EU:s AI-förordning för ett vanligt företag

Sedan den 2 augusti 2026 gäller större delen av EU:s AI-förordning. För den stora grupp företag som helt enkelt använder AI, i en chattbot på webbplatsen, i genererade bilder till en kampanj eller i en assistent på varje skrivbord, är frågan enklare: vilka skyldigheter är våra, och från när.

Så här ser läget ut efter sommarens ändringar. Det är en översikt, inte juridisk rådgivning.

Vad som har gällt sedan 2025

Förordningen trädde i kraft den 1 augusti 2024 och införs stegvis. Sedan den 2 februari 2025 är åtta förfaranden helt förbjudna. Bland dem finns skadlig manipulation och vilseledning, utnyttjande av människors sårbarhet, social poängsättning, känsloigenkänning på arbetsplatsen och i utbildning, urskillningslös skrapning av ansikten till databaser för igenkänning och biometrisk kategorisering som härleder skyddade egenskaper. Ett nionde förbud, mot system som genererar sexuellt innehåll utan samtycke eller material som skildrar sexuella övergrepp mot barn, gäller från den 2 december 2026. Få vanliga företag kommer i närheten av dessa. Känsloigenkänning i ett callcenter eller i ett intervjuverktyg skulle göra det.

Samma datum medförde skyldigheten att ha AI-kompetens. Den gäller tillhandahållare och varje företag som använder ett AI-system i arbetet. Omnibuspaketet mjukade upp formuleringen i somras: företag måste nu vidta åtgärder för att främja utvecklingen av AI-kompetens, och texten säger att de inte behöver garantera en viss nivå för varje enskild person. Själva skyldigheten finns kvar.

Sedan den 2 augusti 2025 har tillhandahållare av AI-modeller för allmänna ändamål egna skyldigheter: teknisk dokumentation, information till de företag som bygger vidare på deras modeller, en policy för att följa EU:s upphovsrätt och en offentlig sammanfattning av det innehåll som använts för träning. Dessa vilar på modelltillverkarna, inte på deras kunder. Ett företag som finjusterar en modell blir tillhandahållare av en ny modell bara i undantagsfall. Kommissionens vägledande tröskel är en ändring som använder mer än en tredjedel av beräkningskraften i den ursprungliga träningen.

Vad som gäller sedan augusti

Transparensreglerna kom med resten av förordningen den 2 augusti 2026, och det är dem de flesta företag möter. Människor måste få veta när de interagerar med en maskin, till exempel en chattbot. Tillhandahållare av generativ AI måste märka det deras system producerar på ett maskinläsbart sätt, så att det går att upptäcka som genererat. Driftsättare måste märka deepfakes: bilder, ljud eller video som liknar verkliga personer, föremål, platser eller händelser och som felaktigt skulle framstå som äkta. Text som publiceras för att informera allmänheten i frågor av allmänt intresse måste också redovisas, såvida inte en person har granskat den och någon bär det redaktionella ansvaret.

Kommissionen publicerade en frivillig uppförandekod för märkning och etikettering den 10 juni 2026, med en uppsättning EU-ikoner för etiketter. I slutet av juli hade omkring 190 organisationer undertecknat den. Tillhandahållare av generativa system som fanns på marknaden före den 2 augusti 2026 har till den 2 december 2026 på sig att lägga till märkningen.

Tillsynen började samma dag, genom nationella myndigheter och kommissionens AI-kontor. Böterna uppgår till 35 miljoner euro eller 7 procent av den globala omsättningen för förbjudna förfaranden, och 15 miljoner euro eller 3 procent för överträdelser från modelltillhandahållare.

Vad omnibuspaketet flyttade

Årets största förändring är förordning (EU) 2026/1744, det digitala omnibuspaketet om AI. Kommissionen föreslog det den 19 november 2025, Europaparlamentet och medlemsstaterna nådde en politisk överenskommelse den 7 maj 2026, och det trädde i kraft den 27 juli 2026.

