EU AI Act: Komplett guide för svenska företag som använder AI

EU:s AI Act är världens första heltäckande reglering av artificiell intelligens och trädde i kraft 2024 med stegvis implementering fram till 2027. 2026 är flera av de viktigaste bestämmelserna redan i kraft, och svenska företag som använder eller utvecklar AI måste förstå vad som gäller. Den här guiden ger en komplett genomgång av AI Act – riskkategorier, compliance-krav, tidslinje och praktiska steg för efterlevnad.

AI Act överlappar delvis med GDPR men är ett separat regelverk med egna krav och sanktioner. För svenska företag innebär det flera samtidiga åtaganden, särskilt för AI-system som behandlar personuppgifter. Min erfarenhet är att bolag som redan har ett strukturerat GDPR-arbete har en bra grund men måste lägga till flera AI-specifika processer.

AI Acts riskkategorier – fyra nivåer

AI Act använder en riskbaserad ansats med fyra kategorier: oacceptabel risk, hög risk, begränsad risk och minimal risk. Varje kategori har olika krav, och det är systemets användning – inte tekniken i sig – som avgör kategorin. Samma AI-modell kan hamna i olika kategorier beroende på hur den används.

Oacceptabel risk omfattar AI-system som är förbjudna enligt lag. Det inkluderar social poängsättning av myndigheter, realtidsansiktsigenkänning på allmän plats (med få undantag), manipulerande teknik som utnyttjar sårbara grupper, och prediktiv polisverksamhet baserad enbart på profilering. Dessa system är förbjudna sedan februari 2025.

Hög risk omfattar AI-system inom reglerade produkter (medicinteknik, leksaker, fordon) och specifika användningsområden som kritiska infrastrukturer, utbildning, anställning, kreditvärdighet och rättskipning. Dessa system måste genomgå en bedömning av överensstämmelse (conformity assessment) innan de släpps på marknaden. Kraven omfattar riskhantering, datastyrning, teknisk dokumentation, transparens, mänsklig tillsyn och noggrannhet.

Begränsad risk omfattar AI-system som interagerar med människor, till exempel chatbotar och deepfakes. Kraven är främst transparens – användare måste informeras om att de interagerar med AI. Minimal risk omfattar alla andra AI-system, till exempel AI i datorspel eller spamfilter. Dessa har inga specifika krav utöver befintlig lagstiftning.

Förbjudna AI-praktiker

AI Act listar explicita förbud som gäller från och med februari 2025. För svenska företag är det viktigaste förbudet mot manipulativa AI-system – system som använder subliminala tekniker eller utnyttjar sårbarheter för att väsentligt påverka beteende. Detta påverkar marknadsföring, speldesign och sociala medie-plattformar.

Förbudet mot social poängsättning av myndigheter påverkar främst offentlig sektor. Förbudet mot realtidsansiktsigenkänning på allmän plats är relevant för polis och säkerhetsföretag. Prediktiv profilering för brottsbekämpning är också förbjudet om det inte baseras på objektiva och verifierbara fakta.

Listan över förbjudna praktiker kan komma att utökas efterhand som kommissionen utvärderar nya risker. För de flesta svenska företag är förbuden inte direkt relevanta – de riktar sig mot specifika användningar snarare än generisk AI-användning – men det är viktigt att känna till dem för att undvika framtida överträdelser.

Högrisk AI – de omfattande kraven

För AI-system som klassificeras som högrisk ställer AI Act omfattande krav. Riskhanteringssystemet måste vara kontinuerligt – identifiera, analysera och mitigera risker under hela systemets livscykel. Datastyrningskraven innebär att träningsdata måste vara relevant, representativ, fri från bias och dokumenterad avseende ursprung och behandling.

Teknisk dokumentation måste vara omfattande och beskriva systemets utvecklingsmetodik, träningsdata, prestanda, begränsningar och förväntade beteende. Transparens kraven innebär att användare ska kunna förstå systemets kapabiliteter och begränsningar. Mänsklig tillsyn kräver att systemet kan övervakas och, vid behov, överstyras av en människa.

Noggrannhet och robusthet kräver att systemet presterar på specificerade nivåer och är motståndskraftigt mot fel och manipulation. För högrisk AI-system som omfattas av annan EU-lagstiftning (till exempel medicinteknikförordningen) kan den bedömning av överensstämmelse som krävs av den lagstiftningen även täcka AI Acts krav.

Transparenskrav för AI som interagerar med människor

Alla AI-system som interagerar med människor omfattas av transparenskrav. En chatbot måste tydligt informera användaren om att den talar med en AI, inte en människa. Deepfakes måste märkas som AI-genererade. Texter som genererats av AI för att informera allmänheten om frågor av allmänt intresse måste märkas.

För svenska företag som använder AI-chatbotar i kundtjänst, AI-genererat innehåll i marknadsföring, eller AI-assistenter i interna system innebär transparenskraven att ni måste implementera tydlig märkning. Märkningen ska vara synlig och otvetydig – en liten fotnot längst ner på sidan räcker inte.

