Den 2 augusti 2026 har länge pekats ut som det stora datumet för EU:s AI-förordning (AI-akten) – dagen då kraven på högriskssystem skulle slå igenom fullt ut. Men i sommar ändrades spelplanen. Det som hände på datumet är inte längre det som många organisationer förberett sig för.
AI-förordningen trädde i kraft den 1 augusti 2024 och har införts i etapper:
Ursprungligen skulle det sistnämnda datumet innebära att de fullständiga kraven för högrisksystem enligt bilaga III (bland annat AI inom rekrytering, kreditbedömning, utbildning och kritisk infrastruktur) trädde i kraft. Så blir det inte.
Den 29 juni 2026 gav ministerrådet sitt slutgiltiga godkännande till det så kallade "Digital Omnibus"-paketet, en ändringsförordning som förenklar tillämpningen av AI-förordningen. Ändringen (förordning (EU) 2026/1744) trädde i kraft den 27 juli 2026.
Konsekvensen: kraven för fristående högrisksystem i bilaga III skjuts från 2 augusti 2026 till 2 december 2027. Högrisk-AI som är inbäddad i redan reglerade produkter, till exempel medicinteknik eller maskiner (bilaga I), flyttas i stället till 2 augusti 2028.
Det gäller alltså krav som riskhanteringssystem, dokumentation, mänsklig tillsyn, datakvalitet, loggning och registrering i EU:s databas för högrisksystem – allt detta får organisationer nu mer tid att förbereda.
Även om högriskkraven flyttats är datumet långt ifrån betydelselöst. Tre saker sker:
1. Transparenskraven i artikel 50 träder i kraft. De omfattar bland annat:
Undantaget är den specifika tekniska skyldigheten att maskinläsbart vattenstämpla AI-genererat innehåll från system som redan fanns på marknaden före detta datum – den skjuts till 2 december 2026.
2. Sanktionsmekanismerna blir fullt operativa. AI-kontoret och nationella tillsynsmyndigheter får full befogenhet att utreda och sanktionera överträdelser, inklusive för leverantörer av GPAI-modeller vars materiella skyldigheter redan gällt sedan augusti 2025.
3. Ett nytt förbud tillkommer senare samma år – den 2 december 2026 blir det förbjudet att generera icke-samtyckt intimt bildmaterial eller CSAM med AI-system, oavsett organisationens riskklassificering i övrigt.
Den svenska kompletterande lagstiftningen till AI-förordningen var tänkt att träda i kraft samtidigt, den 2 augusti 2026. Enligt den statliga utredningen SOU 2025:101 föreslås Post- och telestyrelsen (PTS) bli samordnande marknadstillsynsmyndighet och nationell kontaktpunkt – inte Integritetsskyddsmyndigheten (IMY), som annars ofta antas ha den rollen.
De flesta organisationer varken bygger eller säljer AI-modeller – de är "användare" (deployers) som nyttjar AI genom vanliga verktyg: Microsoft Copilot, ChatGPT, Gemini eller AI-funktioner inbyggda i befintliga system. För dem handlar AI-akten mindre om hur AI byggs och mer om hur den används, dokumenteras och överblickas.
Några frågor blir relevanta oavsett att högriskdatumet flyttats:
Värt att notera: kravet på att säkerställa tillräcklig AI-kunskap ("AI-literacy") hos personal som utvecklar eller använder AI-system har gällt sedan februari 2025 – oberoende av augustidatumet – och är för många organisationer fortfarande ett obesvarat krav.
Att kraven för högrisksystem flyttats till 2027 respektive 2028 är en förlängd tidsfrist, inte en avskrivning. Klassificeringsarbetet – vilka system som räknas som högrisk och vilken data de hanterar – blir inte enklare av att vänta. Samtidigt är transparenskraven, sanktionsbefogenheterna och GPAI-tillsynen fullt levande redan i sommar. Många av grunderna liknar det organisationer redan gör inom dataskydd: riskbedömningar, dokumentation och tydlig ansvarsfördelning. Skillnaden är att AI-akten, med sin nya tidsplan, ger lite mer andrum – men inte en anledning att pausa förberedelserna.
Har ni kartlagt vilka AI-system ni använder, vilken risknivå de har och när respektive krav faktiskt träder i kraft för er verksamhet? Våra konsulter hjälper er gärna att kartlägga var ni befinner er och vad ni behöver göra, i närtid och på sikt.
Kontakta oss för att komma igång.
Källor: Europaparlamentet och rådet, förordning (EU) 2026/1744 (Digital Omnibus), EUR-Lex förordning (EU) 2024/1689, SOU 2025:101, samt nyhetsbevakning från Lawgent, NetNordic och Gradr (juli 2026).