AI-förordningens hårdaste krav gäller från augusti 2026. De flesta mindre bolag har inte börjat förbereda sig.

EU:s AI-förordning fasas in i fyra steg. Förbudet mot AI med oacceptabel risk trädde i kraft i februari 2025. Transparenskrav för chattbottar och generella AI-modeller följde i augusti samma år. De fullständiga kraven för högriskklassad AI börjar gälla i augusti 2026, och kraven för högrisk-AI inbyggd i redan CE-märkta produkter i augusti 2027.

Det som ofta missförstås är vem lagen faktiskt gäller för. Baskraven gäller alla företag inom EU, oavsett storlek och oavsett om bolaget bygger AI-system själv eller bara använder verktyg som andra byggt. Att vara ett mindre bolag i en oreglerad bransch är inget skydd mot att omfattas.

Varför det känns avlägset trots att det inte är det

Augusti 2026 låter längre bort än det är, och de flesta mindre bolag har fullt upp med sin dagliga verksamhet. AI-förordningen hamnar därför lätt i samma fack som andra regelverk som “IT och juridik säkert har koll på”, trots att ansvaret i praktiken ofta ligger utspritt, eller ingenstans alls, i mindre organisationer.

Det är också lätt att anta att förordningen bara gäller de bolag som utvecklar egna AI-modeller. I praktiken omfattas även bolag som enbart använder färdiga AI-verktyg från andra leverantörer, om de verktygen används på ett sätt som klassas som högrisk, till exempel i rekrytering, kreditbedömning eller vissa typer av kundbeslut.

Det gör att ansvaret sällan går att lägga helt på leverantören. Ett bolag som köper in ett färdigt AI-verktyg för att sålla kandidater i en rekryteringsprocess omfattas fortfarande av kraven som användare av ett högriskklassat system, även om det är leverantören som byggt själva modellen. Den distinktionen missas ofta i mindre organisationer, där AI-verktyg köps in på samma sätt som vilken annan mjukvara som helst, utan att någon ställer frågan om vilken riskklass användningen faller inom.

Vad som faktiskt börjar gälla

Från augusti 2026 måste högriskklassad AI ha dokumenterad riskhantering, mänsklig tillsyn över AI-drivna beslut, teknisk dokumentation och loggning som sträcker sig minst sex månader tillbaka. För bolag som tillhandahåller sådana system finns dessutom krav på registrering i en EU-databas.

Redan i dag gäller de mer grundläggande kraven: att inte använda förbjudna AI-system, att tydligt informera när en chattbot är AI-driven, att märka AI-genererat innehåll och deepfakes, och att informera individer när AI används för att fatta beslut som rör dem. De kraven omfattar betydligt fler bolag än vad många inser, eftersom tröskeln för att omfattas är låg jämfört med högriskkraven.

Vad det kan kosta att missa det

Kostnaden för att inte förbereda sig i tid är sällan bara böter, även om de kan bli betydande. Den vanligaste kostnaden är den tid och stress som uppstår när ett bolag tvingas hantera kraven reaktivt, under tidspress, i stället för att ha byggt in dem successivt i hur AI redan används. Ett system som byggts utan tanke på dokumentation och loggning är betydligt dyrare att göra om i efterhand än att bygga rätt från början.

Det finns också en förtroendekostnad. Kunder och samarbetspartners som frågar hur ett bolag hanterar AI och regelefterlevnad förväntar sig i allt högre grad ett tydligt svar, särskilt i branscher där AI redan används för beslut som påverkar människor.

Den kostnaden syns tydligast i upphandlingar och partnerskap, där frågor om regelefterlevnad numera ofta ingår som en självklar del av due diligence. Ett bolag som inte snabbt kan redogöra för hur det förhåller sig till AI-förordningen riskerar att förlora affärer till konkurrenter som kan svara direkt, även om den egna AI-användningen i sig inte skiljer sig nämnvärt åt.

Så tar ni reda på var ni står

Gå igenom vilka AI-verktyg som används i bolaget i dag, i vilka processer, och vilka beslut de är inblandade i. Fråga specifikt om något av dem används i rekrytering, kreditbedömning eller andra beslut som direkt påverkar enskilda personer, eftersom det är där högriskkraven oftast blir aktuella.

Om svaret på den frågan är osäkert, är det osäkerheten i sig som är det viktigaste att åtgärda först, oavsett vad ni till slut kommer fram till om er faktiska riskklassificering.

Sätt en konkret deadline för genomgången, gärna inom den närmaste månaden, och utse en person som ansvarar för att den faktiskt blir av. En lista över vilka verktyg som används, vem som äger dem, och vilken riskklass de sannolikt faller inom räcker som ett första steg, och ger er ett underlag att bygga vidare på innan augusti 2026 är här.