Grunder

EU AI Act i översikt

EU:s AI-förordning (förordning (EU) 2024/1689) är världens första heltäckande lag för artificiell intelligens. Den reglerar inte AI enhetligt, utan utifrån risken med användningen, och berör nästan alla företag som använder AI.

Vad handlar EU AI Act om?

EU AI Act trädde i kraft den 1 augusti 2024 och gäller som EU-förordning direkt i alla medlemsstater, utan att kräva nationell implementering. Syftet är en tillförlitlig, säker och grundrättighetskonform användning av AI på den inre marknaden. Förordningen bygger på en riskbaserad ansats: ju högre risk ett AI-system innebär för människor och samhälle, desto strängare krav.

Viktigt: EU AI Act verkar extraterritoriellt. Även leverantörer utanför EU omfattas, så snart deras AI-system lanseras på EU-marknaden eller deras resultat används inom EU. Skyldigheterna träder dessutom inte i kraft på en gång utan stegvis, en fullständig tidslinje finns på vår sida om tidsfrister.

Den riskbaserade ansatsen: fyra riskklasser

Kärnan i EU AI Act är indelningen av AI-system i fyra riskklasser. Klassen avgör vilka konkreta skyldigheter som gäller:

Oacceptabel risk

Förbjudna metoder, t.ex. social poängsättning av myndigheter eller manipulativa system. Förbjudna sedan 2 februari 2025.

Hög risk

AI inom känsliga områden (t.ex. rekrytering, kreditgivning, kritisk infrastruktur). Strikta krav på riskhantering, datakvalitet och mänsklig tillsyn.

Begränsad risk

Transparenskrav, användare måste t.ex. veta att de pratar med en chattbot eller att innehåll är AI-genererat.

Minimal risk

Merparten av dagens tillämpningar (t.ex. skräppostfilter, AI i spel). Inga särskilda skyldigheter.

De flesta företag använder AI inom minimal eller begränsad risk. Men även då gäller en grundläggande skyldighet oavsett riskklass, AI-kompetensen hos medarbetarna.

Oavsett riskklass gäller för nästan alla företag som använder AI kravet på AI-kompetens enligt artikel 4, redan sedan 2 februari 2025. Mer på sidan Art. 4, AI-kompetens.

GPAI: modeller med allmänt ändamål

En särskild roll spelar GPAI-modeller (General Purpose AI), stora, mångsidigt användbara AI-modeller som driver moderna chattbottar och text- eller bildgeneratorer. Sedan den 2 augusti 2025 gäller egna krav för dem, bland annat om teknisk dokumentation, transparens gentemot nedströmsanvändare och respekt för upphovsrätten. För särskilt kraftfulla modeller med möjliga systemrisker tillkommer ytterligare krav.

Vem berörs? Leverantörer, tillhandahållare med mera

EU AI Act skiljer mellan flera roller — med olika långtgående skyldigheter:

Leverantörer (Provider): utvecklar AI-system eller släpper ut dem på marknaden under eget namn. De har de mest omfattande skyldigheterna.
Tillhandahållare (Deployer): använder AI i sin yrkesverksamhet, det gäller de flesta företag.
Importörer & distributörer: importerar eller distribuerar AI-system på EU-marknaden och måste kontrollera deras konformitet.

Avgörande: även den som "bara" använder AI — det vill säga uppträder som tillhandahållare — har skyldigheter, framför allt vad gäller medarbetarnas AI-kompetens. Missuppfattningen "vi utvecklar ju ingen AI, det berör oss inte" är ett av de vanligaste misstagen.

Vilka skyldigheter gäller och från när?

EU AI Act träder i kraft i etapper. De viktigaste datumen i korthet:

1 augusti 2024: Förordningen träder i kraft.
2 februari 2025: Förbjudna metoder (art. 5) och kravet på AI-kompetens (art. 4) gäller.
2 augusti 2025: Skyldigheter för GPAI-modeller, styrningsstrukturen och sanktionsbestämmelserna träder i kraft.
2 augusti 2026: Merparten av reglerna för AI-system med hög risk börjar gälla.
2 augusti 2027: Sista övergångsfristerna för vissa högrisk-system löper ut.

Alla detaljer och undantag förklarar vi på sidan om tidsfrister.

EU AI Act och GDPR: inget antingen-eller

EU AI Act ersätter inte dataskyddsförordningen, båda gäller parallellt. Medan GDPR reglerar hanteringen av personuppgifter adresserar EU AI Act AI-systemet som sådant och dess risker. Behandlar ett AI-system personuppgifter måste företagen följa båda regelverken samtidigt. En gedigen AI-kompetens hjälper medarbetarna att känna igen just dessa gränsdragningar i vardagen.

Sanktioner vid överträdelser

Överträdelser av EU AI Act kan leda till kännbara böter. Förordningen graderar dem efter allvar:

Upp till 35 mn euro eller 7 % av den globala årsomsättningen, enbart vid förbjudna metoder enligt artikel 5.
Upp till 15 mn euro eller 3 %, vid överträdelser av övriga skyldigheter, till exempel för tillhandahållare (inklusive kravet på AI-kompetens enligt art. 4).
Upp till 7,5 mn euro eller 1,5 %, vid felaktiga eller vilseledande uppgifter till myndigheter.

För små och medelstora företag samt startups gäller det lägre av de två beloppen som övre gräns. Mer på sidan Böter.

Vad innebär det konkret för ditt företag?

Skaffa dig en överblick över var AI används i ditt företag.
Säkerställ att medarbetarna har tillräcklig AI-kompetens enligt artikel 4.
Genomför en EU AI Act-utbildning och dokumentera den verifierbart, som bevis gentemot myndigheterna.
Håll koll på EU AI Acts tidsfrister, särskilt 2 augusti 2026, då reglerna för många AI-system med hög risk träder i kraft.

Vanliga frågor om EU AI Act

Gäller EU AI Act även för små företag?

Ja. Kravet på AI-kompetens enligt artikel 4 gäller oavsett företagsstorlek för alla som använder AI yrkesmässigt. Vid böter behandlas dock SMF:er mer fördelaktigt.

Måste jag registrera mina AI-system någonstans?

Registreringskrav gäller framför allt för vissa högrisk-system. Använder du AI enbart inom minimal eller begränsad risk är medarbetarnas AI-kompetens det centrala. Fler svar samlar vår FAQ-sida.

Utbilda ditt team nu Se böterna

Obs: denna översikt är informativ och utgör inte juridisk rådgivning.