EU:s AI-lag (förordning (EU) 2024/1689): En praktisk guide för 2026

Senast uppdaterad: 9 augusti 2026.

Från och med den 2 augusti 2026 har transparensreglerna i EU:s AI-lag trätt i kraft. Chatbotar, djupförfalskningar, system för känsloidentifiering och AI-genererat innehåll har nu konkreta offentliggörandeskyldigheter i hela Europeiska unionen. Samtidigt förväntas de mest krävande skyldigheterna – de för högrisk-AI – inte längre gälla i augusti 2026. Efter AI Digital Omnibus är de nu planerade att anlända i december 2027. Denna guide förklarar, i enkla ordalag, vad EU:s AI-lag kräver, vem den är bindande för, vad som gäller idag och hur organisationer bör förbereda sig.

EU:s AI-lag är förordning (EU) 2024/1689. Den trädde i kraft den 1 augusti 2024 och tillämpas i etapper. Det är världens första heltäckande, horisontella lag för artificiell intelligens, och – liksom GDPR – når den långt bortom EU:s gränser. Om dina AI-system berör den europeiska marknaden berör denna förordning nästan säkert dig.

Vad är EU:s AI-lag?

EU:s AI-lag är en riskbaserad förordning. I stället för att behandla all artificiell intelligens identiskt sorterar den system i nivåer efter den skada de kan orsaka och knyter tyngre skyldigheter till högre risker. Målet är tvåfaldigt: att skydda hälsa, säkerhet och grundläggande rättigheter, och att ge företag rättssäkerhet så att tillförlitlig AI kan utvecklas och användas på hela den inre marknaden.

Lagen definierar ett AI-system i bred mening, i linje med OECD:s tillvägagångssätt: ett maskinbaserat system som fungerar med en viss grad av autonomi, kan anpassa sig efter driftsättning och – utifrån indata det tar emot – slutsatser om hur man genererar utdata såsom förutsägelser, innehåll, rekommendationer eller beslut som påverkar fysiska eller virtuella miljöer. Denna avsiktligt breda definition omfattar moderna maskininlärningsmodeller, inklusive generativ och generell AI.

Vilka gäller AI-lagen?

AI-lagen har extraterritoriell räckvidd. Den gäller när en leverantör släpper ut ett AI-system på EU-marknaden eller tar det i bruk i EU, och – avgörande – när en leverantör eller distributionsföretag är etablerat utanför EU men systemets resultat används inom EU. Ett amerikanskt eller brittiskt företag som betjänar europeiska användare kan därför helt och hållet omfattas av tillämpningsområdet.

Lagen skiljer åt flera aktörer, var och en med tydliga uppgifter:

• Leverantörer — de som utvecklar ett AI-system (eller en allmän AI-modell) och släpper ut det på marknaden eller tar det i bruk under eget namn eller varumärke. Leverantörerna bär den tyngsta efterlevnadsbördan.
• Utrullare — de som använder ett AI-system under deras behörighet i ett professionellt sammanhang (till exempel en arbetsgivare som driver ett AI-rekryteringsverktyg). Rent personlig, icke-professionell användning faller utanför dessa skyldigheter.
• Importörer och distributörer — de som introducerar ett tredjepartssystem på EU-marknaden eller gör det tillgängligt längs leveranskedjan, med ansvar för verifiering och dokumentation.
• Produkttillverkare, och i vissa fall behöriga ombud, som kan ärva skyldigheter på leverantörsnivå.

En distributionsleverantör kan också omklassificeras som leverantör – och ärva de strängare skyldigheterna – om den väsentligt modifierar ett högrisksystem eller sätter sitt eget namn på det.

De fyra risknivåerna

AI-lagen är uppbyggd kring fyra risknivåer.

