AI-förordningens krav: vad som gäller för din verksamhet 2026

AI-förordningen (EU) 2024/1689 ställer krav efter hur stor risk ett AI-system innebär och vilken roll din organisation har. Vissa användningar är helt förbjudna. AI-system med hög risk kräver riskhantering, dokumentation, loggning och mänsklig tillsyn. Chattbottar och AI-genererat innehåll omfattas av transparenskrav. Alla som använder AI i yrkeslivet måste dessutom se till att personalen har tillräcklig AI-kunnighet. Sedan den 2 augusti 2026 tillämpas huvuddelen av reglerna. Därför behöver du nu veta vilka AI-system ni har, vilken risknivå de hamnar i och om ni är leverantör eller tillhandahållare.

TL;DR

• Kraven beror på risknivå: oacceptabel risk (förbjudet), hög risk (omfattande krav), begränsad risk (transparens) och minimal risk (inga särskilda obligatoriska krav).
• Kraven beror också på roll: leverantören bär det tyngsta ansvaret, men tillhandahållaren, alltså den organisation som använder systemet, har egna skyldigheter.
• Tidslinjen: förbuden och kravet på AI-kunnighet gäller sedan 2 februari 2025, reglerna för AI-modeller för allmänna ändamål sedan 2 augusti 2025 och de flesta övriga krav sedan 2 augusti 2026.
• GDPR gäller parallellt: AI-förordningen ersätter inte dataskyddsreglerna. Behandlar AI-systemet personuppgifter gäller båda regelverken.
• Första steget är en inventering: kartlägg alla AI-lösningar som används, testas eller planeras, och klassificera dem.

Innehållsförteckning

• Så är AI-förordningen uppbyggd
• Tidslinjen: när gäller vilka krav?
• Förbjudna AI-system: oacceptabel risk
• Krav på AI-system med hög risk
• Transparenskrav: begränsad risk
• AI-modeller för allmänna ändamål och generativ AI
• AI-kunnighet gäller alla
• AI-förordningen och GDPR gäller samtidigt
• Sanktioner vid överträdelser
• Så kommer ni igång: sex steg
• Vårt perspektiv: AI-efterlevnad är ett ledningssystem, inte ett projekt
• AI-förordningen i Trustview
• Vanliga frågor om AI-förordningens krav
• Källor

Så är AI-förordningen uppbyggd

AI-förordningen är en EU-förordning. Den gäller alltså direkt i Sverige, utan att först föras in i svensk lag. Den beskrivs ibland som ett ”AI-direktiv”, men det är fel: en förordning gäller direkt, medan ett direktiv måste genomföras nationellt. Förordningen trädde i kraft den 1 augusti 2024 och bygger på en riskbaserad modell med fyra nivåer.

I grunden fungerar förordningen som produktsäkerhetslagstiftning. Kraven knyts till AI-systemet och till de aktörer som utvecklar, släpper ut eller använder det. Två roller är centrala:

• Leverantör: den som utvecklar ett AI-system, eller låter utveckla det, och släpper ut det på marknaden eller tar det i bruk under eget namn eller varumärke.
• Tillhandahållare: den som använder ett AI-system under sin egen ledning i yrkesmässig verksamhet, till exempel ett företag som använder ett AI-verktyg för att sortera ansökningar i en rekrytering.

Rollerna är inte alltid självklara. Digg påpekar att organisationer som själva anpassar eller vidareutvecklar AI-lösningar kan få ansvar som leverantör. Det är en vanlig fallgrop. Det räcker att ni byter ändamål på ett system eller gör en väsentlig ändring i det, så kan ni få leverantörens skyldigheter, med krav på teknisk dokumentation och konformitetsbedömning.

Tidslinjen: när gäller vilka krav?

Reglerna börjar tillämpas i etapper. Det framgår av förordningens slutbestämmelser i EUR-Lex och av Diggs sammanställning om AI-förordningen.

På EU-nivå har det också diskuterats att förenkla regelverket och skjuta fram vissa högriskkrav. Kontrollera därför aktuell status i EUR-Lex eller hos IMY innan du bestämmer er tidsplan. Planera ändå utifrån datumen ovan tills en eventuell ändring faktiskt har antagits.

I Sverige har betänkandet SOU 2025:101 föreslagit en ny lag och förordning som kompletterar AI-förordningen, bland annat om tillsyn och om hur ansvaret ska fördelas mellan myndigheter. Digg tillstyrker förslagen i sitt remissvar. Vilken svensk tillsynsmyndighet som ansvarar för just ert område avgörs alltså av den kompletterande lagstiftningen.

