EU AI Act 2026 – guiden för CTO, DPO och jurister inför 2 augusti
Den 2 augusti 2026 träder huvuddelen av EU:s AI-förordning ikraft. Här är en sammanhållen guide för svenska tech-ledare, dataskyddsombud och bolagsjurister – med tidslinje, risknivåer, roll-checklistor och en 90-dagars åtgärdsplan.
Ny på området? Börja med vår guide Vad är AI (artificiell intelligens)?
TL;DR – 5 saker att veta
- • 2 augusti 2026 är skarpt läge för högrisk-AI, transparenskrav och böter.
- • Böter upp till 35 MEUR eller 7 % av global omsättning.
- • Digital Omnibus kan flytta deadlines – men planera för originaldatumet.
- • Även rena "deployers" (ni som bara använder ChatGPT/Copilot) har skyldigheter.
- • Första artikel 11-dokumentationsbegäran kom redan 4 april 2026 (DPC, Irland).
Tidslinje 2025–2027
Var vi står just nu och vad som väntar.
De fyra risknivåerna
Klassificera era AI-system här – det styr alla krav.
Oacceptabel risk
Förbjudet sedan 2 feb 2025.
Hög risk
Riskbedömning, datakvalitet, logging, mänsklig översikt, registrering i EU-databasen, CE-märkning.
Begränsad risk (transparens)
Användaren måste informeras om att den interagerar med AI / att innehållet är genererat.
Minimal risk
Inga särskilda krav – frivilliga uppförandekoder rekommenderas.
Digital Omnibus: skjuts deadline?
Kommissionens Digital Omnibus on AI (COM(2025) 836) lades fram 19 november 2025 och förhandlas i trilog. Council antog sin position 13 mars 2026 och Parlamentet följde efter. Förslaget kan flytta vissa tillämpningsdatum för högrisk-AI och justera GPAI-reglerna.
Vår rekommendation: behandla 2 augusti 2026 som skarpt datum. Får ni uppskov använder ni det som buffert för utbildning och leverantörsgranskning – aldrig för att skjuta upp grundarbetet.
Roll-checklistor
Vad just du behöver bocka av före 2 augusti.
- Inventera alla AI-system: egna, inbäddade i SaaS, GPAI-anrop. Klassa per riskkategori.
- Inför model cards & system cards för varje produktion-AI (syfte, data, prestanda, kända brister).
- Logga input/output för högrisk-system i ≥6 månader (art. 12).
- Bygg "human-in-the-loop"-kontroller med möjlighet att stoppa eller korrigera AI-beslut.
- Säkra leverantörskedjan: kräv AI Act-attestering från GPAI- och SaaS-leverantörer.
- Etablera incident-rutin för allvarliga AI-händelser (15-dagars rapporteringsplikt).
Böter och första enforcement-signaler
Sverige: tillsyn & anpassningslag
Den svenska anpassningslagen är under beredning våren 2026. IMY(Integritetsskyddsmyndigheten) och PTS är de mest sannolika nationella tillsynsmyndigheterna, med sektorsspecifika myndigheter för bank, vård och fordonsindustri.
Om er svenska huvudverksamhet faller under flera regelverk (NIS2, GDPR, DORA, AI Act) – etablera en gemensam compliance-backbone. Det är effektivare än att hantera dem var för sig.
90-dagars åtgärdsplan: maj → augusti 2026
Vanliga frågor
När börjar EU AI Act gälla på riktigt?
Förbuden gäller sedan 2 februari 2025 och GPAI-reglerna sedan 2 augusti 2025. Huvuddelen – inklusive högrisk-AI och böter – börjar tillämpas 2 augusti 2026. Full tillämpning för inbäddad AI i reglerade produkter sker 2 augusti 2027.
Kan deadline 2 augusti 2026 skjutas fram?
Möjligen. Kommissionens "Digital Omnibus on AI" (COM(2025) 836) lades fram 19 november 2025 och är i trilog. Council antog sin position 13 mars 2026. Förslaget kan flytta vissa deadlines, men inget är beslutat. Vår rekommendation: planera för 2 aug 2026 och använd ett ev. uppskov som buffert.
Vad räknas som högrisk-AI?
Bilaga III listar bl.a. AI för rekrytering och HR, kreditbedömning, livförsäkring, utbildningsbedömning, kritisk infrastruktur, brottsbekämpning, migration och rättsskipning. Även AI som säkerhetskomponent i CE-märkta produkter (medicinteknik, fordon m.m.) är högrisk.
Hur stora kan böterna bli?
Upp till 35 miljoner EUR eller 7 % av global årsomsättning för förbjuden AI, 15 MEUR / 3 % för övriga överträdelser, och 7,5 MEUR / 1 % för felaktig information till myndigheter.
Vem är tillsynsmyndighet i Sverige?
Den slutliga rollfördelningen beslutas i den svenska anpassningslagen (under beredning våren 2026). IMY och PTS är de mest sannolika kandidaterna, med sektorsspecifika myndigheter (t.ex. Finansinspektionen, Läkemedelsverket) för respektive områden.
Vi använder bara ChatGPT/Copilot – berör AI Act oss?
Ja. Som "deployer" har ni egna skyldigheter: AI-literacy hos personalen, transparens mot kunder, mänsklig översikt, och – om ni använder AI för rekrytering, kreditbedömning eller liknande – fulla högrisk-krav även om ni inte byggt modellen själva.
Vad är skillnaden mot GDPR?
GDPR skyddar personuppgifter. AI Act reglerar AI-systemets risk för säkerhet och grundläggande rättigheter, oavsett om personuppgifter behandlas. De överlappar – men ni behöver hantera båda. FRIA krävs utöver DPIA för högrisk-AI.
Hur kommer enforcement att se ut?
Första signalerna kom redan i april 2026 när Irlands DPC skickade en formell artikel 11-dokumentationsbegäran till ett SaaS-bolag, 117 dagar före deadline. Tillsynen kommer att börja med dokumentation – inte böter – men förberedelse är avgörande.
Hur väl förberedd är er organisation?
Få en riskprofil och konkreta åtgärder på 5 minuter – gratis och utan registrering.