EU AI Act – förbered dig inför 2 augusti 2026

Den 2 augusti 2026 är ett datum som borde sitta på väggen i varje svenskt teknikbolag. Då träder EU AI Acts allmänna tillämpningsdag i kraft, och det innebär att större delen av regelverket blir bindande för företag som utvecklar, säljer eller använder AI-system inom EU. Det handlar inte bara om de stora techbolagen – många svenska medelstora företag och startups omfattas utan att ens vara medvetna om det. Och skillnaden mellan de som är förberedda och de som inte är det kan bli både dyr och pinsam.

Jag hjälper svenska bolag med teknisk compliance inom cybersäkerhet och AI-reglering, och EU AI Act är på många sätt mer omfattande än GDPR för den som bygger med AI. Här är vad ni måste ha på plats, och varför ni inte kan vänta till juli.

Riskklassificering: allt börjar här

EU AI Act delar in AI-system i fyra riskkategorier, och vilken kategori ert system hamnar i avgör allt annat – vilka krav som gäller, hur mycket dokumentation som krävs, och vad som händer om ni inte följer reglerna. Det här är det första steget, och det är också där många gör fel genom att underskatta sin klassificering.

• Oacceptabel risk (förbjudet): System som manipulerar beteende, social credit scoring, realtidsansiktsigenkänning i publika utrymmen. Här finns inget utrymme för tolkning – dessa är helt enkelt inte tillåtna inom EU.
• Hög risk: Den mest omfattande kategorin. Omfattar AI som används inom kritisk infrastruktur, utbildning, anställning, kreditvärdighet, brottsbekämpning, migration och rättskipning. Här krävs riskhanteringssystem, teknisk dokumentation, loggning, mänsklig tillsyn och löpande övervakning.
• Begränsad risk: System som interagerar med människor, till exempel chatbotar och AI-assistenter. Krav på transparens – användaren måste veta att de pratar med en AI.
• Minimal risk: Allt annat, som AI i spel eller spamfilter. Inga särskilda krav utöver vad som redan gäller.

De flesta svenska AI-tjänster jag ser hamnar i hög- eller begränsad risk, och många företag underskattar omfattningen av vad som krävs för högriskklassificeringen. Om ert AI-system påverkar människors rättigheter eller tillgång till tjänster – var försiktig med att klassa det som begränsad eller minimal risk.

Governance-krav: vad måste finnas på plats?

För högrisk-AI är kraven omfattande och konkreta. Det här är inte en checklista ni bockar av en gång – det är ett löpande arbete som måste vara integrerat i er utvecklingsprocess:

• Riskhanteringssystem: en iterativ process som identifierar, analyserar och mitigera risker genom hela AI-systemets livscykel.
• Datastyrning: tränings-, validerings- och testdata måste vara relevant, representativ och fri från bias. Dokumentera ursprung, syfte och begränsningar.
• Teknisk dokumentation: detaljerad beskrivning av systemets utvecklingsmetod, arkitektur, träningsdata, prestanda och förutsedda begränsningar.
• Loggning: automatisk loggning av händelser under drift, inklusive när systemet aktiveras, fattar beslut och när en människa ingriper.
• Mänsklig tillsyn: någon måste kunna övervaka, tolka och vid behov överrrida systemets beslut.
• Noggrannhet och robusthet: systemet måste uppnå specificerad noggrannhet och hantera felaktig input utan farligt beteende.

Sanktioner – vad kostar det att strunta i lagen?

Sanktionerna är minst sagt avskräckande. För otillåten användning av förbjudna AI-system blir bötesbeloppet upp till 35 miljoner euro eller 7 procent av den globala årsomsättningen – det högre beloppet gäller. För överträdelser av övriga krav är maxbeloppet 15 miljoner euro eller 3 procent av omsättningen. Det är i samma härad som GDPR.

Checklista inför 2 augusti 2026

1. Klassificera ert AI-system – gör en formell riskbedömning och dokumentera resultatet.
2. Kartlägg era datakällor – var kommer datan ifrån, hur har den samlats in, och är den representativ?
3. Bygg ert riskhanteringssystem – en iterativ process från utveckling till drift.
4. Säkerställ loggning och spårbarhet – går det att rekonstruera beslut i efterhand?
5. Utnäm en ansvarig – någon måste äga compliance-frågan.
6. Dokumentera allt – utan teknisk dokumentation kan ni inte bevisa compliance.

Koppling till GDPR och NIS2

EU AI Act existerar inte i ett vakuum. För svenska bolag som redan arbetar med NIS2-compliance och GDPR finns stora överlapp, särskilt inom datastyrning, riskhantering och dokumentation. GDPR kräver laglig grund för personuppgiftsbehandling. EU AI Act kräver att systemet är säkert, rättvist och transparent. Den som redan har ett ledningssystem för informationssäkerhet (LIS) har en bra grund – men måste utöka med AI-specifika kontroller.

"Den som bygger AI-system i Sverige och tror att EU AI Act inte gäller dem har med största sannolikhet fel. Skillnaden mellan förberedd och inte är ofta bara ett par månaders planering – men den skillnaden kan bli miljondyr."

Vill du ta det vidare?

Jag hjälper svenska bolag att förstå och efterleva EU AI Act – från riskklassificering till komplett dokumentation och governance-struktur. Boka ett förutsättningslöst samtal så går vi igenom era AI-system och vad ni måste ha på plats till augusti.