2. Bygg en AI-inventering med roller och risknivåer. Ni kan inte bedöma risken för system ni inte vet om.
3. Täpp till luckorna enligt artikel 50. Upplysningar i chattbotar och märkning av deepfakes är billiga att åtgärda och gäller sedan augusti 2026.
4. Dokumentera löpande. Riskbedömningar, utsedd mänsklig tillsyn, utbildningsinsatser och leverantörsgranskningar stödjer de förmildrande omständigheterna i artikel 99.7.
5. Ha en rutin för incidenter och myndighetskontakter. Korrekta och snabba svar undviker den separata nivån för vilseledande uppgifter.

En strukturerad gap-analys mot AI-förordningen är det snabbaste sättet att gå igenom stegen i rätt ordning.

Vanliga frågor

Vad är den högsta sanktionsavgiften enligt AI-förordningen?

Det högsta beloppet är 35 miljoner euro eller 7 procent av den totala globala årsomsättningen för föregående räkenskapsår, beroende på vilket som är högst. Det gäller förbjudna AI-metoder enligt artikel 5. För små och medelstora företag, inklusive uppstartsföretag, gäller det lägre av de två beloppen. För EU:s institutioner är taket 1,5 miljoner euro.

Kan sanktionsavgifter tas ut redan nu?

Ja. Kapitlet om sanktioner tillämpas sedan 2 augusti 2025, så förbjudna metoder kan ge sanktionsavgift, och sedan 2 augusti 2026 gäller det även brister i transparensen enligt artikel 50. Kommissionen kan ta ut avgifter av GPAI-leverantörer sedan samma datum. I Sverige pågår arbetet med kompletterande regler om förfarandet, så följ PTS och IMY.

Kan en tillhandahållare få sanktionsavgift, eller bara leverantören?

Även tillhandahållare kan få sanktionsavgift. Brott mot skyldigheterna i artikel 26, till exempel att inte ordna mänsklig tillsyn, inte spara loggar eller inte informera arbetstagare innan högrisk-AI används på arbetsplatsen, hör till nivån 15 miljoner euro eller 3 procent. Den som använder en förbjuden metod hamnar i högsta nivån, oavsett vem som byggde verktyget.

Kan man få sanktionsavgift både enligt GDPR och AI-förordningen?

Ja, det är två skilda regelverk och samma AI-system kan bryta mot båda. Enligt artikel 99.7 ska myndigheten ta hänsyn till avgifter som redan påförts enligt annan lagstiftning för samma verksamhet. Det minskar risken för oproportionerliga dubbla avgifter men utesluter dem inte. Personuppgiftsfrågor omfattas fortfarande av GDPR:s egna sanktionstak.

Gäller sanktionsavgifterna även kommuner och myndigheter?

Det avgör varje medlemsstat enligt artikel 99.8. I Sverige behandlas frågan i SOU 2025:101, och Sveriges Kommuner och Regioner har i sitt remissvar avrått från att göra det möjligt att påföra myndigheter sanktionsavgifter. Per oktober 2026 är frågan inte slutligt avgjord.

Hitta luckorna innan en myndighet gör det

Det som sänker en sanktionsavgift är samma saker som god AI-styrning ger: dokumentation, ansvarsfördelning och utbildning. Få er AI-policy skriven utifrån era svar i Opsios kostnadsfria bedömning. Ni svarar på frågor i fjorton steg, ungefär 40 minuter, och får fyra dokument: en AI-policy för medarbetare, ett ramverk för AI governance, en checklista för AI-leverantörer och en mall för riskbedömning av AI, plus en mognadsbild över tio områden. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Uppgifterna om svenska myndigheter och förslag avser läget per oktober 2026.