AI-förordningen (EU AI Act): vad den är och hur den fungerar

AI-förordningen (EU AI Act) är EU:s rättsliga ramverk för artificiell intelligens, formellt förordning (EU) 2024/1689. Den trädde i kraft 1 augusti 2024 och tillämpas stegvis. Reglerna är riskbaserade: ju högre risk ett AI-system medför för hälsa, säkerhet eller grundläggande rättigheter, desto strängare krav. Detta är allmän information, inte juridisk rådgivning.

Vad är AI-förordningen (EU AI Act)?

AI-förordningen är världens första heltäckande lag för artificiell intelligens. Den antogs av EU 2024 och syftar till att göra AI som används i unionen säker, transparent och förenlig med grundläggande rättigheter, samtidigt som innovation främjas. Som en EU-förordning gäller den direkt i alla medlemsstater utan att behöva införlivas i nationell lag, vilket ger enhetliga regler på hela den inre marknaden.

I stället för att reglera tekniken som sådan reglerar EU AI Act hur AI används. Samma teknik kan vara oreglerad i ett sammanhang och högrisk i ett annat. Ett bildigenkänningssystem som sorterar semestrar är minimal risk, men samma underliggande teknik som filtrerar jobbansökningar är högrisk. Klassificeringen styr vilka skyldigheter som gäller för den som utvecklar eller använder systemet, och den är därför det första steget i all efterlevnad.

Förordningen kompletteras av flera vägledningar och uppförandekoder från EU-kommissionen och den nya europeiska AI-byrån (AI Office), som hjälper företag att tolka och tillämpa kraven i praktiken. Standardiseringsorgan tar dessutom fram harmoniserade standarder som ger en presumtion om överensstämmelse för den som följer dem.

Varför infördes AI Act?

EU ville skapa rättslig förutsägbarhet, skydda medborgare mot skadliga tillämpningar (som social poängsättning och manipulativ AI) och samtidigt ge företag tydliga spelregler. Målet är att bygga förtroende för AI och stärka EU:s konkurrenskraft.

De fyra risknivåerna i AI-förordningen

Kärnan i AI-förordningen är en pyramid med fyra risknivåer. Varje nivå utlöser olika krav.

De flesta AI-system i dag faller inom minimal risk och berörs knappt. Tyngdpunkten i regelverket ligger på högrisksystem, som måste uppfylla krav på riskhantering, datakvalitet, teknisk dokumentation, mänsklig tillsyn, robusthet och loggning. För dessa system krävs dessutom registrering i en EU-databas och en bedömning av överensstämmelse innan de får släppas ut på marknaden.

Den begränsade risknivån handlar i första hand om transparens: en användare ska veta när hon interagerar med en chatbot eller tittar på AI-genererat innehåll. Deepfakes och syntetiskt material ska märkas så att mottagaren förstår att innehållet inte är äkta. Dessa krav är lättare att uppfylla men gäller ett brett spann av vanliga tillämpningar.

Vad räknas som förbjuden AI?

Sedan 2 februari 2025 är en uppsättning tillämpningar helt förbjudna, bland annat social poängsättning, manipulativa system och oriktad insamling av ansiktsbilder. Under 2026 utökades förbuden till att även omfatta vissa AI-system som genererar olagligt eller icke-samtyckesbaserat intimt material.

Vilka omfattas av AI-förordningen?

Förordningen riktar sig framför allt till två roller: leverantörer (de som utvecklar och släpper ut AI-system på marknaden) och ibruktagare (organisationer som använder AI-system i sin verksamhet). Även importörer och distributörer berörs.

Gäller AI Act även företag utanför EU?

Ja. EU AI Act har extraterritoriell räckvidd. Den gäller leverantörer och ibruktagare oavsett var de är etablerade, om AI-systemet släpps ut på EU-marknaden eller om systemets resultat används inom EU. En leverantör i USA eller Asien som riktar sig mot europeiska kunder omfattas alltså av samma krav som ett EU-baserat företag. Detta liknar GDPR:s globala räckvidd och innebär att icke-EU-aktörer ofta behöver utse en auktoriserad representant i unionen.

Tidslinjen: när gäller AI-förordningen?

