EU AI Act är världens första heltäckande lag om artificiell intelligens. Den berör inte bara de som bygger AI, utan också företag som använder den. För svenska bolag är det värt att förstå huvuddragen – även om de flesta påverkas mindre än rubrikerna antyder.
En riskbaserad reglering
Lagen delar in AI-användning i nivåer efter risk. Vissa tillämpningar är förbjudna, en kategori klassas som hög risk med strikta krav, en del omfattas av lättare transparenskrav, och det stora flertalet faller under minimal risk med få eller inga särskilda regler.
Logiken är enkel: ju större potentiell påverkan på människor, desto hårdare krav.
Det hjälper att tänka sig de fyra nivåerna med vardagliga exempel. Högst upp ligger den lilla grupp av användningar som helt enkelt inte är tillåtna. Tänk system som poängsätter och rangordnar människor utifrån deras allmänna beteende för att ge eller neka vardagliga tjänster, eller som försöker läsa av känslor på en arbetsplats för att bedöma personal. De flesta företag kommer aldrig i närheten av den här nivån, men det är värt att veta att den finns så att ni känner igen den om en leverantörs förslag börjar närma sig den.
Hög risk är nivån som väger tungt. Den omfattar AI som används i beslut som påtagligt påverkar någons liv eller rättigheter – att sålla bland jobbansökningar, sätta kreditvillkor, eller fatta avgöranden som rör hälsa, utbildning eller tillgång till viktiga tjänster. Användning här är tillåten, men den följs av skyldigheter: att hålla människor i loopen, dokumentera hur systemet fungerar, bevaka dess träffsäkerhet och kunna förklara dess beslut.
Begränsad risk handlar mest om transparens. Om ni har en chatbot som svarar på kundfrågor ska människor kunna förstå att de pratar med en maskin. Om ni publicerar bilder, ljud eller video som är AI-genererade eller kraftigt redigerade ska det också framgå. Kravet är ärlighet om vad människor ser, inte en tung efterlevnadsbörda.
Minimal risk är där det mesta av den dagliga företagsanvändningen hamnar. Att skriva ett första utkast till en text, sammanfatta ett långt dokument, städa upp ett kalkylark eller ta fram idéer till en kampanj bär få eller inga särskilda regler. Samma verktyg kan ligga på olika nivåer beroende på vad ni gör med det, och därför lönar det sig att titta på användningsfallet snarare än på varumärket på programvaran.
Vad det betyder för vanlig användning
För de flesta företag som använder AI till produktivitet, analys eller go-to-market är kraven måttliga. Det handlar främst om transparens – att vara tydlig med när innehåll är AI-genererat och när någon interagerar med ett AI-system.
Det är användning inom områden som rekrytering, kreditbedömning eller liknande som kan klassas som hög risk och därmed bär tyngre krav på dokumentation och kontroll.
I praktiken betyder det att det ärliga, synliga steget väger tyngre än pappersarbetet. Märk AI-genererat innehåll där en läsare annars skulle anta att en människa gjort det. Berätta för kunder när ett samtal sköts av en assistent snarare än en kollega. Håll en kort notering om vilka verktyg ni använder och till vad. Inget av det här bromsar ett marknads-, sälj- eller analysteam på något märkbart sätt.
Gränsen att hålla ögonen på är när ett verktyg börjar fatta eller starkt forma ett beslut om en specifik person – vem som anställs, vem som får ett lån, vem som prioriteras. Det är då de lättare transparenskraven ger plats åt de tyngre högriskskraven, och då det är värt att stanna upp och kontrollera var ni står innan ni rullar ut något.
Så inventerar ni er AI-användning
Ett enkelt sätt att få överblick är att gå igenom följande för varje ställe där AI förekommer:
- Var AI används – lista varje verktyg och arbetsflöde, från de uppenbara assistenterna till de AI-funktioner som tyst byggts in i programvara ni redan betalar för.
- Vilka som påverkas – notera om en användning rör kunder, kandidater, anställda eller bara internt arbete, eftersom ju mer den påverkar människor desto mer uppmärksamhet förtjänar den.
- Vilka data den rör – anteckna om personuppgifter, kundinformation eller känsliga detaljer flödar in i verktyget, och var de uppgifterna hamnar.
- Om det redovisas öppet – kontrollera att människor kan förstå när de har att göra med AI eller AI-genererat innehåll, och lägg till en tydlig notis där de inte kan det.
- Vilken risknivå den troligen hör till – placera varje användning i minimal, begränsad, hög eller förbjuden, med beslutet den påverkar som ledtråd snarare än tekniken i sig.
- Vem som äger den internt – utse en ansvarig person för varje verktyg, så att frågor om träffsäkerhet, uppdateringar och redovisning har ett tydligt hem.
Tidslinjen och hur man förbereder sig
Reglerna träder i kraft stegvis: förbjudna tillämpningar och regler för generella modeller är redan på plats. I juni 2026 antog EU ett ändringspaket – Digital Omnibus on AI – som justerade tidslinjen för de tyngre kraven. Krav på system i Annex III (rekrytering, kreditgivning, utbildning m.m.) gäller från 2 december 2027, och krav på system i Annex I (medicinsk utrustning, maskiner) från 2 augusti 2028.
Ett klokt första steg är att inventera var ni faktiskt använder AI, bedöma risknivån för varje fall, och dokumentera det. Det mesta är lätt att hantera om man börjar i tid.
Den stegvisa tidslinjen är goda nyheter, inte en deadline att frukta. Augustideadlinen 2026 som en del svenska bolag förberedde sig för existerar inte längre. Det extra utrymmet fram till december 2027 är ett tillfälle att bygga ordentliga governance-vanor utan brådska, inte en anledning att vänta med att få ordning på sin AI-användning.
Att förbereda sig handlar mest om vanor. Håll inventeringen ovan uppdaterad när ni inför nya verktyg, väv in en snabb riskkontroll i hur ni utvärderar varje nytt system, och skriv ner de få beslut som spelar roll. Företag som behandlar det här som lätt, löpande underhåll kommer att märka att de senare milstolparna blir en formalitet snarare än ett projekt.
Det här är en överblick, inte juridisk rådgivning – men det ger en bild av vad ni bör ha koll på.
Vill ni ha en tydligare bild av var AI finns i er verksamhet och vilka risknivåer som gäller hjälper vi gärna till. Vi kan kartlägga er nuvarande användning, sortera in den i rätt nivåer och lämna er med en enkel, dokumenterad bild att bygga vidare på. Hör av er till oss på Nodal, så tar vi det därifrån.