Transparenskraven är relativt enkla att uppfylla men kräver medvetenhet och systematisk hantering. Se över alla era system som använder AI och identifiera vilka som interagerar med människor eller genererar innehåll. Märk dem därefter. Dokumentera era beslut om märkning.

Böter och sanktioner

AI Act har en tydlig sanktionstrappa som liknar GDPR:s. För överträdelser av förbudet mot oacceptabel risk: böter upp till 35 miljoner EUR eller 7 procent av global årsomsättning, beroende på vilket som är högst. För överträdelser av krav för högrisk AI: upp till 15 miljoner EUR eller 3 procent av global årsomsättning.

För att lämna felaktig information till tillsynsmyndigheten: upp till 7,5 miljoner EUR eller 1 procent av global årsomsättning. Bötesnivåerna är avskräckande och visar att EU menar allvar. För svenska företag innebär det att compliance måste tas på allvar – kostnaden för att inte följa reglerna är betydligt högre än kostnaden för att implementera dem.

Böter kan kombineras med andra sanktioner som återkallelse av produkten från marknaden, krav på att ändra systemet eller i sista hand förbud mot att fortsätta använda systemet. Tillsynsmyndigheterna – i Sverige IMY – har omfattande befogenheter.

Tidslinje – vad gäller när?

AI Act har en stegvis implementering. Februari 2025: förbuden mot oacceptabel risk trädde i kraft. Augusti 2025: regler för AI-system med allmänt ändamål (GPAI) började gälla. Augusti 2026: de flesta bestämmelser för högrisk AI-system i bilaga III träder i kraft – detta är den viktigaste deadline för de flesta svenska företag.

Augusti 2027: alla återstående bestämmelser för högrisk AI-system träder i kraft, inklusive de som är inbäddade i reglerade produkter (medicinteknik, maskiner, leksaker). 2026 är alltså året då de flesta svenska företag måste ha sina AI-system i linje med AI Act. Att vänta till 2027 är riskabelt med tanke på ledtider för implementering.

Svensk implementering – IMY:s roll

I Sverige är Integritetsskyddsmyndigheten (IMY) utsedd till tillsynsmyndighet för AI Act. IMY ansvarar för att övervaka efterlevnad, hantera klagomål och utfärda sanktioner. IMY har redan påbörjat arbetet med att bygga upp kompetens och publicera vägledningar för svenska företag.

IMY har också en roll i det europeiska samarbetet – European Artificial Intelligence Board (EAIB) samordnar tillsynen över gränserna. För svenska företag som verkar i flera EU-länder innebär det att en enda tillsynsmyndighet (lead authority) ansvarar för tillsynen, precis som under GDPR med lead supervisory authority.

Relation till GDPR – två regelverk som överlappar

AI Act och GDPR överlappar när ett AI-system behandlar personuppgifter. GDPR kräver laglig grund för behandlingen, dataminimering och rättigheter för registrerade. AI Act kräver riskhantering, datastyrning och transparens för AI-systemet. När båda gäller samtidigt måste ni uppfylla båda – de ersätter inte varandra.

De viktigaste skärningspunkterna är: dataminimering (hur mycket personuppgifter behövs för AI-träning?), rätten till förklaring (kan AI-beslut förklaras för registrerade?), och profilering (AI Act har specifika krav för AI-baserad profilering som går utöver GDPR).

För svenska företag som bygger eller använder AI-system på personuppgifter rekommenderar jag en gemensam compliance-process som täcker båda regelverken. Att hantera dem separat leder till dubbelarbete och ökad risk för missade krav. Vår artikel om GDPR + AI Act har en djupare genomgång av skärningspunkterna.

Praktiska steg för compliance 2026

Börja med att inventera alla era AI-system och klassificera dem enligt AI Acts riskkategorier. Dokumentera för varje system: syfte, användningsområde, träningsdata, riskbedömning och ansvarig person. För högrisk-system: påbörja arbetet med teknisk dokumentation, riskhantering och datastyrning.

Uppdatera era interna policyer för AI-användning. Inför en AI Governance-process som täcker hela livscykeln från inköp och utveckling till drift och avveckling. Utbilda personal i AI Acts krav och era interna regler. Överväg att utse en AI-ansvarig (AI Officer) som samordnar compliance-arbetet.

Glöm inte att AI Act är en levande reglering. EU-kommissionen kommer att publicera genomförandeakter, standarder och vägledningar löpande. Håll er uppdaterade via IMY och branschorganisationer. Och kom ihåg: syftet med AI Act är inte att stoppa AI-utveckling – det är att säkerställa att den sker på ett ansvarsfullt sätt.

Vill du veta mer?

Behöver du hjälp med AI Act-compliance eller vill du göra en riskklassificering av era AI-system? Jag erbjuder rådgivning inom AI-reglering och teknisk implementation. Boka ett kostnadsfritt samtal så diskuterar vi era behov.