När reglerna kommer ikapp tekniken: Vad AI Act innebär för dig och din organisation

Den 2 augusti 2026 var länge inritad som ett avgörande datum i europeisk AI-historia. Det var dagen då EU:s AI-förordning AI Act skulle träda i full kraft och ställa hårda krav på organisationer som utvecklar, säljer eller använder AI-system med hög risk. Men precis som tekniken den försöker reglera utvecklas lagstiftningen snabbt och inte alltid i den riktning man förväntar sig.

Den 7 maj 2026 nådde EU-parlamentet och rådet en preliminär uppgörelse om att skjuta upp de tyngsta kraven. Inte ett år. Upp till sexton månader. Den stora frågan är inte längre om reglerna kommer, det är vad som gäller just nu, och varför det faktiskt spelar roll redan idag.

Men en sak är säker och det är att en reglering för hur AI-verktyg som innebär en risk för människors fri- och rättigheter behövs! AI-utvecklingen har gått otroligt fort fram och då behöver även regelverket hänga med! - Veronica Ionescu , Senior Information Security Advisor, Securance.

Bakgrunden: En lag i etapper

AI Act antogs formellt i juni 2024 och trädde i kraft den 1 augusti samma år. Men som alla andra EU-förordningar rullas den ut under en period på oftast två år, så att organisationer har tid att anpassa sig.

Redan den 2 februari 2025 trädde de första och skarpaste bestämmelserna i kraft: förbud mot AI-system som anses utgöra oacceptabel risk. Det rör sig om system för social poängsättning, emotionell igenkänning i skolor och på arbetsplatser, och AI som manipulerar människor på ett skadligt sätt. Dessa förbud gäller redan, det finns ingen uppskjutning, ingen gråzon.

Samma datum trädde kravet på AI-kompetens i kraft. Organisationer som levererar eller tillhandahåller AI-system måste säkerställa att deras medarbetare har tillräcklig förståelse för vad de arbetar med.

Den 2 augusti 2025 aktiverades nästa fas: reglerna för så kallad General Purpose AI, alltså modeller som GPT, Claude och Gemini, som kan användas för många olika syften. Leverantörer av dessa modeller fick krav på teknisk dokumentation, transparens kring träningsmaterial och, för de mest kraftfulla modellerna, krav på motståndstestning och incidentrapportering.

Det som händer nu: Uppskjutningen som förändrar kalkylen

Den 2 augusti 2026 var tänkt att bli den dag då kraven för högrisk-AI slår till på bred front. Det gäller system som används vid kreditbedömning, rekrytering, tillträde till utbildning, brottsbekämpning och en lång rad andra samhällskritiska områden.

Men den 7 maj 2026 nådde EU:s institutioner en provisorisk överenskommelse som skjuter upp just dessa krav. Det nya datumet för fristående högrisk-AI-system är den 2 december 2027, sexton månader senare än planerat. För AI inbyggd i reglerade produkter, som medicinteknisk utrustning och fordon, gäller den 2 augusti 2028.

Bakgrunden till uppskjutningen är pragmatisk snarare än principiell. De tekniska standarder som organisationer behöver för att faktiskt uppfylla kraven är ännu inte färdiga. Att tvinga fram efterlevnad mot regler som saknar tydliga riktlinjer ansågs ohållbart, särskilt för mindre organisationer.

När det inte finns ett tydligt regelverk och riktlinjer för hur AI-verktyg kan och får användas finns det en stor risk att organisationer skapar egna regler och antaganden. Det är just dessa 'antaganden' om att 'det blir nog bra om vi tolkar det så' som riskerar att individer utsätts för risker. - Veronica Ionescu, Senior Information Security Advisor, Securance.

Uppgörelsen är provisorisk och kräver formellt godkännande av parlamentet och rådet men det förväntas ske i snabb takt, innan det ursprungliga datumet i augusti hinner passera.

Vad som fortfarande gäller den 2 augusti 2026

Här är det viktigt att inte blanda ihop uppskjutningen med ett generellt uppehåll. Flera krav träder fortfarande i kraft på det ursprungliga datumet:

Transparenskraven för generativ AI, de regler som kräver att AI-genererat innehåll märks, så att människor vet att det inte skapats av en människa börjar gälla den 2 augusti 2026. Det innebär att system som producerar text, bild, ljud eller video och som lanseras efter det datumet måste uppfylla märkningskraven. System som redan finns på marknaden innan dess har fram till den 2 december 2026 på sig.

Förbuden mot högrisk-AI utan oacceptabel risk, som alltså gällt sedan februari 2025, påverkas inte.

Det nya förbudet mot så kallade "nudifier"-appar AI-system som genererar sexuellt explicita bilder utan samtycke väntas träda i kraft den 2 december 2026 enligt uppgörelsen. Det är ett av få fall där lagstiftarna faktiskt skärpt lagen snarare än mildrat den.

Vad Sverige har gjort och vad som saknas

Sverige tillhör den lilla grupp av EU-länder som faktiskt har tagit konkreta steg. I mars 2026 saknade fortfarande 19 av 27 medlemsstater en formell nationell kontaktpunkt för AI-tillsyn en deadline som passerade redan den 2 augusti 2025.