Förbjudna AI-system: oacceptabel risk

Sedan 2 februari 2025 är vissa AI-användningar förbjudna i hela EU. Förbuden i artikel 5 omfattar bland annat:

1. AI som använder subliminala eller manipulativa tekniker som väsentligt snedvrider människors beteende och orsakar betydande skada.
2. AI som utnyttjar sårbarheter kopplade till ålder, funktionsnedsättning eller social och ekonomisk situation.
3. Social poängsättning som leder till skadlig eller oproportionerlig behandling.
4. Riskbedömningar av om en person kommer att begå brott, om de enbart bygger på profilering eller personlighetsdrag.
5. Oriktad skrapning av ansiktsbilder från internet eller övervakningskameror för att bygga databaser för ansiktsigenkänning.
6. Känsloigenkänning på arbetsplatser och i utbildning, utom av medicinska skäl eller säkerhetsskäl.
7. Biometrisk kategorisering som härleder till exempel etniskt ursprung, politiska åsikter eller sexuell läggning.
8. Biometrisk fjärridentifiering i realtid på allmän plats för brottsbekämpande ändamål, med snävt avgränsade undantag.

För de flesta svenska företag handlar risken inte om att medvetet bygga sådana system. Den handlar om funktioner som följer med köpta verktyg. Ett exempel är en HR- eller mötesplattform som erbjuder ”sentimentanalys” av medarbetare. Den kan i praktiken röra sig mot förbjuden känsloigenkänning på arbetsplatsen.

Krav på AI-system med hög risk

Här finns de mest omfattande kraven. Ett AI-system räknas som högrisk om det är en säkerhetskomponent i en reglerad produkt (bilaga I), eller om det används inom något av områdena i bilaga III:

• biometri
• kritisk infrastruktur
• utbildning och yrkesutbildning, till exempel antagning och bedömning
• anställning och personalhantering, till exempel rekrytering, befordran och uppföljning av prestationer
• tillgång till väsentliga privata och offentliga tjänster, till exempel kreditvärdighetsbedömning och prissättning av liv- och sjukförsäkring
• brottsbekämpning, migration och gränskontroll
• rättskipning och demokratiska processer

Kreditbedömning visar varför klassificeringen spelar så stor roll. Inom finans automatiseras allt fler steg, något som syns tydligt i branschens diskussion om AI-automatisering i bolånehantering. Regelbaserad automatisering av dokumentflöden är en sak. Ett AI-system som bedömer en privatpersons kreditvärdighet hamnar däremot i bilaga III och utlöser hela högriskregimen.

Leverantörens skyldigheter

Enligt artiklarna 9 till 17 och 43 till 49 i förordningstexten ska leverantören av ett högrisksystem bland annat:

• inrätta ett riskhanteringssystem som löper över hela livscykeln
• säkerställa datakvalitet och dataförvaltning för tränings-, validerings- och testdata, med fokus på relevans, representativitet och snedvridning (bias)
• upprätta teknisk dokumentation innan systemet släpps ut på marknaden och hålla den uppdaterad
• bygga in automatisk loggning av händelser så att systemet går att spåra
• ge tillhandahållare tydliga bruksanvisningar och information om systemets kapacitet och begränsningar
• utforma systemet för mänsklig tillsyn
• uppnå lämplig noggrannhet, robusthet och cybersäkerhet
• ha ett kvalitetsledningssystem
• genomföra konformitetsbedömning, CE-märka och registrera systemet i EU:s databas
• bedriva övervakning efter utsläppandet på marknaden och rapportera allvarliga incidenter

Tillhandahållarens skyldigheter

De flesta organisationer köper AI. De är därför tillhandahållare och inte leverantörer. Enligt artikel 26 ska ni då bland annat:

• använda systemet enligt leverantörens bruksanvisning
• utse personer med rätt kompetens, utbildning och befogenheter för den mänskliga tillsynen
• se till att indata är relevanta och tillräckligt representativa, i den mån ni kontrollerar dem
• övervaka driften och informera leverantören och myndigheter vid risker eller allvarliga incidenter
• spara loggar som genereras automatiskt i minst sex månader, om inget annat följer av annan lag
• informera arbetstagare och deras företrädare innan ett högrisksystem tas i bruk på arbetsplatsen
• informera personer som blir föremål för beslut som fattas med stöd av systemet

Offentliga organ, privata aktörer som tillhandahåller offentliga tjänster och de som använder AI för kreditbedömning eller försäkringsprissättning ska dessutom göra en konsekvensbedömning avseende grundläggande rättigheter (artikel 27) innan systemet tas i bruk. Den kan samordnas med en konsekvensbedömning enligt GDPR, men ersätter den inte. En fördjupning finns i vår guide om vad högriskreglerna kräver av er.

