EU:s AI-förordning: vad den betyder för små företag

EU:s AI-förordning (AI Act) är världens första heltäckande lag om artificiell intelligens. För de flesta små företag handlar den inte om förbud, utan om en enkel princip: var öppen med när ni använder AI. Det viktigaste datumet är 2 augusti 2026, då kravet på att informera kunder om AI-chattbottar och märka AI-genererat innehåll börjar gälla.

Lagen är riskbaserad. Ju större risk ett AI-system innebär för människor, desto hårdare krav. Den goda nyheten för mindre företag är att de tunga kraven träffar högriskanvändning och de stora leverantörerna av AI-modeller, inte ett vanligt bolag som använder ett AI-verktyg i vardagen.

De datum som spelar roll

AI-förordningen trädde i kraft 1 augusti 2024 och rullas ut stegvis. Så här ser tidslinjen ut för det som berör företag.

• Februari 2025: förbjudna AI-metoder och krav på AI-kunnighet hos personalen börjar gälla
• Augusti 2025: reglerna för leverantörer av AI-modeller för allmänna ändamål börjar gälla
• Augusti 2026: transparenskraven för chattbottar och AI-innehåll börjar gälla, och tillsynen får full kraft
• Högriskkraven har skjutits fram till december 2027 genom Digital Omnibus, förordning (EU) 2026/1744, som trädde i kraft i juli 2026

För ett litet företag är alltså 2 augusti 2026 det datum att hålla koll på, och först och främst om ni har en AI-chattbot eller publicerar AI-genererat innehåll.

Vad gäller för ert företag?

De flesta små företag är det förordningen kallar användare av AI, inte utvecklare. Då är kraven överskådliga: informera tydligt när en kund pratar med en AI och inte en människa, märk innehåll som är genererat eller manipulerat med AI, och se till att de som arbetar med verktygen har grundläggande AI-kunnighet.

AI-förordningen och GDPR

AI-förordningen ersätter inte GDPR. De är två olika lagar som gäller samtidigt. Så fort ni behandlar personuppgifter med hjälp av AI gäller GDPR precis som vanligt. Den svenska Integritetsskyddsmyndigheten har publicerat en vägledning om GDPR och AI, och en av dess viktigaste poänger är att avgörandet inte är vilken teknik ni använder, utan vem som bestämmer ändamålet med behandlingen och på vems uppdrag den sker.

I praktiken betyder det att ni ofta är personuppgiftsansvariga och AI-leverantören är personuppgiftsbiträde, vilket kräver ett biträdesavtal. Använder ni AI i ett flöde med känsliga uppgifter kan ni också behöva göra en konsekvensbedömning.

Böterna

Böterna låter dramatiska men riktar sig mot de allvarligaste överträdelserna och de stora aktörerna. Förbjudna AI-metoder kan ge böter på upp till 35 miljoner euro eller 7 procent av den globala omsättningen, och andra överträdelser upp till 15 miljoner euro eller 3 procent. Förordningen säger uttryckligen att böter ska vara proportionerliga och ta hänsyn till företagets storlek, så ett litet företag möter inte samma nivåer som en storkoncern.

Praktiska steg för ett litet företag

• Kartlägg var i verksamheten ni faktiskt använder AI idag
• Informera kunder tydligt vid AI-chattbottar och märk AI-genererat innehåll
• Se till att berörd personal har grundläggande AI-kunnighet
• Välj europeiska, GDPR-säkra leverantörer och teckna biträdesavtal
• Behandla känsliga flöden med extra omsorg och dokumentera era beslut

Känns det oöverskådligt behöver ni inte lösa allt på en gång. En kostnadsfri effektiviseringsanalys kan hjälpa er att se var ni använder AI idag och vad som är rimligt att prioritera.