Den 2 augusti 2026 når EU:s AI-förordning sin nästa stora milstolpe. I månader har två berättelser cirkulerat: den ena lovar ett byråkratiskt monster som tvingar dyra certifieringar på varje företag med ett ChatGPT-konto. Den andra viftar bort det och hävdar att det bara berör de stora teknikkoncernerna. Båda har fel. Den som i ett mindre företag använder AI eller planerar att göra det bör veta vad som faktiskt gäller. Det är mindre än många fruktar, men det är inte ingenting.
På AI Værk arbetar vi inte bara med AI-projekt för små och medelstora företag; vi är också verksamma i politiska organ som behandlar regelverk och europeisk AI-infrastruktur. Ur det dubbla perspektivet vill vi sätta in vad AI-förordningen betyder i praktiken. Det här är uttryckligen ingen juridisk rådgivning; i enskilda fall hör saken hemma hos jurister. Men lagens underliggande logik går att förstå utan att vara advokat.
Tidslinjen, och vad som ändrades 2026
AI-förordningen har gällt sedan den 1 augusti 2024, men träder i kraft i etapper. Sedan den 2 februari 2025 gäller förbuden mot vissa metoder, som social poängsättning eller manipulativa system, tillsammans med kravet på AI-kunnighet i artikel 4. Sedan den 2 augusti 2025 gäller reglerna för leverantörer av AI-modeller för allmänna ändamål, alltså de stora grundmodellerna. Den 2 augusti 2026 följer nästa etapp: från och med då gäller transparenskraven i artikel 50, och de nationella tillsynsmyndigheterna får sina fulla befogenheter att kontrollera och sanktionera.
Det som betyder något är vad som ändrades i våras. Med det så kallade digitala omnibuspaketet lättade EU på delar av tidsplanen i juni 2026. De omfattande kraven på fristående högrisksystem, som ursprungligen också skulle ha gällt från den 2 augusti 2026, sköts upp till den 2 december 2027. För AI inbyggd i reglerade produkter, som maskiner eller medicintekniska produkter, är datumet nu den 2 augusti 2028 i stället för 2027. Den som hade tidspress kring högriskkraven har alltså fått luft. Ingenting upphävdes: kraven kommer, bara senare.
Logiken bakom: riskbaserat, inte över hela linjen
AI-förordningen reglerar inte "AI" som teknik, utan konkreta användningsfall, graderade efter risk. Överst ligger förbjudna metoder. Under dem högriskanvändningar, med stränga krav på datakvalitet, dokumentation, mänsklig tillsyn och riskhantering. Under dem system med begränsad risk, där i huvudsak transparenskrav gäller. Och längst ner den stora resten, där AI-förordningen knappt ställer några särskilda krav alls.
Den graderingen är skälet till att panikberättelsen inte håller. Ett företag som använder en AI-assistent för att skriva utkast till e-post, sammanfatta mötesanteckningar eller skissa offerttexter driver inget högrisksystem. Det ligger i den lägsta eller näst lägsta nivån, och där är kraven hanterbara.
Vad som konkret gäller för de flesta företag
För det typiska mindre företaget som använder AI-verktyg snarare än utvecklar dem handlar kraven i huvudsak om två saker.
För det första AI-kunnighet enligt artikel 4, som gällt redan sedan februari 2025: den som sätter in AI-system måste se till att de medarbetare som arbetar med dem har tillräcklig förståelse. Det betyder inte att varje handläggare måste kunna förklara neurala nätverk. Det betyder att människor bör veta vad verktyget klarar, var det typiskt går fel och vilka data som får gå in i det. Det digitala omnibuspaketet mjukade nyligen upp formuleringen något; grundtanken består, och den är helt enkelt rimlig även utan lag.
För det andra transparenskraven i artikel 50, som träder i kraft den 2 augusti 2026. Den som driver en chattbot måste göra tydligt att personen i andra änden talar med en maskin, om det inte redan är uppenbart. Den som publicerar AI-genererat innehåll, särskilt bedrägligt verklighetstroget bild-, ljud- eller videomaterial, måste märka det som sådant. För system som redan fanns på marknaden före tidsfristen finns en kort övergångsperiod för de tekniska märkningskraven fram till början av december 2026. Inget av detta är ett certifieringsförfarande; det är i grunden ärlighet mot kunder och allmänhet.
