AI-förordningen för småföretag — vad gäller nu, efter uppskovet?

I juli 2026 ändrade EU sin egen AI-förordning innan den hunnit börja gälla fullt ut. Den så kallade omnibusförordningen (EU) 2026/1744 trädde i kraft den 27 juli 2026, sex dagar före det ursprungliga datumet 2 augusti, och sköt upp kraven på högrisksystem med ett och ett halvt år, samtidigt som flera bestämmelser skrevs om. Det gör de flesta sammanfattningar från i våras delvis inaktuella. Här är läget per augusti 2026, för ett svenskt småföretag som använder färdiga AI-verktyg i sin verksamhet.

Det korta svaret

Tre delar av förordningen gäller er redan i dag: förbuden, kompetenskravet och transparensreglerna. Det som sköts upp är kraven på högrisksystem. Och en sak har aldrig varit uppskjuten: GDPR gäller parallellt hela tiden och påverkas inte av något av datumen nedan.

Vad som gäller redan i dag

Sedan den 2 februari 2025: förbuden och kompetenskravet. Förordningens lista över förbjudna AI-metoder (artikel 5) gäller — bland annat social poängsättning och känsloigenkänning på arbetsplatser. Den berör sällan ett småföretags vardagsverktyg, men den sätter yttergränsen. Samma datum började kompetenskravet i artikel 4 gälla: företag som använder AI ska vidta åtgärder som stödjer personalens AI-kunnighet. Vi har gått igenom det kravet för sig i artikeln om kompetenskravet.

Sedan den 2 augusti 2025: reglerna för modelleverantörerna. De som bygger stora generella AI-modeller — OpenAI, Anthropic, Google och de andra — har egna skyldigheter kring dokumentation, upphovsrätt och säkerhet. Som användare av verktygen behöver ni inte göra något här. Reglerna är däremot skälet till att leverantörerna numera publicerar mer om hur modellerna tränats.

Sedan den 2 augusti 2026: transparensreglerna och tillsynen. Artikel 50 gäller nu. Konkret: en chattbot mot kund ska presentera sig som AI, AI-skapade eller AI-manipulerade bilder, ljud och video (deepfakes) ska märkas, och AI-genererad text som publiceras för att informera allmänheten i frågor av allmänt intresse ska anges som AI-genererad — om den inte genomgått mänsklig redaktionell granskning före publicering. Samma datum ska EU-länderna ha utsett tillsynsmyndigheter och beslutat om sanktionsregler.

Vad som sköts upp

Högriskkraven. Förordningens tunga kapitel — riskhanteringssystem, loggning, mänsklig övervakning, registrering — gäller system som används för sådant som rekrytering, kreditbedömning och betygsättning (bilaga III). De skulle ha börjat gälla den 2 augusti 2026; nytt datum är den 2 december 2027. För AI inbyggd i produkter som redan omfattas av EU:s produktsäkerhetslagstiftning (bilaga I) är datumet den 2 augusti 2028.

Det vanligaste högriskfallet i ett litet bolag är AI som gallrar eller rangordnar jobbsökande. Använder ni ett sådant system får ni hårdare krav från december 2027 — men GDPR ställer redan i dag krav på samma behandling: personuppgifter i rekrytering, rätten att inte bli föremål för helt automatiserade beslut, informationsplikt mot kandidaterna. Uppskovet är alltså inget frikort för AI-rekrytering; det flyttar bara den ena av två regelmassor.

En teknisk detalj som skapat rubriker: omnibusen gav leverantörer av generativa system som fanns på marknaden före augusti 2026 en frist till den 2 december 2026 för de maskinläsbara märkningskraven (vattenmärkning av AI-innehåll). Den fristen gäller leverantörerna — er skyldighet som företag att märka deepfakes och presentera chattbottar gäller nu, utan frist.

Vad uppskovet inte ändrar

Det här är det viktiga, för uppskovet har på sina håll beskrivits som att "AI-förordningen skjuts upp". Så är det inte:

• Kompetenskravet står kvar. Artikel 4 fick en mjukare lydelse i juli 2026 — ni ska vidta åtgärder som stödjer AI-kunnigheten, ingen viss nivå behöver garanteras hos någon enskild — men skyldigheten att göra något försvann inte.
• Transparensreglerna står kvar och gäller sedan den 2 augusti 2026, som beskrivet ovan.
• Förbuden står kvar sedan februari 2025.
• GDPR påverkas inte alls. Det mesta som kan gå fel med AI i ett småföretag — kunddata i fel verktyg, personuppgifter i en prompt — är GDPR-frågor i första hand, och där finns IMY och sanktionsavgifterna redan.

Tillsynen i Sverige

En statlig utredning (SOU 2025:101) har föreslagit att Post- och telestyrelsen blir samordnande tillsynsmyndighet för AI-förordningen i Sverige, med IMY och Finansinspektionen ansvariga för sina delar av området. Förslaget bereds; exakt hur den svenska tillsynsorganisationen landar avgörs av riksdagsbehandlingen. Väntar man på att den ska bli klar innan man gör något väntar man dock på fel sak — kraven ovan gäller oavsett, och GDPR-tillsynen finns redan.

Så prioriterar ett litet bolag

1. Gör kompetensarbetet nu. Utbildning anpassad till era verktyg, och dokumentation av vem som deltog. Det är dagens krav, inte morgondagens.
2. Sätt en AI-policy. Vilka verktyg som är godkända, vad som inte får matas in, vem som ansvarar. Vad den ska innehålla har vi skrivit om i policyartikeln.
3. Gå igenom transparensfallen. Har ni en chattbot mot kund? Publicerar ni AI-genererade bilder eller texter? Då finns det märkningskrav att hantera nu.
4. Använder ni AI i rekrytering eller kreditbeslut? Sätt en påminnelse på december 2027 för högriskkraven — och se över GDPR-delen av samma behandling redan i dag.
5. Bevaka lugnt. Nästa datum som berör ett vanligt småföretag är den 2 december 2027. Fram till dess är det innehållet i punkt 1–3 som räknas, inte nya deadlines.

Om ni vill ha allt färdigt

Punkterna ovan går att beta av på egen hand. Vill ni ha dem färdiga att köra på en arbetsdag — utbildning, kunskapstest med intyg, policymall, verktygsbedömningar och checklista, uppdaterade när rättsläget ändras — finns AI-kompetenspaketet för 1 990 kr ex moms.