Senaste uppdateringarna i AI-regelverkets tidslinje

EU:s AI-förordning har varit lag sedan augusti 2024. Men de datum som faktiskt spelar roll för de flesta svenska bolag ligger inte bakom oss — de ligger framför. Och ett av dem har redan hunnit passera utan att särskilt många lagt märke till det.

## Vad förordningen faktiskt reglerar — och vad den inte gör

Förordningen reglerar inte AI som teknik. Den reglerar vad AI används till. Ett chattbot-verktyg för kundservice hamnar i en helt annan kategori än ett system som används för att bedöma kreditansökningar eller sortera jobbansökningar. Skillnaden är inte teknisk — den är funktionell. Det är den distinktionen som avgör om ditt bolag har fyra veckor eller fyra år på sig att anpassa sig.

Förordningen delar in AI-system i risknivåer: förbjudna tillämpningar, högrisksystem, generella AI-modeller (GPAI) och allt annat. De flesta bolag kommer aldrig röra vid den förbjudna kategorin. Men fler än man tror rör vid högrisk-kategorin utan att veta om det — särskilt inom kreditgivning, rekrytering och vissa HR-processer.

## Tidslinjen som gäller nu

Fyra datum, i ordning — och ett av dem är viktigare än de flesta tror.

**1 augusti 2024** — förordningen trädde i kraft. Det är startskottet, inte deadline.

**2 februari 2025** — de förbjudna tillämpningarna blev olagliga. Social scoring, vissa former av biometrisk kategorisering, manipulativa AI-system riktade mot särskilt utsatta grupper. Om ditt bolag inte sysslar med något av detta har datumet redan passerat utan att beröra er.

**2 augusti 2025** — två saker hände samtidigt detta datum, och den andra är den som oftast missas i den offentliga debatten. Dels blev reglerna för generella AI-modeller (GPAI) och förordningens styrningsstruktur — nationella tillsynsmyndigheter, AI-nämnden på EU-nivå — tillämpliga. Dels, och det här är avgörande: sanktionsbestämmelserna i kapitel XII trädde i kraft samma dag. Sanktionerna är alltså inte en framtida risk kopplad till 2026-deadlinen. De är operativa redan nu, och de skärps i takt med att fler krav blir tillämpliga fram till nästa sommar.

Siffrorna är satta för att göra intryck. Upp till 7 procent av global årsomsättning, max 35 miljoner euro, för de allvarligaste överträdelserna — användning av förbjudna AI-metoder. Upp till 3 procent, max 15 miljoner euro, för många andra överträdelser kopplade till högrisksystem, inklusive brister i dokumentation, riskhantering och mänsklig tillsyn. Procentsatsen räknas på koncernens globala omsättning — inte på omsättningen i den svenska delen av verksamheten, och inte på storleken på det AI-projekt som orsakade problemet.

**2 augusti 2026** — det stora datumet för de flesta läsare här. Då blir kraven för högrisksystem enligt bilaga III tillämpliga fullt ut: riskhanteringssystem, dokumentation, mänsklig tillsyn, i vissa fall registrering i EU-databas. Det är slutpunkten för ett arbete som bör börja nu — inte startpunkten för att börja fundera.

**2 augusti 2027** — högrisksystem som är säkerhetskomponenter i produkter (till exempel inom medicinteknik och fordon) får sin fulla tillämpning. Längre bort, men relevant för färre bolag i den här läsekretsen.

## Det som diskuteras just nu — och varför det inte förändrar vad du bör göra

EU-kommissionen har lagt fram ett så kallat digitalt omnibus-förslag som föreslår att förenkla och i vissa delar skjuta fram tillämpningen av högriskreglerna. Förslaget är inte lag. Det är ett förslag under förhandling, och historien visar att sådana förhandlingar sällan går snabbt eller landar där man trodde från start.

Det är brus, inte grund för passivitet. Ett bolag som väntar på att reglerna ska bli enklare riskerar att stå oförberett den dag förhandlingen landar — åt vilket håll den än landar. Den som redan gjort sin inventering förlorar ingenting om deadline skjuts. Den som inte gjort något förlorar allt om den inte skjuts. Och sanktionsbestämmelserna som redan gäller sedan augusti 2025 påverkas inte av ett förslag som fortfarande diskuteras.

## Vad det betyder för ditt bolag, konkret

Anta att du sitter i ledningen för ett mindre finansbolag och använder ett AI-baserat verktyg för att förbedöma kreditansökningar innan en handläggare tar det slutliga beslutet. Frågan är inte om verktyget är "bra AI" eller "dålig AI" — frågan är om det klassificeras som högrisksystem enligt bilaga III. Kreditvärdering av privatpersoner är uttryckligen nämnt där. Det betyder krav på dokumenterad riskhantering, mänsklig tillsyn som faktiskt kan gripa in, och spårbarhet i hur systemet fattar sina rekommendationer.

Det är inte en fråga för it-avdelningen att lösa i tysthet. Det är en styrelsefråga, för att den handlar om ansvar, inte om teknik. Affären först, juridiken sen — men i det här fallet är juridiken en del av affären, för den som klassificerar fel riskerar sanktioner kopplade till global omsättning, inte till hur stort AI-projektet var eller hur många det berörde.

## Vad du gör med detta

Två saker, i den ordningen:

Inventera. Lista vilka AI-verktyg som faktiskt används i verksamheten idag — inte bara de IT köpt in, utan de säljteamet, HR eller ekonomifunktionen börjat använda på eget bevåg.

Klassificera. För varje verktyg: hamnar det i högrisk-kategorin utifrån vad det används till, inte utifrån vad leverantören kallar det?

Den som redan har svaret på fråga ett behöver inte oroa sig för resten av tidslinjen. Den som inte har det bör börja där.

*Det här är en allmän lägesbild av AI-förordningens tidslinje och sanktionsstruktur — inte juridisk rådgivning för ert specifika fall. Klassificering av AI-system och bedömning av sanktionsrisk kräver genomgång av er faktiska verksamhet.*

Har ni gjort den inventeringen i er verksamhet — eller ligger den fortfarande på någons att-göra-lista?