AI-förordningen (EU AI Act): sammanfattning, tidslinje, vem den gäller

AI-förordningen (på engelska EU AI Act eller bara AI Act) är EU:s lag om artificiell intelligens, förordning (EU) 2024/1689. Den gäller alla som utvecklar, säljer eller använder AI-system i EU och ställer krav efter risk: vissa AI-metoder är förbjudna, AI-system med hög risk får omfattande krav och chattbottar och AI-genererat innehåll får transparenskrav. Reglerna införs stegvis 2025–2028.

Det viktigaste i korthet

• AI-förordningen trädde i kraft 1 augusti 2024 och gäller direkt i Sverige, utan att först föras in i svensk lag.
• Förbjudna AI-metoder och kravet på AI-kunnighet gäller sedan 2 februari 2025, reglerna för AI-modeller för allmänna ändamål (GPAI) sedan 2 augusti 2025 och transparenskraven i artikel 50 sedan 2 augusti 2026.
• Den digitala omnibusen, förordning (EU) 2026/1744, är antagen lag sedan 27 juli 2026. Den flyttade högriskkraven till 2 december 2027 (bilaga III) och 2 augusti 2028 (bilaga I).
• Det som styr kraven är er roll (leverantör eller tillhandahållare) och hur AI-systemet används, inte vilken teknik det bygger på.
• I Sverige är PTS, IMY och Finansinspektionen tills vidare utpekade marknadskontrollmyndigheter, med ett tillfälligt uppdrag till och med 31 december 2026.
• Sanktionsavgifterna kan uppgå till 35 miljoner euro eller 7 procent av den globala årsomsättningen.

Vad är AI-förordningen?

AI-förordningen är världens första heltäckande lag om artificiell intelligens. Den officiella svenska titeln är förordning om artificiell intelligens, och den svenska versionen av AI Act finns på EUR-Lex. Eftersom det är en EU-förordning gäller den på samma sätt i alla medlemsstater. Sverige behöver bara komplettera den med regler om bland annat vilka myndigheter som utövar tillsyn.

Lagen reglerar inte tekniken som sådan utan hur AI används. Samma språkmodell kan vara oreglerad när marknadsavdelningen skriver produkttexter och hamna i högriskkategorin när HR använder den för att rangordna sökande. Därför börjar allt arbete med AI-förordningen med att ta reda på vilka AI-system ni har och vad de används till.

Syftet är dubbelt: att skydda hälsa, säkerhet och grundläggande rättigheter, och att ge företag samma spelregler på hela den inre marknaden. Förordningen kompletteras av riktlinjer från kommissionen och AI-byrån (AI Office), av harmoniserade standarder och av uppförandekoder, bland annat för generativa AI-modeller.

Vad ändrade den digitala omnibusen?

Under 2026 antog EU ett förenklingspaket för AI-förordningen, den så kallade Digital Omnibus. Den publicerades i EU:s officiella tidning 24 juli 2026 och trädde i kraft 27 juli 2026. Den sköt fram högriskkraven, skrev om kravet på AI-kunnighet, lade till två nya förbud och gav små och medelstora företag lättnader. Transparenskraven sköts däremot inte upp. Vi går igenom förändringarna punkt för punkt i artikeln om den digitala omnibusen och AI-förordningen.

De fyra risknivåerna

AI-förordningen delar in AI i fyra nivåer. Ju större risk för människor, desto hårdare krav. Här är en kort översikt; den utförliga genomgången finns i riskklassificeringen i AI-förordningen.

Vilka metoder som är förbjudna, inklusive de nya förbuden mot ”nudifieringsappar” och material med sexuella övergrepp mot barn från 2 december 2026, beskrivs i artikeln om förbjudna AI-metoder enligt artikel 5. Högriskkategorin, som innehåller de tyngsta kraven, har en egen artikel om AI-system med hög risk och bilaga III.

Vem gäller AI-förordningen?

Förordningen fördelar ansvar efter roll. De två viktigaste är:

• Leverantör – den som utvecklar ett AI-system eller låter utveckla det och släpper ut det på marknaden eller tar det i bruk under eget namn. Det kan vara ett mjukvaruföretag, men också en bank som bygger en egen kreditmodell.
• Tillhandahållare – den som använder ett AI-system under eget ansvar i yrkesmässig verksamhet. Många säger ”användare”. Ett företag som rullar ut Microsoft Copilot eller en kommun som sätter en chattbot på sin webbplats är tillhandahållare.