Oacceptabel risk (förbjuden)

Vissa användningsområden anses vara oförenliga med EU:s värderingar och är fullständigt förbjudna enligt artikel 5. Dessa inkluderar manipulativa eller vilseledande tekniker som väsentligt snedvrider beteende och orsakar skada; utnyttjande av sårbarheter (ålder, funktionsnedsättning, socioekonomisk situation); social poänggivning av myndigheter; oriktad skrapning av ansiktsbilder för att bygga igenkänningsdatabaser; känsloigenkänning på arbetsplatsen och inom utbildning (förutom av medicinska eller säkerhetsmässiga skäl); viss biometrisk kategorisering som avslöjar känsliga egenskaper; och – med förbehåll för snäva, skyddade undantag – biometrisk fjärridentifiering i realtid på offentliga platser för brottsbekämpande ändamål. Enligt den digitala omnibusen riktar sig ytterligare ett förbud mot AI som används för att generera icke-samtyckande intima bilder och material med sexuella övergrepp mot barn.

Hög risk

Högrisksystem är tillåtna men strikt reglerade. De delas in i två grupper. Den första (bilaga I) omfattar AI som är en säkerhetskomponent i, eller i sig själv är, en produkt som redan regleras enligt EU:s harmoniseringslagstiftning – medicintekniska produkter, maskiner, hissar, leksaker och liknande. Den andra (bilaga III) listar fristående användningsfall inom känsliga områden: biometri, kritisk infrastruktur, utbildning, sysselsättning och arbetstagarhantering, tillgång till viktiga offentliga och privata tjänster, brottsbekämpning, migration och gränskontroll samt rättskipning och demokratiska processer. Dessa system måste uppfylla de tekniska krav och styrningskrav som beskrivs nedan.

Begränsad risk (transparens)

Vissa system är inte högrisksystem men kan vilseleda människor, så de har transparensskyldigheter enligt artikel 50. Användare måste informeras när de interagerar med en chatbot; AI-genererat eller manipulerat ljud, bild, video och text (inklusive deepfakes) måste redovisas och markeras; och personer måste informeras när de omfattas av tillåtna system för känsloidentifiering eller biometrisk kategorisering. Dessa skyldigheter gäller nu (se tidslinjen nedan).

Minimal risk

Den stora majoriteten av AI – skräppostfilter, rekommendationsmotorer, AI i videospel – faller här. Den har inga obligatoriska skyldigheter enligt lagen, även om frivilliga uppförandekoder uppmuntras.

Den uppdaterade tidslinjen för AI-lagen

Det är tidpunkten som de flesta organisationer misslyckas med att förstå AI-lagen, och det är dit lagen nyligen har rört sig. Lagen tillämpas i faser från och med ikraftträdandet den 1 augusti 2024. I början av maj 2026 nåddes en preliminär politisk överenskommelse inom AI Digital Omnibus, som godkändes av medlemsländernas representanter den 13 maj 2026. Formellt antagande och publicering i EUT väntar fortfarande, men paketet är nu den realistiska planeringsbaslinjen – och det sköt upp högriskfristerna.

De uppskjutna datumen ovan beror på det slutliga antagandet av Omnibus. De datum som redan antagits är etablerad lag.

Två praktiska punkter. För det första är transparensskyldigheter inte en framtida fråga – de trädde i kraft den 2 augusti 2026, för ungefär en vecka sedan. Leverantörer av generativa AI-system som redan finns på marknaden har fram till den 2 december 2026 på sig att anpassa befintlig produktion till kraven på maskinläsbar märkning och vattenstämpel. För det andra är det extra andrummet för högrisk-AI välkommet, men det är en uppskjutning, inte en respit: de materiella skyldigheterna är oförändrade, och det är bäst att påbörja förberedelserna nu.

Skyldigheter per roll

Leverantörer av högrisksystem bär den centrala bördan. De måste upprätta ett riskhanteringssystem under hela livscykeln; tillämpa datastyrningsåtgärder för utbildnings-, validerings- och testdata; utarbeta detaljerad teknisk dokumentation och hålla den aktuell; utforma system för automatisk loggning och spårbarhet; säkerställa transparens och tydliga bruksanvisningar; möjliggöra effektiv mänsklig tillsyn; och uppnå lämplig noggrannhet, robusthet och cybersäkerhet. Innan de släpps ut på marknaden måste de genomföra relevant överensstämmelsebedömning, upprätta en EU-försäkran om överensstämmelse, anbringa CE-märkningen och registrera systemet i EU:s databas. Övervakning efter utsläppandet på marknaden och rapportering av allvarliga incidenter fortsätter därefter.