AI-förordningen tillämpas i etapper. Följande datum är de centrala (per juni 2026), inklusive de uppskjutningar som följde av EU:s förenklingspaket, det så kallade Digital Omnibus.

Under 2026 enades EU-institutionerna om Digital Omnibus, ett förenklingspaket som sköt fram de tyngsta högriskkraven för att ge företag och tillsynsmyndigheter mer tid. Transparenskraven från augusti 2026 sköts dock inte upp. Eftersom datumen för högrisk har ändrats under processen bör du alltid kontrollera de senaste officiella datumen innan du planerar efterlevnad.

Särskilda krav för generativa AI-modeller (GPAI)

Generativa och andra allmänna AI-modeller, så kallade GPAI-modeller (general-purpose AI), regleras särskilt. Sedan 2 augusti 2025 måste leverantörer av GPAI bland annat ta fram teknisk dokumentation, följa EU:s upphovsrätt och publicera en sammanfattning av det innehåll som använts för träning.

För modeller med systemisk risk (mycket stora modeller över ett beräkningströskelvärde) tillkommer skärpta krav på modellutvärdering, så kallad adversariell testning, riskreducering och incidentrapportering. Öppen källkod kan vara delvis undantagen, men inte om modellen bedöms medföra systemisk risk.

Sanktioner enligt AI-förordningen

Överträdelser kan bli mycket kostsamma. Sanktionerna i EU AI Act är graderade:

• Upp till 35 miljoner EUR eller 7 % av global årsomsättning (det högsta beloppet gäller) för användning av förbjudna AI-system.
• Upp till 15 miljoner EUR eller 3 % för brott mot övriga skyldigheter, exempelvis för högrisksystem eller GPAI.
• Upp till 7,5 miljoner EUR eller 1 % för att lämna oriktig information till myndigheter.

Storleken bestäms utifrån överträdelsens allvar och företagets storlek, med särskild hänsyn till små och medelstora företag.

Hur förhåller sig AI-förordningen till GDPR?

AI-förordningen och GDPR är två separata regelverk som gäller parallellt och kompletterar varandra. GDPR styr hur personuppgifter får behandlas; AI Act styr hur själva AI-systemet utformas, dokumenteras och övervakas. Använder ditt AI-system personuppgifter måste du följa båda samtidigt. AI Act ersätter alltså inte GDPR utan lägger till ett tekniskt och produktinriktat lager ovanpå dataskyddslagstiftningen.

Vanliga frågor om AI-förordningen

När börjar AI-förordningen gälla?

Förordningen trädde i kraft 1 augusti 2024 och tillämpas stegvis. Förbjudna tillämpningar gäller sedan februari 2025, GPAI-regler sedan augusti 2025 och transparenskrav från augusti 2026. De tyngsta högriskkraven sköts genom 2026 års förenklingspaket fram till 2 december 2027 (bilaga III) respektive 2 augusti 2028 (bilaga I). Kontrollera alltid de senaste officiella datumen.

Gäller AI Act mitt företag om vi inte är i EU?

Sannolikt ja. EU AI Act gäller även leverantörer och ibruktagare utanför EU om AI-systemet släpps ut på EU-marknaden eller om dess resultat används inom unionen. Räckvidden är extraterritoriell, precis som för GDPR.

Vad är skillnaden mellan EU AI Act och GDPR?

GDPR reglerar behandling av personuppgifter. AI Act reglerar AI-system som produkter, oavsett om personuppgifter ingår. De gäller parallellt: ett AI-system som behandlar personuppgifter måste följa båda.

Hur stora är sanktionerna?

Upp till 35 miljoner EUR eller 7 % av den globala årsomsättningen för förbjuden AI, med lägre nivåer (3 % respektive 1 %) för andra överträdelser.

Nästa steg

Vill du veta om din organisation berörs i praktiken? Börja med vår efterlevnadschecklista för AI-förordningen. Behöver ni hjälp att klassificera och styra era AI-system erbjuder Opsio hanterad AI-support. Använder ni personuppgifter, läs även om AI och GDPR.

Denna artikel utgör allmän information och inte juridisk rådgivning. Kontakta juridisk expertis för bedömning av er specifika situation.