Dessutom finns importörer, distributörer, produkttillverkare och ombud. Samma organisation kan ha olika roller för olika system, och den som byter namn på, väsentligt ändrar eller ändrar syftet med ett köpt högrisksystem kan bli leverantör. Läs mer om skillnaden mellan leverantör och tillhandahållare.

Förordningen gäller också utanför EU. Ett amerikanskt bolag som säljer AI-tjänster till svenska kunder omfattas, liksom en leverantör vars AI-resultat används i EU. Privatpersoners icke-yrkesmässiga användning, rent militär användning och viss forskning är undantagen.

Vill ni snabbt se vilka roller och system som gäller just er kan ni göra Opsios gratis bedömning av er AI-styrning: fjorton steg, cirka 40 minuter, med svenska frågor och fyra styrdokument som levereras på engelska som redigerbara Word-filer.

Tidslinje: när gäller AI-förordningen?

Per oktober 2026, efter den digitala omnibusen, gäller följande datum:

Varje datum förklaras i AI-förordningens tidslinje. Många svenska sidor anger fortfarande 2 augusti 2026 som datum för högriskkraven. Det stämmer inte längre.

Skyldigheterna i översikt

Vilka krav som träffar er beror på roll och risknivå. Tabellen visar de viktigaste områdena och var ni hittar fördjupningen.

Ändringen av artikel 4 är värd att notera. I omnibusens lydelse ska leverantörer och tillhandahållare vidta åtgärder för att främja AI-kunnighet. Det finns inget krav på att garantera en viss kunskapsnivå hos varje medarbetare, och kommissionen och medlemsstaterna ska stödja arbetet, särskilt för små och medelstora företag. Kravet finns kvar, men det är en insatsplikt snarare än en resultatplikt.

Sanktioner

Sanktionsavgifterna i artikel 99 har tre nivåer: upp till 35 miljoner euro eller 7 procent av den globala årsomsättningen för förbjudna AI-metoder, upp till 15 miljoner euro eller 3 procent för de flesta andra skyldigheter, inklusive högriskkraven och artikel 50, samt upp till 7,5 miljoner euro eller 1 procent för felaktig eller vilseledande information till myndigheter. Det högre beloppet gäller, men för små och medelstora företag gäller det lägre. Leverantörer av GPAI-modeller kan få avgifter från kommissionen enligt artikel 101.

AI-förordningen i Sverige

I väntan på kompletterande svensk lagstiftning har regeringen gett fem myndigheter ett tillfälligt uppdrag som nationella behöriga myndigheter. Uppdraget gäller till och med 31 december 2026.

• PTS är gemensam kontaktpunkt och marknadskontrollmyndighet för bland annat kritisk infrastruktur, utbildning, anställning och offentliga förmåner i bilaga III, för de flesta transparenskraven i artikel 50, och ska inrätta den nationella regulatoriska sandlådan.
• IMY är marknadskontrollmyndighet för bland annat biometri, brottsbekämpning, migration, rättskipning och kreditvärdering utanför finanssektorn.
• Finansinspektionen ansvarar för kreditvärdering inom sitt tillsynsområde och för riskbedömning och prissättning av liv- och sjukförsäkring.
• Läkemedelsverket ansvarar för AI i medicintekniska produkter och Swedac är anmälande myndighet.

Den permanenta strukturen är ännu inte slutligt beslutad per oktober 2026. Utredningen SOU 2025:101 Anpassningar till AI-förordningen, som överlämnades 6 oktober 2025, föreslår en ny lag och att PTS får huvudansvaret. Läs mer på PTS sida om AI-förordningen och i vår guide AI-förordningen i Sverige: myndigheter och tillsyn.

AI-förordningen, GDPR och ISO/IEC 42001

AI-förordningen påverkar inte GDPR. Behandlar ett AI-system personuppgifter gäller båda regelverken samtidigt, och IMY är tillsynsmyndighet för GDPR och för delar av AI-förordningen. Hur de två lagarna samspelar, från DPIA till automatiserade beslut, beskriver vi i AI och GDPR.