Distributörer av högrisksystem måste använda systemet i enlighet med leverantörens instruktioner, utse kompetent mänsklig tillsyn, säkerställa att indata är relevant, övervaka driften och föra loggar samt informera berörda personer vid behov. I flera känsliga sammanhang måste distributörer också genomföra en konsekvensbedömning av grundläggande rättigheter. Arbetsgivare som använder AI som påverkar arbetstagare har ytterligare informationsskyldigheter.

Importörer och distributörer måste kontrollera att leverantören har uppfyllt sina skyldigheter – bedömning av överensstämmelse, dokumentation, CE-märkning – innan de gör ett system tillgängligt, och måste agera (och anmäla myndigheterna) om de anser att ett system inte uppfyller kraven.

Lagens skyldighet att bemöta AI (artikel 4) kräver på alla nivåer att organisationer säkerställer att personal som arbetar med AI har tillräcklig förståelse. Omnibus-lagen mildrade formuleringen av denna skyldighet, men den underliggande förväntan om kompetent och informerad användning kvarstår.

Tekniska krav och styrningskrav för högrisk-AI

Högriskkraven omsätter abstrakta principer i praktiken inom teknik och styrning. Sammanfattningsvis måste leverantörer kunna visa: en dokumenterad, iterativ riskhanteringsprocess; datakvalitet och styrning som är lämplig för det avsedda ändamålet, med hänsyn till partiskhet och representativitet; omfattande teknisk dokumentation som är tillräcklig för att myndigheterna ska kunna bedöma efterlevnad; dokumentation genom automatisk händelseloggning; transparens och användbara instruktioner; meningsfull mänsklig tillsyn inbyggd i systemet; och påvisbar noggrannhet, robusthet och cybersäkerhet. Tillsammans utgör dessa evidensbasen för överensstämmelsebedömningen – och i praktiken det material som en tillsynsmyndighet kommer att be att få se först.

Skyldigheter för allmän AI (GPAI)

Allmänna AI-modeller – de stora, mångsidiga modeller som ligger till grund för många nedströmstillämpningar – har sin egen ordning enligt artiklarna 51–55, som gäller sedan den 2 augusti 2025. Alla GPAI-leverantörer måste upprätthålla teknisk dokumentation, publicera en tillräckligt detaljerad sammanfattning av utbildningsinnehållet, införa en upphovsrättspolicy och samarbeta nerför värdekedjan med dem som bygger vidare på modellen. Modeller som uppvisar systemrisk står inför ökade skyldigheter: modellutvärdering och kontradiktorisk testning, bedömning och begränsning av systemrisker, spårning och rapportering av allvarliga incidenter samt robust cybersäkerhet. Efterlevnad av den officiella uppförandekoden är en erkänd väg att visa efterlevnad.

Nuvarande gällande transparensskyldigheter (artikel 50)

Eftersom artikel 50 trädde i kraft den 2 augusti 2026 kräver tre skyldigheter nu omedelbar uppmärksamhet. Chattrobotar och konversationsagenter måste tydligt visa att användaren har att göra med en maskin. AI-genererat eller manipulerat innehåll – text om frågor av allmänt intresse, plus syntetiskt ljud, bild och video, inklusive deepfakes – måste redovisas och markeras i ett maskinläsbart format så att det kan upptäckas som artificiellt. Och personer som exponeras för tillåtna system för känsloigenkänning eller biometrisk kategorisering måste informeras. Organisationer som redan använder generativa AI-funktioner bör behandla respitperioden den 2 december 2026 för att markera befintlig output som en fast intern tidsfrist.

Påföljder och böter

Tillämpning medför allvarlig ekonomisk risk, med påföljder som skalas till överträdelsens allvarlighetsgrad:

• Förbjudna metoder (artikel 5): upp till 35 miljoner euro eller 7 % av den totala globala årsomsättningen, beroende på vilket som är högst.
• Brott mot högriskskyldigheter och de flesta andra skyldigheter: upp till 15 miljoner euro eller 3 % av den globala årsomsättningen.
• Att lämna felaktig, ofullständig eller vilseledande information till myndigheter: upp till 7.5 miljoner euro eller 1 % av den globala årsomsättningen.

