AI-förordningens tidsplan sköts upp till december 2027 för högriskklassad AI. Flera krav gäller redan i dag.

EU:s AI-förordning fasas in i flera steg, och sommaren 2026 ändrades tidsplanen för de tyngsta av dem. Genom en ändringsförordning, kallad Digital Omnibus om AI, förordning (EU) 2026/1744, som trädde i kraft den 27 juli 2026, sköts kraven för fristående högriskklassad AI upp från augusti 2026 till den 2 december 2027. Kraven för AI inbyggd i produkter som redan omfattas av annan EU-produktlagstiftning, till exempel maskiner och medicinteknik, sköts samtidigt upp till den 2 augusti 2028.

Det som ofta missförstås är vem lagen faktiskt gäller för. Baskraven gäller alla företag inom EU, oavsett storlek och oavsett om bolaget bygger AI-system själv eller bara använder verktyg som andra byggt. Att vara ett mindre bolag i en oreglerad bransch är inget skydd mot att omfattas.

Varför uppskovet inte är samma sak som andrum

December 2027 låter som gott om tid, och de flesta mindre bolag har fullt upp med sin dagliga verksamhet. Två saker gör ändå att andrummet är mindre än det ser ut. Dels gäller flera krav redan i dag oavsett vad som hände med högriskreglerna, se nästa avsnitt. Dels tar det som låter som enkla saker, att kartlägga vilka AI-verktyg som används var och i vilka beslut, betydligt längre tid än en ledningsgrupp brukar räkna med, särskilt i organisationer där ingen ännu formellt äger frågan.

Det är också lätt att anta att förordningen bara gäller de bolag som utvecklar egna AI-modeller. I praktiken omfattas även bolag som enbart använder färdiga AI-verktyg från andra leverantörer, om de verktygen används på ett sätt som klassas som högrisk, till exempel i rekrytering, personalbedömning eller kreditbedömning.

Det gör att ansvaret sällan går att lägga helt på leverantören. Ett bolag som köper in ett färdigt AI-verktyg för att sålla kandidater i en rekryteringsprocess omfattas fortfarande av kraven som användare av ett högriskklassat system, även om det är leverantören som byggt själva modellen. Den distinktionen missas ofta i mindre organisationer, där AI-verktyg köps in på samma sätt som vilken annan mjukvara som helst, utan att någon ställer frågan om vilken riskklass användningen faller inom.

Vad som gäller, och när

Från den 2 december 2027 måste fristående AI-system som klassas som högrisk, till exempel system som används i rekrytering, personalbedömning eller kreditbedömning, ha dokumenterad riskhantering, mänsklig tillsyn över AI-drivna beslut, teknisk dokumentation och loggning som sträcker sig minst sex månader tillbaka. AI inbyggd i produkter som redan omfattas av annan EU-produktlagstiftning får motsvarande krav från den 2 augusti 2028.

Redan i dag gäller de mer grundläggande kraven. Förbudet mot AI-system med oacceptabel risk och kravet på grundläggande AI-kunnighet hos personal har gällt sedan den 2 februari 2025. Transparenskraven, att tydligt informera när en chattbot är AI-driven och att märka AI-genererat innehåll och deepfakes, gäller sedan den 2 augusti 2026, med ett undantag: maskinläsbar märkning av AI-genererat innehåll för system som redan fanns på marknaden före det datumet är uppskjuten till den 2 december 2026. De kraven omfattar betydligt fler bolag än vad många inser, eftersom tröskeln för att omfattas är låg jämfört med högriskkraven.

Vad det kan kosta att missa det

Kostnaden för att inte förbereda sig i tid är sällan bara böter, även om de kan bli betydande. Den vanligaste kostnaden är den tid och stress som uppstår när ett bolag tvingas hantera kraven reaktivt, under tidspress, i stället för att ha byggt in dem successivt i hur AI redan används. Ett system som byggts utan tanke på dokumentation och loggning är betydligt dyrare att göra om i efterhand än att bygga rätt från början.

Det finns också en förtroendekostnad. Kunder och samarbetspartners som frågar hur ett bolag hanterar AI och regelefterlevnad förväntar sig i allt högre grad ett tydligt svar, särskilt i branscher där AI redan används för beslut som påverkar människor.

Den kostnaden syns tydligast i upphandlingar och partnerskap, där frågor om regelefterlevnad numera ofta ingår som en självklar del av due diligence. Ett bolag som inte snabbt kan redogöra för hur det förhåller sig till AI-förordningen riskerar att förlora affärer till konkurrenter som kan svara direkt, även om den egna AI-användningen i sig inte skiljer sig nämnvärt åt.

Så tar ni reda på var ni står

Gå igenom vilka AI-verktyg som används i bolaget i dag, i vilka processer, och vilka beslut de är inblandade i. Fråga specifikt om något av dem används i rekrytering, kreditbedömning eller andra beslut som direkt påverkar enskilda personer, eftersom det är där högriskkraven oftast blir aktuella.

Om svaret på den frågan är osäkert, är det osäkerheten i sig som är det viktigaste att åtgärda först, oavsett vad ni till slut kommer fram till om er faktiska riskklassificering.

Sätt en konkret deadline för genomgången, gärna inom den närmaste månaden, och utse en person som ansvarar för att den faktiskt blir av. En lista över vilka verktyg som används, vem som äger dem, och vilken riskklass de sannolikt faller inom räcker som ett första steg, och ger er ett underlag att bygga vidare på innan de nya kraven för högriskklassad AI börjar gälla i december 2027.