ISO/IEC 42001 är en frivillig standard för ledningssystem för AI. Den är inte en harmoniserad standard under AI-förordningen och ger ingen presumtion om överensstämmelse, men den ger ordning på styrning, roller och riskhantering. Läs vad ISO 42001 är och hur ISO 42001 förhåller sig till AI-förordningen.

Så kommer ni igång

1. Inventera. Lista alla AI-system ni bygger, köper eller har inbyggt i SaaS-tjänster, även skugg-AI. Se så bygger ni ett AI-register.
2. Klassificera. Fastställ risknivå och roll per system och dokumentera motiveringen med en mall för riskbedömning av AI.
3. Sätt regler för medarbetarna. En AI-policy säger vilka verktyg som får användas och vilka data som får matas in. Se exempel på AI-policy och vad den ska innehålla.
4. Granska leverantörerna. Ställ krav på dokumentation, dataflöden och avtal med hjälp av en checklista för leverantörsbedömning.
5. Mät gapet. Jämför nuläget med kraven i en gap-analys mot AI-förordningen och arbeta sedan efter checklistan för AI-förordningen.

Vill ni ha hjälp med klassificering, gap-plan eller styrmodell arbetar Opsios team med AI governance-konsulttjänster.

Vanliga frågor

Vad är AI Act på svenska?

AI Act heter AI-förordningen på svenska, formellt förordning (EU) 2024/1689 om artificiell intelligens. Den svenska versionen är lika giltig som den engelska och finns på EUR-Lex. I förordningen kallas den som använder ett AI-system i sin verksamhet för tillhandahållare, och den som utvecklar det för leverantör.

När börjar AI-förordningen gälla?

Den trädde i kraft 1 augusti 2024 men tillämpas stegvis. Förbud och AI-kunnighet gäller sedan 2 februari 2025, GPAI-reglerna sedan 2 augusti 2025 och transparenskraven sedan 2 augusti 2026. Högriskkraven gäller från 2 december 2027 för bilaga III och 2 augusti 2028 för produkter i bilaga I, efter den digitala omnibusen.

Har AI-förordningen skjutits upp?

Delvis. Den digitala omnibusen, förordning (EU) 2026/1744, flyttade högriskkraven för bilaga III sexton månader framåt och kraven för produkter i bilaga I ett år framåt. Förbuden, AI-kunnigheten, GPAI-reglerna och transparenskraven i artikel 50 gäller som tidigare. Omnibusen är antagen och i kraft sedan 27 juli 2026, alltså inte längre ett förslag.

Gäller AI-förordningen små företag?

Ja. Det finns ingen storleksgräns; det avgörande är vad AI används till. Små och medelstora företag får dock lättnader: förenklad dokumentation, förtur till regulatoriska sandlådor och sanktionsavgifter där det lägre beloppet gäller. Efter omnibusen omfattas även små midcap-företag av en del lättnader.

Vilken myndighet har tillsyn i Sverige?

Per oktober 2026 har PTS, IMY, Finansinspektionen, Läkemedelsverket och Swedac ett tillfälligt uppdrag till och med 31 december 2026. PTS är gemensam kontaktpunkt. Den permanenta ordningen är inte slutligt beslutad; utredningen SOU 2025:101 föreslår att PTS får huvudansvaret. Bevaka pts.se för besked om vad som gäller efter årsskiftet.

Se var ni står på 40 minuter

Det snabbaste sättet att gå från översikt till plan är att svara på frågorna om er egen organisation. I Opsios kostnadsfria AI-förordningsbedömning svarar ni på svenska i fjorton steg. När ni skickar in skrivs fyra styrdokument utifrån era svar: AI-policy för medarbetare, ramverk för AI governance, checklista för AI-leverantörer och mall för riskbedömning av AI, plus en mognadsbild över tio områden. Dokumenten levereras på engelska som Word-filer ni kan redigera. Det är gratis, utan förpliktelser, och dokumenten är era. Vill ni börja med policyn kan ni också få er AI-policy skriven utifrån era svar.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Uppgifterna gäller per oktober 2026.