Det flyttar reglerna för högrisksystem. System som används inom de känsliga områden som listas i bilaga III, såsom sortering av cv:n, kreditbedömning, utbildning, biometri och migration, möter nu sina skyldigheter från den 2 december 2027 i stället för den 2 augusti 2026. Högrisk-AI som är inbyggd i produkter som EU:s produktlagstiftning redan reglerar följer den 2 augusti 2028.

Det utvidgar också lättnaderna från små företag till små medelstora bolag (small mid caps), definierade som företag med färre än 750 anställda och en omsättning på upp till 150 miljoner euro. De får använda den förenklade tekniska dokumentationen och ett proportionerligt kvalitetsledningssystem.

För ett företag som använder AI i stället för att bygga den ändrar uppskovet lite. Skyldigheten om AI-kompetens och transparenskraven gäller nu. Den extra tiden betyder mer för den snävare grupp vars system fattar beslut om människor: vem som anställs och vem som får kredit.

Schweiziska företag som säljer till EU

Förordningen är EU-rätt, men dess räckvidd följer marknaden. Den gäller tillhandahållare som släpper ut AI-system eller modeller för allmänna ändamål på EU-marknaden, oavsett om de är etablerade i unionen eller i ett tredjeland, och tillhandahållare och driftsättare i tredjeländer vars system ger resultat som används i unionen. En tillhandahållare av ett högrisksystem från ett land utanför EU måste skriftligen utse en auktoriserad representant där innan försäljningen börjar.

I praktiken bör ett schweiziskt företag med en chattbot på den tyska versionen av sin webbplats, eller en kampanj med genererade bilder riktad till köpare i Frankrike, betrakta transparenskraven som sina egna.

Hemma går Schweiz sin egen väg. Det finns ingen AI-lag. Den 12 februari 2025 beslutade förbundsrådet att ratificera Europarådets AI-konvention och att ändra lagstiftningen sektor för sektor där det är möjligt, och ett remissutkast väntas före slutet av 2026. Tills dess gäller dataskyddslagen direkt för AI, och den schweiziska dataskyddsmyndigheten FDPIC förväntar sig i stort sett samma sak: människor har rätt att veta om de talar eller skriver med en maskin, och manipulerade ansikten, bilder eller röster av identifierbara personer måste alltid märkas tydligt.

En kort checklista

Lista varje AI-system som används: vem som tillhandahåller det, vem som använder det, vad det avgör och vilka marknader dess resultat når.

Kontrollera det mot förbuden, med känsloigenkänning av personal eller sökande först.

Säg till när människor pratar med en maskin: i chattfönstret, i telefon, i mejlet som en agent skrev.

Märk genererade bilder och videor som ser verkliga ut, och spara originalen och de prompter som ligger bakom dem.

Utbilda de som använder AI, skriv ner vad de lärde sig och upprepa det när verktygen ändras.

Markera de system som fattar beslut om människor, vid rekrytering, kredit eller utbildning, och använd tiden fram till december 2027 till att förbereda dem.

Fråga dina leverantörer skriftligen hur de uppfyller sina egna skyldigheter: märkning, dokumentation, policy för upphovsrätt. Utse sedan en person som äger listan.

Där människor förblir ansvariga

I grunden är förordningen en regel om ansvar. En maskin får skriva utkast, sortera och föreslå, medan en namngiven person svarar för det som går ut. Det är en bra regel av skäl som inte har med böter att göra: omdöme och ansvarstagande är det en kund förlitar sig på, och de går inte att automatisera.

Våra produkter är byggda längs samma linje. Twin ger varje roll bara den del av företagshjärnan som den behöver, med godkännanden per roll och varje steg loggat. Reel samlar varje bild och klipp i ett mediebibliotek, med varje version och receptet bakom, och en person väljer varje bild som används, så att en fråga om ursprung kan besvaras utifrån registret. Eigna, som byggs av vår partner Eigna Labs, är en privat modell som körs i företagets eget moln eller på dess egna servrar, utformad för dataskyddsförordningen (GDPR) och EU:s AI-förordning.

Datumen kommer att fortsätta flytta sig. Ett företag som vet vilken AI det använder, och vem som svarar för den, kan flytta med dem.