Din praktiska guide till AI-förordningen (2026)

EU:s AI-förordning har redan trätt i kraft. Håller din organisation jämna steg?

EU:s AI-förordning är världens första heltäckande rättsliga ramverk för artificiell intelligens – och den gäller alla organisationer som utvecklar, inför eller använder AI-system inom EU eller som påverkar EU. Det gäller de flesta företag. Den här guiden, som har författats av Cerivos egna juridiska experter, reder ut komplexiteten och förklarar vägen till compliance.

‍

Vad du får ut av guiden

Risknivåer, tydligt förklarade: AI-förordningen delar in AI-system i fyra riskkategorier – förbjudna, hög risk, begränsad risk och minimal risk. Dina skyldigheter beror helt och hållet på vilken kategori dina system tillhör. Guiden går igenom varje kategori med exempel från verkligheten.

Vem AI-lagen gäller för: Oavsett om du är leverantör, användare, importör eller distributör av AI-system så berör förordningen dig. I guiden beskrivs varje roll och vad den innebär i praktiken.

Listan över förbjuden AI: Åtta kategorier av AI är nu olagliga inom EU – däribland social poängsättning, biometrisk identifiering i realtid på offentliga platser, känsloigenkänning på arbetsplatser samt AI som utnyttjar utsatta personer. Guiden behandlar alla åtta kategorierna med exempel.

AI-krav inom högriskområden: Om du använder AI inom arbetslivet, utbildning, kritisk infrastruktur, brottsbekämpning eller tillgång till samhällsviktiga tjänster befinner du dig sannolikt inom ett högriskområde. I guiden beskrivs vad leverantörer och användare måste göra för att uppfylla kraven.

Överlappningen mellan AI-lagen och GDPR: AI-lagen ersätter inte GDPR – den lägger till ytterligare ett lager. Många AI-system behandlar personuppgifter, vilket innebär dubbla compliance-krav. I guiden förklaras var regelverken överlappar varandra och hur man undviker att göra samma arbete två gånger.

Tidsplan för compliance: De viktigaste tidsfristerna har redan passerat (regler om förbjuden AI: februari 2025). Andra står för dörren – däribland AI med hög risk enligt bilaga III (december 2027). Guiden innehåller den fullständiga tidsplanen för genomförandet så att du kan prioritera.

En steg-för-steg-plan för compliance: Sex steg – kartlägg dina AI-tillgångar, bedöm riskerna, inför governance-rutiner, dokumentera, uppfyll GDPR-kraven och utbilda ditt team. Guiden förklarar varje steg och hur ett bra resultat ser ut.

En färdig checklista för compliance: En praktisk checklista som omfattar både skyldigheterna enligt AI-lagen och GDPR – redo att användas eller anpassas efter just din organisation.

‍

Vem har skrivit den här guiden?

Guiden har författats av Frederik Them Pedersen, advokat och AI-förordningsexpert vid Cerivo, med bidrag från Martin Folke Vasehus (advokat och COO) och Stine Mangor Tornmark (advokat och VP Services & Legal Product). Den speglar Cerivos juridiska expertis inom compliance av GDPR, NIS2 och AI-förordningen – samt den praktiska erfarenheten av att hjälpa hundratals nordiska organisationer att hantera komplexiteten i regelverket.

‍

Varför det är viktigt att följa AI-förordningen just nu

Reglerna kring förbjuden AI har varit i kraft sedan februari 2025. Kraven för AI-modeller för allmänt bruk gäller från och med augusti 2025. Tidsfristerna för högrisk-AI sträcker sig över åren 2027 och 2028. Böterna kan uppgå till 7 % av den globala årsomsättningen vid de allvarligaste överträdelserna. Ännu viktigare är att organisationer som kan visa att de använder AI på ett ansvarsfullt och lagligt sätt kommer att ha bättre förutsättningar att bygga upp förtroende hos kunder, tillsynsmyndigheter, anställda och samarbetspartner.

‍

Vanliga frågor

Gäller AI-förordningen för mitt företag även om vi befinner oss utanför EU?

Ja. AI-lagen har extraterritoriell räckvidd – den gäller alla organisationer vars AI-system påverkar människor i EU, oavsett var företaget har sitt säte.

Vad är skillnaden mellan en leverantör och en distributör enligt AI-förordningen?

En leverantör utvecklar eller släpper ut ett AI-system på marknaden. En användare använder ett AI-system i yrkesmässigt sammanhang. De flesta organisationer är användare – de använder verktyg som ChatGPT, Microsoft Copilot eller AI-driven HR- eller rekryteringsprogramvara.

Omfattas användningen av ChatGPT eller Microsoft Copilot av AI-förordningen?

Ja. Det här är AI-system för allmänt bruk (GPAI). Om de används i ett yrkesmässigt sammanhang blir er organisation en användare med skyldigheter enligt AI-lagen, däribland krav på öppenhet och – beroende på hur de används – eventuellt ytterligare skyldigheter.

Vilken typ av AI är förbjuden enligt EU:s AI-förordning?

Åtta kategorier är förbjudna, däribland social poängsättning, AI som manipulerar människor genom subliminala tekniker, biometrisk identifiering i realtid på offentliga platser (med få undantag), känsloigenkänning på arbetsplatser samt system som utnyttjar utsatta personer.

Hur hänger AI-förordningen ihop med GDPR?

De fungerar parallellt. Många AI-system behandlar personuppgifter, vilket medför skyldigheter enligt GDPR utöver kraven i AI-förordningen. Den goda nyheten är att arbetet med att uppfylla kraven överlappar varandra – en konsekvensbedömning avseende personuppgifter (DPIA) som krävs enligt GDPR uppfyller också en del av dokumentationskraven enligt AI-förordningen.

När måste jag följa bestämmelserna?

Det beror på vilken typ av AI-system du har. Regler för förbjuden AI: Gäller från och med den 2 februari 2025. Skyldigheter enligt GPAI: Den 2 augusti 2025. AI med hög risk (bilaga III): den 2 december 2027. AI med hög risk i säkerhetskritiska produkter (bilaga I): den 2 augusti 2028.