Kortversionen för de flesta små och medelstora företag: från augusti 2026 kräver AI-förordningen framför allt att ni vet vilken AI ni använder, att era medarbetare kan hantera den, och att ni inte vilseleder någon om var AI är inblandad. De tunga högriskkraven berör bara särskilda användningsfall, och för dem är tidsfristen numera ändå slutet av 2027.
När ni ändå hamnar i högriskområdet
Högriskkategorin är ingen fråga om företagets storlek, utan om användningsfallet. Det mest relevanta scenariot för mindre företag är personalområdet: AI-system som gallrar ansökningar, bedömer kandidater eller förbereder beslut om befordran och uppsägning klassas uttryckligen som högrisk i lagens bilaga III. Detsamma gäller till exempel kreditbedömningar eller system i kritisk infrastruktur. Ett företag med tjugo anställda som låter ett AI-verktyg förhandssortera sökande verkar inom ett reglerat område; en koncern som bara använder AI för textutkast gör det inte.
Den som använder eller planerar sådana tillämpningar behöver inte överge dem omedelbart. Men man bör ta tidsfristen fram till december 2027 på allvar och tidigt klargöra vilka krav som är på väg, framför allt mänsklig tillsyn, dokumentation och frågan om verktygets leverantör gör sin hemläxa.
Leverantör eller användare: rollfrågan avgör allt
AI-förordningen fördelar kraven efter roll. Leverantören, alltså den som utvecklar ett AI-system och släpper det på marknaden i eget namn, bär huvudbördan: förfaranden för bedömning av överensstämmelse, teknisk dokumentation, kvalitetsledning. Användaren, alltså den som yrkesmässigt använder ett system under eget ansvar, har betydligt slankare krav: använd systemet som avsett, säkerställ den föreskrivna tillsynen och var extra noggrann med högrisksystem.
De flesta mindre företag är användare. Men gränsen kan förskjutas: den som väsentligt ändrar ett inköpt system, erbjuder det under eget varumärke eller riktar om det till en högriskanvändning kan själv hamna i leverantörsrollen, med alla följder. Den som utvecklar egna AI-produkter och säljer dem till kunder är leverantör i vilket fall. Den rollbestämningen är ingen formalitet; det är punkten som avgör vilken kravkatalog som över huvud taget gäller.
Ett pragmatiskt arbetssätt
Vad betyder det konkret? Ur vårt perspektiv fyra steg som inte överbelastar något företag.
För det första en ärlig inventering: vilka AI-system används faktiskt i företaget, inbegripet de inofficiella? Enligt vår erfarenhet är den listan längre än ledningen tror. Sedan roll- och riskbedömningen: för varje system frågan om ni är leverantör eller användare, och om användningsfallet faller i någon av högriskkategorierna. I de allra flesta fall är svaret användare och nej, och då är den största delen av arbetet redan gjord. För det tredje utbildning: de medarbetare som arbetar med AI får en realistisk bild av verktygens styrkor, gränser och dataregler. Och för det fjärde en slank dokumentation som håller reda på vad som används, för vilket syfte och vem som ansvarar. Ingen hundrasidig efterlevnadsmanual, utan en underhållen översikt ni kan visa en tillsynsmyndighet eller en kund vid behov.
Den som har gjort de fyra sakerna står väl rustad inför augusti 2026 och har också lagt grunden om en högriskfråga dyker upp senare. Det mesta är ändå ingen regelfråga, utan helt enkelt en ledningsfråga: att veta vad som körs i den egna verksamheten.
Vårt kärnbudskap är därför ospektakulärt: ingen panik, men heller inget bortseende. För det typiska mindre företaget med sund processmedvetenhet är AI-förordningen fullt hanterbar, och genom att skjuta upp högriskfristerna har EU visat att man håller genomförbarheten i sikte. Den som ignorerar reglerna riskerar ändå verkliga sanktioner från augusti 2026, för från och med då kan tillsynsmyndigheterna faktiskt beivra överträdelser. Insatsen för att göra rätt är i de flesta fall liten nog att helt enkelt bara göra.
Är ni osäkra på var era konkreta AI-tillämpningar hamnar i det här ramverket går vi gärna igenom det tillsammans i ett samtal, sakligt och utan att det behöver bli ett stort projekt.