För små och medelstora företag och nystartade företag är böterna det lägre av det fasta beloppet eller procentsatsen – en proportionalitetsgaranti för mindre organisationer. Nationella marknadsövervakningsmyndigheter verkställer lagen, samordnat på EU-nivå, och ytterligare åtgärder kan följa enligt nationell lag.

Hur AI-lagen passar ihop med GDPR och NIS2

AI-lagen står inte ensam. När ett AI-system behandlar personuppgifter gäller GDPR fullt ut – laglig grund, ändamålsbegränsning, registrerades rättigheter och, ofta, en konsekvensbedömning avseende dataskydd. AI-lagens konsekvensbedömning av grundläggande rättigheter och GDPR:s DPIA överlappar ofta varandra och fungerar bäst tillsammans. När AI stöder väsentliga eller viktiga tjänster lägger NIS2-direktivet till skyldigheter gällande cybersäkerhetsriskhantering och incidenterrapportering som förstärker AI-lagens robusthet och säkerhetskrav. Att behandla dessa system som ett enda, integrerat efterlevnadsprogram – snarare än tre parallella projekt – sparar ansträngning och minskar risken för motstridiga kontroller.

Checklista för efterlevnad av AI-lagen

• Inventera alla AI-system du tillhandahåller eller driftsätter, inklusive inbyggda och tredjepartsverktyg.
• Klassificera varje system i en risknivå (oacceptabel, hög, begränsad, minimal).
• Bekräfta din roll – leverantör, distributionsleverantör, importör eller distributör – för varje system.
• Granska förbud enligt artikel 5 och stoppa all förbjuden användning omedelbart.
• Tillämpa transparensåtgärder nu för chattrobotar, deepfakes och AI-genererat innehåll, och planera resultatmärkning före den 2 december 2026.
• Kartlägg högriskskyldigheter och bygg upp den tekniska filen, riskhantering och kontroller för mänsklig tillsyn före tidsfristen i december 2027.
• Ta hand om GPAI-uppgifter om du tillhandahåller eller finjusterar generella modeller.
• Ge utbildning i AI-kompetens till relevant personal.
• Integrera med GDPR och NIS2 – anpassa DPIA:er, konsekvensbedömningar och säkerhetskontroller.
• Tilldela styrning – tydligt ägarskap, dokumentation och övervakning – och håll dokumentationen redo för revision.

Vanliga frågor och svar

Viktiga takeaways

• EU:s AI-lag är förordning (EU) 2024/1689, som trädde i kraft den 1 augusti 2024 och tillämpas i etapper.
• Transparensskyldigheter (artikel 50) träder i kraft den 2 augusti 2026; befintlig generativ AI-output måste vara märkt senast den 2 december 2026.
• Den digitala omnibusen sköt upp tidsfristerna för högriskfrågor till den 2 december 2027 (bilaga III) och den 2 augusti 2028 (bilaga I) – med förbehåll för slutgiltigt antagande.
• Böterna uppgår till 35 miljoner euro eller 7 % av den globala omsättningen; små och medelstora företag betalar det lägre beloppet.
• Lagen fungerar tillsammans med GDPR och NIS2 – planefterlevnad som ett integrerat program.

Få en AI Act-beredskapsskanning

AI-lagen belönar organisationer som agerar tidigt – och dess transparensregler biter redan hårt. Teknik- och integritetsjuristerna på Law & More hjälpa leverantörer och driftsättare att klassificera sina system, korrigera förbjudna eller icke-kompatibla användningar, uppfylla transparensskyldigheterna i realtid och bygga en försvarbar väg mot högriskdeadline 2027, helt i linje med GDPR och NIS2. Law & More för en beredskapsanalys av AI-lagen och omvandla ett rörligt regulatoriskt mål till en tydlig, prioriterad handlingsplan.

Letar du efter något annat? Vårt index över nederländska guider om IT- och integritetslagstiftning listar allt vi har skrivit om detta ämne, sorterat efter ämne.