EU AI Act i augusti 2026: vad gäller nu och vad är uppskjutet?
Den 2 augusti 2026 skulle bli ett av de stora datumen i EU:s AI-förordning (AI Act). Det var då de fullständiga kraven för högrisk-AI-system ursprungligen skulle träda i kraft. Så blev det inte. Genom den så kallade Digital Omnibus-förordningen har EU skjutit upp de tyngsta kraven – men det betyder inte att företag kan luta sig tillbaka. Flera viktiga delar av lagstiftningen gäller redan, och mer är på väg redan i december.
Här är en sammanfattning av läget just nu.
Detta gäller redan
Två steg i AI Act är redan i kraft och påverkar organisationer oavsett bransch:
Sedan 2 februari 2025: Förbud mot AI-system med oacceptabel risk, till exempel social poängsättning och viss biometrisk kategorisering, samt krav på grundläggande AI-kompetens hos personal som arbetar med AI-system.
Sedan 2 augusti 2025: Krav på leverantörer av generella AI-modeller (GPAI), som underliggande språkmodeller. Dessa krav har inte ändrats av omnibus-förordningen.
Nytt från 2 augusti 2026: transparenskraven
Artikel 50 i förordningen gäller enligt ursprunglig tidsplan från och med nu. Det innebär bland annat att:
chattbotar måste informera användaren om att de pratar med AI,
AI-genererat bild-, ljud- och videoinnehåll (till exempel deepfakes) ska märkas ut,
AI-genererad text som publiceras i frågor av allmänt intresse ska tydliggöras som AI-genererad,
system för känsloigenkänning och biometrisk kategorisering ska aviseras till de som exponeras för dem.
Befintliga system får dock viss respit: märkning i maskinläsbart format för redan lanserade tjänster behöver inte vara på plats förrän 2 december 2026.
Det som skjutits upp
Den stora nyheten är att de fullständiga kraven för fristående högrisksystem – bland annat inom rekrytering, kreditbedömning, brottsbekämpning och utbildning – flyttas fram till 2 december 2027, alltså 16 månader senare än planerat. För AI som är inbyggd i redan reglerade produkter, som medicinteknik och maskiner, flyttas kravet till 2 augusti 2028. Myndigheter som både utvecklar och använder högrisksystem får ännu längre på sig, till 2030.
Skälet EU anger är att de tekniska standarder och stödverktyg som företag behöver för att faktiskt kunna uppfylla kraven inte varit klara i tid. Samtidigt passade man på att införa lättnader för mindre bolag: en ny kategori, "small mid-cap" (upp till 750 anställda), får tillgång till förenklad dokumentation och prioriterad tillgång till regulatoriska sandlådor.
Ett nytt förbud på väg
Från 2 december 2026 införs ett uttryckligt förbud mot AI-system som genererar eller manipulerar fram sexualiserat innehåll utan samtycke, inklusive material som föreställer barn. Förbudet omfattar inte bara system som är byggda för detta ändamål, utan även system där sådant innehåll är en förutsägbar risk om inte tillräckliga skyddsåtgärder finns på plats.
Varför ni ändå bör agera nu
Att de tunga högriskkraven flyttats fram är ingen anledning att pausa arbetet:
Transparenskraven gäller redan. Om ni använder chattbotar, genererar marknadsföringsmaterial med AI eller exponerar kunder för känsloigenkänning behöver ni ha märkning och information på plats nu.
Uppskjutningen är inte en amnesti. Företag som utvecklar eller planerar att införa högrisksystem gör klokt i att fortsätta förberedelserna – standarderna kommer, och 2027 är närmare än det låter.
AI Act gäller även er om ni bara använder AI-verktyg, inte bara om ni utvecklar dem. Många organisationer upptäcker sent att verktyg för HR, kundservice eller marknadsföring innehåller AI-funktioner som omfattas av regelverket.
Sanktionerna är oförändrade – upp till 35 miljoner euro eller 7 procent av global omsättning för förbjudna AI-system, och upp till 15 miljoner euro eller 3 procent för andra överträdelser.
Så kommer ni igång
Ett bra första steg är att kartlägga vilka AI-system er organisation faktiskt använder eller tillhandahåller, klassificera dem utifrån risknivå, och stämma av vilka transparenskrav som redan gäller er verksamhet. Behöver ni hjälp att reda ut var er organisation står och vad som behöver prioriteras, hör gärna av er till oss på Cyber Instincts – vi hjälper företag att navigera både AI-säkerhet och regelefterlevnad i praktiken.
Källor: Europeiska kommissionen, Lawgent, Teknikministeriet, Orrick, Gibson Dunn.
