Pillar · EU AI Act · 2026

AI Act för svenska företag 2026 – krav, checklista och vad ni behöver göra

EU:s AI-förordning (2024/1689) fasas in mellan 2025 och 2027. Den här sidan är navet: här får ni tidslinjen, risknivåerna, rollerna och sanktionerna — och länkar vidare till de frågor svenska bolag faktiskt ställer: AI-kompetenskravet, AI-policyn, ChatGPT, Copilot och AI-agenter.

Framtagen av aimognad.se · Senast uppdaterad augusti 2026.

Kort svar: vad måste ert företag göra?

De flesta svenska företag är "tillhandahållare" (deployers) av AI med begränsad risk. Då behöver ni fyra saker: en inventering av alla AI-system ni använder, en riskklassificering per system, dokumenterad AI-kompetens hos personalen (artikel 4, gäller sedan februari 2025) och transparens mot användare och kunder. Ni behöver inte CE-märkning eller kvalitetsledningssystem om ni inte utvecklar eller säljer högrisk-AI.

Tidslinje: vad gäller när?

Förordningen trädde i kraft 1 augusti 2024 men tillämpas stegvis. Det är därför många företag tror att de har tid — flera krav gäller redan.

Datum	Vad som börjar gälla
2 feb 2025	Förbjuden AI-användning (t.ex. social poängsättning, känsloigenkänning på arbetsplatsen) samt kravet på AI-kompetens (artikel 4).
2 aug 2025	Regler för generella AI-modeller (GPAI), styrning på EU-nivå, nationella myndigheter och sanktionssystemet.
2 aug 2026	Huvuddelen av förordningen blir tillämplig: transparenskrav (artikel 50) och högrisksystem enligt bilaga III.
2 aug 2027	Högrisk-AI som ingår i reglerade produkter (artikel 6.1) samt GPAI-modeller som släpptes före augusti 2025.

De fyra risknivåerna – med svenska exempel

Oacceptabel risk (förbjudet): social poängsättning, manipulativa system, känsloigenkänning på arbetsplatsen och i skolan, oriktad skrapning av ansiktsbilder.
Hög risk: AI i rekrytering och urval, kreditbedömning, försäkringsprissättning för liv och hälsa, betygsättning i utbildning, AI som säkerhetskomponent i produkter.
Begränsad risk (transparenskrav): chattbottar mot kund, AI-genererat innehåll, deepfakes. Här hamnar de allra flesta svenska företag.
Minimal risk: stavningskontroll, skräppostfilter, AI i produktionsoptimering utan påverkan på individer. Inga särskilda krav.

Leverantör eller tillhandahållare — vilken roll har ni?

Rollen avgör kraven. Leverantör (provider) är den som utvecklar ett AI-system eller sätter sitt namn på det. Tillhandahållare (deployer) är den som använder ett AI-system i sin verksamhet under eget ansvar.

Varning: ni kan byta roll utan att märka det. Om ni bygger en egen kundtjänstbot ovanpå en GPAI-modell och säljer den vidare, eller väsentligt ändrar syftet med ett högrisksystem, blir ni leverantör med betydligt tyngre krav — teknisk dokumentation, riskhanteringssystem, loggning och i vissa fall CE-märkning.

Sanktioner och tillsyn i Sverige

Förbjuden AI-praxis: upp till 35 miljoner euro eller 7 % av global omsättning.
Övriga överträdelser (t.ex. högriskkrav eller transparens): upp till 15 miljoner euro eller 3 %.
Felaktig eller vilseledande information till myndighet: upp till 7,5 miljoner euro eller 1 %.
Sverige utser marknadskontrollmyndigheter enligt förordningen; ansvarsfördelningen är sektorsvis och har beretts i regeringens utredning om AI-förordningens genomförande. Kontrollera aktuell myndighet för er sektor innan ni bygger processer kring anmälan.

Vad ni bör göra före augusti 2026

Det praktiska arbetet är mindre juridiskt än man tror. Det handlar om att veta vad ni använder, kunna motivera varför det är okej, och kunna visa det på en timme när en kund eller upphandlare frågar.

Fördjupning: AI Act område för område

AI-kompetens (artikel 4)

Vem omfattas av kompetenskravet, vilken nivå räcker och hur ni dokumenterar utbildningen.

Läs mer

AI-policy som håller

Innehåll, roller, dataregler och godkännandeprocess — plus färdig mall att ladda ner.

Läs mer

Checklista i tio steg

Den handlingsinriktade versionen: vad ni gör, i vilken ordning, och vad som ska finnas på papper.

Läs mer

ChatGPT enligt AI Act

Får ni använda ChatGPT? Ja — men transparens, dataregler och gränsen mot högrisk måste sitta.

Läs mer

Copilot enligt AI Act

Roller, tenant-inställningar, behörighetsläckor och dokumentationen ni behöver kunna visa.

Läs mer

AI-agenter enligt AI Act

Autonomi, risknivå, mänsklig kontroll och loggning — så bygger ni agenter som håller.

Läs mer

Snabbcheck: är ni i mål?

Vi har en förteckning över alla AI-system i verksamheten, inklusive de som köpts in av enskilda team.
Varje system har en dokumenterad risknivå och en angiven ägare.
Vi har en AI-policy som är kommunicerad, inte bara skriven.
Personal som använder AI i arbetet har fått dokumenterad utbildning (artikel 4).
Kunder och användare informeras när de interagerar med AI eller ser AI-genererat innehåll.
Vi vet vilka av våra leverantörer som är GPAI-leverantörer och har deras dokumentation.
Vi har en rutin för incidenter och för att stoppa ett AI-system som beter sig fel.

Vanliga frågor

Gäller AI Act även små företag?

Ja. Det finns inget generellt undantag för små och medelstora företag. Kraven skalar med risknivå, inte med bolagsstorlek — men ett litet bolag som bara använder begränsad risk-AI har i praktiken ett par dagars arbete, inte ett projekt.

Vi använder bara ChatGPT och Copilot. Berörs vi?

Ja, som tillhandahållare. Ni omfattas av AI-kompetenskravet, ni behöver transparens om AI-genererat innehåll mot kund, och ni behöver hantera vilka uppgifter som får matas in. Däremot omfattas ni inte av högriskkraven så länge ni inte använder verktygen för till exempel rekryteringsbeslut.

Hur hänger AI Act ihop med GDPR?

De gäller parallellt. GDPR reglerar personuppgifterna, AI Act reglerar systemet. Ett AI-system kan vara lagligt enligt AI Act och samtidigt olagligt enligt GDPR, och tvärtom. I praktiken bygger ni en gemensam dokumentation som täcker båda.

Behöver vi CE-märka vår AI?

Bara om ni är leverantör av ett högrisksystem. Använder ni inköpta verktyg för normala kontorsuppgifter är CE-märkning inte aktuellt.

Är det här juridisk rådgivning?

Nej. Innehållet är en praktisk tolkning av förordning (EU) 2024/1689 och avsett som utgångspunkt för ert eget arbete. Låt jurist eller dataskyddsombud granska era slutsatser innan ni fattar bindande beslut.

Ta reda på var ni faktiskt står

EU AI Act-kollen ger er en risknivå per område på tio minuter — och en konkret åtgärdslista att börja med i morgon.

Gör EU AI Act-kollen Läs fördjupningsguiden 2026