Transparenskrav: begränsad risk

Artikel 50 riktar sig till AI-system som interagerar med människor eller skapar innehåll:

• Chattbottar och AI-assistenter: människor ska få veta att de interagerar med ett AI-system, om det inte är uppenbart.
• Syntetiskt innehåll: leverantörer av system som genererar ljud, bild, video eller text ska märka utdata i ett maskinläsbart format så att det går att upptäcka som AI-genererat.
• Deepfakes: tillhandahållare som publicerar AI-genererade eller manipulerade bilder, ljud eller video som liknar verkliga personer, platser eller händelser ska upplysa om det. Det finns lättnader för uppenbart konstnärligt eller satiriskt material.
• AI-genererad text som publiceras för att informera allmänheten i frågor av allmänt intresse ska märkas, om den inte har granskats redaktionellt av en människa som tar ansvar för publiceringen.

Svaret på den vanliga frågan ”måste man märka AI-bilder?” är alltså ja i många fall. Det gäller särskilt när bilden kan uppfattas som en verklig person eller händelse.

AI-modeller för allmänna ändamål och generativ AI

Stora språkmodeller och andra GPAI-modeller har egna krav sedan 2 augusti 2025. Digg beskriver att generativ AI klassificeras som en allmän AI-modell med särskilda krav. Modelleverantören ska bland annat ta fram teknisk dokumentation, ge information till dem som bygger vidare på modellen, ha en policy för upphovsrätt och publicera en sammanfattning av träningsdata. Modeller med systemrisk har ytterligare krav på utvärdering, incidentrapportering och cybersäkerhet.

För en svensk organisation som använder generativa tjänster i det dagliga arbetet ligger dessa krav främst hos modelleverantören. Ni har dock kvar ansvaret för hur verktyget används, både enligt AI-förordningen och GDPR. Läs mer om det i vår artikel om GDPR och ChatGPT på jobbet.

AI-kunnighet gäller alla

Artikel 4 är det krav som flest organisationer missar. Både leverantörer och tillhandahållare ska vidta åtgärder för att säkerställa att personal som hanterar AI-system har tillräcklig AI-kunnighet. Kunskapsnivån ska anpassas efter deras teknik, erfarenhet, utbildning och det sammanhang systemet används i. Kravet gäller oavsett risknivå, alltså även för vanliga produktivitetsverktyg.

I praktiken behöver ni kunna visa:

• vilka roller som använder vilka AI-verktyg
• vilken utbildning eller vägledning de har fått
• att det finns interna riktlinjer, till exempel en AI-policy med checklista för ledningen

AI-förordningen och GDPR gäller samtidigt

IMY betonar i sin vägledning om GDPR vid användning av generativ AI att dataskyddsreglerna gäller fullt ut när AI behandlar personuppgifter. Det betyder att principerna om laglighet, ändamålsbegränsning och dataminimering fortfarande måste följas. Vägledningen varnar också för att anonymisering av AI-modeller sällan är så enkel som den verkar. Utgå från att systemet behandlar personuppgifter tills motsatsen är visad. IMY:s frågor och svar om AI-förordningen ger fler exempel på hur regelverken samverkar.

Konkret innebär det att ett och samma AI-projekt ofta kräver:

1. en post i registerförteckningen enligt artikel 30 GDPR
2. en DPIA när behandlingen sannolikt leder till hög risk
3. klassificering och dokumentation enligt AI-förordningen
4. avtal som klargör vem som är personuppgiftsansvarig och vem som är biträde, och vem som är leverantör och tillhandahållare enligt AI-förordningen

Sanktioner vid överträdelser

Sanktionsavgifterna i artikel 99 i AI-förordningen är högre än i GDPR för de allvarligaste överträdelserna:

För företag gäller det högre beloppet. För små och medelstora företag, inklusive uppstartsföretag, gäller i stället det lägre av de två.

Så kommer ni igång: sex steg

Både Digg och EU-kommissionen lyfter fram inventering som det avgörande första steget. Ett strukturerat arbetssätt ser ut så här:

1. Inventera. Lista alla AI-system som används, testas eller planeras, även AI-funktioner i befintliga SaaS-verktyg. Det är oftast i branschspecifika system som AI-funktionerna gömmer sig. Ett exempel är verktyg för AI-baserad hyresavtalsanalys och granskning av sökande, där automatisk bedömning av människor snabbt blir en regulatorisk fråga.
2. Klassificera. Avgör risknivå för varje system: förbjudet, hög risk, begränsad risk eller minimal risk.
3. Fastställ roll. Är ni leverantör eller tillhandahållare? Ändrar ni ändamål eller modell på ett sätt som förflyttar ansvaret?
4. Kartlägg kraven. Koppla rätt skyldigheter till varje system och utse en ansvarig person.
5. Dokumentera. Samla riskbedömningar, DPIA, konsekvensbedömningar avseende grundläggande rättigheter, leverantörsunderlag och utbildningsinsatser på ett ställe.
6. Följ upp. Inför incidentloggning, periodisk omprövning och rapportering till ledningen. Ett ramverk som ISO/IEC 42001 för AI-styrning kan ge struktur åt arbetet.