Den svenska statliga utredningen SOU 2025:101, som presenterades i oktober 2025, lade fram ett system för hur AI-förordningen ska implementeras i Sverige. Förslaget innebär att Post- och telestyrelsen, PTS, får huvudansvaret för marknadskontroll och fungerar som nationell kontaktpunkt. Tio ytterligare myndigheter föreslås få ansvar inom sina respektive sektorer.

Integritetsskyddsmyndigheten, IMY, som många trott skulle bli den centrala AI-myndigheten, får en viktig men mer avgränsad roll. IMY föreslås ansvara för AI-system som rör brottsbekämpning, migration och biometri områden med tydlig koppling till personlig integritet och GDPR. Finansinspektionen föreslås ta ansvar för bank- och försäkringssektorn.

Förvirringen kring IMY är inte tillfällig. Myndigheten kommunicerade länge om sin roll på ett sätt som gav intrycket att de skulle bli den enda AI-myndigheten i Sverige. Det stämmer inte med vad utredningen föreslår, och det är en distinktion som spelar roll för organisationer som försöker förstå vem de ska förhålla sig till.

Den kompletterande svenska lagstiftningen föreslås träda i kraft den 2 augusti 2026 alltså på det ursprungliga datumet, oavsett uppskjutningen av EU-kraven för högrisk-AI. Regelverket finns, men kapaciteten för att tillämpa det är begränsad. AI-kommissionen, som leddes av Carl-Henrik Svanberg, konstaterade i sin slutrapport att Sverige behöver minst tre gånger fler AI-specialister i offentlig sektor för att kunna hantera de nya kraven.

Den regulatoriska sandlådan: En möjlighet som glöms bort

En del av AI-förordningen som sällan lyfts i den svenska debatten är kravet på regulatoriska sandlådor. Varje medlemsstat ska tillhandahålla en kontrollerad testmiljö där företag och myndigheter kan utveckla och prova AI-lösningar med stöd från tillsynsmyndigheter, utan att direkt träffas av alla regler.

I Sverige föreslås PTS inrätta och ansvara för denna sandlåda, med prioriterad tillgång för små och medelstora företag samt startups. Den ursprungliga deadlinen för sandlådan, som var den 2 augusti 2026, har i Omnibus-uppgörelsen skjutits fram till den 2 augusti 2027.

För organisationer som befinner sig i en tidig fas av AI-utveckling kan sandlådan bli ett konkret sätt att testa sina system under myndighetstillsyn och komma rätt redan från start.

Vad betyder uppskjutningen egentligen?

Det är frestande att läsa uppskjutningen som ett besked att vänta. Det vore fel slutsats.

AI Act är redan i kraft. Förbudsreglerna gäller. Kompetenskraven gäller. Transparensreglerna för generativ AI träder i kraft i augusti. Och de högrisk-krav som nu skjuts upp kräver i praktiken månader för många organisationer, år av förarbete: inventering av AI-system, risk klassificering, dokumentation, uppbyggnad av styrningsmodeller och, i relevanta fall, samordning med tillsynsmyndigheter.

Det fönster som öppnas av uppskjutningen är inte en paus. Det är en sista chans att komma ikapp.

Vad organisationer bör göra nu

Uppskjutningen ger mer tid, men inte mer utrymme att vänta. Här är en konkret startpunkt:

Steg 1: Inventera era AI-system Kartlägg alla AI-system ni använder, köper in eller utvecklar. Det gäller både interna verktyg och tredjepartslösningar. Utan den bilden går det inte att avgöra vad som faller under förordningen och vad som inte gör det.

Steg 2: Klassificera efter risk AI Act är ett riskbaserat regelverk. För varje system: vilket hot mot individens rättigheter och säkerhet kan det innebära? Svaret avgör vilka krav som gäller och hur bråttom det är.

Steg 3: Säkerställ AI-kompetens i organisationen Kravet gäller redan sedan februari 2025. De som levererar eller tillhandahåller AI-system ansvarar för att medarbetarna förstår vad de arbetar med. Det handlar inte om att alla ska bli AI-ingenjörer, utan om att ledning och medarbetare kan fatta ansvarsfulla beslut.

Steg 4: Bygg styrning och dokumentation Högrisk-AI kräver bland annat riskhanteringssystem, teknisk dokumentation och rutiner för mänsklig kontroll. Börja bygga de strukturerna nu, de tar tid att etablera och kan inte skapas i sista minuten.

Steg 5: Följ myndighetsutvecklingen Den svenska lagstiftningen är inte på plats ännu. Remissrundan pågår. PTS och IMY publicerar löpande vägledning. Det är i den vägledningen som de konkreta tolkningstraditionerna formas och det är tidigt i den processen som det finns möjlighet att påverka och förstå.

Regleringen av AI är inte längre ett framtidsscenario. Den är ett pågående faktum, med datum som redan har passerat och datum som närmar sig. Organisationer som förstår var de befinner sig i det regelverket och som börjar bygga beredskapen nu är de som klarar övergången bäst. Inte för att de har rätt teknik, utan för att de har rätt förståelse.