Är ni osäkra på klassificeringen av ett enskilt system, särskilt inom rekrytering, kreditbedömning eller offentlig myndighetsutövning, bör ni låta en jurist med erfarenhet av AI-förordningen bedöma det innan systemet tas i bruk.

Vårt perspektiv: AI-efterlevnad är ett ledningssystem, inte ett projekt

Vi som arbetar med Trustview är jurister och ser samma mönster i många organisationer. AI-förordningen hanteras som ett separat projekt, ofta drivet av IT, medan dataskyddsombudet arbetar med GDPR i ett annat verktyg och informationssäkerhet följer upp NIS2 i ett tredje. Det blir dubbelarbete, och vid en tillsyn blir det svårt att visa en sammanhängande bild.

Vår erfarenhet är att kraven i AI-förordningen i hög grad bygger på arbetssätt som välfungerande compliance-program redan har: riskbedömningar, ansvarsfördelning, leverantörsbedömningar, incidenthantering och uppföljning av åtgärder. Skillnaden är att AI-systemet nu måste vara ett eget objekt i registret, med klassificering, roll och dokumentation kopplad till sig. Den organisation som redan har ordning på sin registerförteckning och sina konsekvensbedömningar har kommit en bra bit på vägen.

Vårt råd är därför att börja med inventeringen. Bygg vidare på det ni redan har i stället för att skapa en ny silo. Det verkliga skälet är inte sanktionsavgifterna, även om de är betydande. Det är att ledningen behöver kunna svara på en enkel fråga: vilka AI-system fattar beslut som påverkar våra kunder och medarbetare, och vem ansvarar för dem?

— Jesper

AI-förordningen i Trustview

Trustview samlar arbetet med AI-förordningen, GDPR, NIS2 och ISO 27000 i en svenskutvecklad plattform. Där kan ni registrera och klassificera AI-system, göra konsekvensbedömningar, bedöma leverantörer, logga incidenter, delegera ansvar och följa compliance-status i realtid. Färdiga mallar och guider gör att ni kommer igång snabbt. När ni behöver en juridisk bedömning kan ni komplettera med juridisk rådgivning. Läs mer om Trustviews stöd för AI-förordningen eller se priser för Trustview, från 2 500 kr per månad.

Vanliga frågor om AI-förordningens krav

Vilka risknivåer finns det enligt AI-förordningen?

Det finns fyra nivåer: oacceptabel risk, hög risk, begränsad risk och minimal risk. System med oacceptabel risk är förbjudna och högrisksystem omfattas av de mest omfattande kraven. Begränsad risk innebär främst transparenskrav, medan minimal risk saknar särskilda obligatoriska krav utöver AI-kunnighet.

Vilka AI-system är förbjudna?

Förbjudet är bland annat manipulativ AI som orsakar skada, social poängsättning, brottsprognoser som enbart bygger på profilering, oriktad skrapning av ansiktsbilder och känsloigenkänning på arbetsplatser och i skolor. Förbuden gäller sedan 2 februari 2025.

Gäller AI-förordningen oss om vi bara köper AI-verktyg?

Ja. Som tillhandahållare ska ni säkerställa AI-kunnighet, följa transparenskraven och, för högrisksystem, använda systemet enligt instruktionerna, säkerställa mänsklig tillsyn, spara loggar och informera berörda. Ändrar ni systemet väsentligt kan ni dessutom få leverantörens skyldigheter.

Ersätter AI-förordningen GDPR?

Nej. Regelverken gäller parallellt. Behandlar ett AI-system personuppgifter måste ni följa GDPR fullt ut, till exempel med rättslig grund, registerförteckning och vid behov en DPIA, utöver kraven i AI-förordningen.

Källor

• AI Act enters into force – Europeiska kommissionen
• Förordning (EU) 2024/1689 – EUR-Lex
• AI-förordningen – Digg
• Förbered verksamheten inför AI-förordningen – Digg
• Diggs remissvar på SOU 2025:101
• GDPR vid användning av generativ AI – IMY
• Frågor och svar om AI-förordningen – IMY
• AI-automatisering i bolånehantering
• AI-baserad hyresavtalsanalys

Rekommendationer

• Framtidens compliance 2026: vad du behöver veta
• AI-förordningen hög risk: vad kräver reglerna av er?
• Roll av AI inom compliance: guide för 2026
• AI-policy för företag: mall och checklista för ledningen 2026