EU sköt upp de tuffaste AI-reglerna till 2027, men transparenskraven gäller redan från augusti 2026. Här är vad som faktiskt berör ditt lilla företag just nu.
Du har säkert hört att "EU AI Act börjar gälla" ungefär varannan månad de senaste två åren, och det är svårt att klandra dig om du tappat räkningen. Sanningen är att lagen redan gäller sedan 2024, men den rullas ut i etapper — och 2026 blev året då EU själva bromsade en del av utrullningen. I maj 2026 kom lagstiftarna överens om ett paket kallat Digital Omnibus, som sköt upp flera av de tyngsta kraven med över ett år. Samtidigt trädde andra delar i kraft precis som planerat den 2 augusti 2026. Resultatet är ett lapptäcke av deadlines som är genuint förvirrande även för den som följer frågan yrkesmässigt.
Den här artikeln reder ut vad som faktiskt gäller för dig som driver ett litet företag och använder AI-verktyg i vardagen — inte vad som gäller om du bygger egna AI-system för sjukvård eller kreditbedömning, för då hamnar du i en helt annan, betydligt strängare del av regelverket.
EU AI Act är världens första heltäckande AI-lagstiftning, och den bygger på en enkel grundidé: ju farligare ett AI-system kan vara för människors rättigheter och säkerhet, desto hårdare krav ställs på det. Istället för att reglera "AI" som en enda sak, delar lagen upp system i fyra risknivåer.
Överst finns oacceptabel risk — system som är helt förbjudna, till exempel AI som poängsätter medborgares beteende (social scoring) eller manipulerar människor på ett skadligt sätt. Det här förbudet har gällt sedan februari 2025 och påverkas inte av något av 2026 års förändringar.
Därefter kommer hög risk — system som påverkar viktiga beslut om människor, som AI i rekrytering, kreditbedömning, utbildning eller kritisk infrastruktur. Det är den här kategorin som fått sina deadlines flyttade under 2026.
Sedan finns begränsad risk, där kravet i huvudsak handlar om transparens: användaren ska veta att den pratar med en AI. De flesta småföretag som använder chatbottar, AI-genererat innehåll eller kundtjänstbottar hamnar här.
Längst ner finns minimal risk — det stora flertalet AI-verktyg, som stavningskontroller eller enkla rekommendationsmotorer, som knappt berörs av lagen alls.
Den 7 maj 2026 enades EU:s lagstiftare om det som kallas Digital Omnibus på AI-området (förordning (EU) 2026/1744). Syftet var uttalat att minska den administrativa bördan för företag — EU-kommissionen siktade på minst 25 procents minskning generellt, och 35 procent specifikt för småföretag.
De tyngsta kraven — dokumentation, riskhantering och märkning för fristående högrisksystem enligt lagens Annex III (rekrytering, kreditbedömning, utbildning, kritisk infrastruktur) — flyttades från augusti 2026 till 2 december 2027. Högrisk-AI som är inbyggd i redan reglerade produkter, som medicinteknik, maskiner och leksaker (Annex I), fick ännu längre andrum: till 2 augusti 2028.
Här är den viktigaste poängen för dig som småföretagare: transparenskraven i lagens Artikel 50 påverkades i praktiken inte alls. De trädde i kraft precis som planerat den 2 augusti 2026. Samma sak gäller de förbjudna AI-metoderna (i kraft sedan februari 2025), kraven på AI-kompetens hos personal, och skyldigheterna för leverantörer av generella AI-modeller (GPAI) som GPT, Claude och Gemini.
Med andra ord: om du trodde att "hela AI Act sköts upp ett år" så stämmer det inte. Det är specifikt högrisk-kraven som fått mer tid — de krav som faktiskt berör de flesta småföretag gäller redan.
Sedan den 2 augusti 2026 måste det vara tydligt för en användare när den interagerar med ett AI-system, när innehåll är AI-genererat, och om ett system använder känsloigenkänning eller biometrisk kategorisering. Använder du en AI-chatbot på din webbplats ska besökaren alltså kunna förstå att de pratar med en AI, inte en människa — det räcker ofta med en enkel textrad eller ikon i chattfönstret. Publicerar du AI-genererade bilder, texter eller videor i marknadsföring kan det i vissa sammanhang krävas en tydlig markering om att innehållet är AI-skapat, särskilt om det annars skulle kunna uppfattas som äkta.
En specifik del av transparenskravet, kravet på maskinläsbar vattenmärkning av AI-genererat innehåll (Artikel 50.2), fick ett kortare andrum för system som redan fanns på marknaden före 2 augusti 2026: de har fram till 2 december 2026 innan kravet börjar gälla för dem. Nya system som lanseras efter augusti 2026 omfattas direkt.
Sedan februari 2025 gäller ett krav på att företag som använder AI-system ska säkerställa "tillräcklig AI-kompetens" hos personal som arbetar med systemen. Det låter byråkratiskt men betyder i praktiken något ganska rimligt: de som använder AI-verktyg i sitt jobb ska förstå grunderna i hur verktygen fungerar, vilka begränsningar de har, och vilka risker som finns — till exempel att modeller kan hallucinera felaktig information med total säkerhet i tonen.
De flesta småföretag som använder färdiga AI-verktyg för texter, bilder, kundsupport eller intern effektivisering hamnar i kategorin begränsad risk — ni är användare (inte utvecklare) av allmänna AI-verktyg, och huvudkravet blir transparens gentemot era egna kunder. Det gäller till exempel om ni använder ChatGPT, Claude eller Gemini för att skriva marknadsföringstexter, en AI-chatbot för kundtjänst, eller AI-genererade bilder i sociala medier.
Risken stiger markant om ni själva bygger eller använder AI för att fatta eller påverka beslut om enskilda människor — sortera jobbansökningar automatiskt, bedöma kreditvärdighet, prissätta individuellt baserat på AI-profilering, eller övervaka anställda. Då riskerar ni att klassas som högrisksystem, och där gäller de striktare kraven, om än med den nya deadline 2 december 2027 för att hinna på plats.
Ett litet rekryteringsföretag använder ett AI-verktyg som automatiskt sorterar bort de 70 procent svagaste ansökningarna innan en rekryterare ens tittar på dem. Det är ett klassiskt exempel på ett högrisksystem enligt Annex III — det påverkar direkt människors möjlighet att få jobb. Företaget har nu fram till december 2027 på sig att uppfylla de fulla kraven (riskhanteringssystem, mänsklig tillsyn, dokumentation), men det är klokt att inte vänta till sista minuten. Ett marknadsföringsbolag som använder samma sorts AI-verktyg för att generera annonstexter och bildidéer, däremot, hamnar i den betydligt enklare transparenskategorin och behöver huvudsakligen se till att det är tydligt när innehåll är AI-genererat.
AI Act har ett bötessystem uppbyggt i nivåer, där de högsta beloppen är reserverade för de allvarligaste överträdelserna. Att använda ett förbjudet AI-system kan ge böter upp till 35 miljoner euro eller 7 procent av global årsomsättning, beroende på vilket som är högst. Överträdelser av kraven på högrisksystem eller andra centrala skyldigheter kan ge upp till 15 miljoner euro eller 3 procent av omsättningen — det är också i den här klassen transparensöverträdelser enligt Artikel 50 hamnar. Att lämna felaktig information till tillsynsmyndigheter kan kosta upp till 7,5 miljoner euro eller 1 procent av omsättningen.
Det som är värt att känna till som småföretagare: lagen anger uttryckligen att böter för små och medelstora företag ska begränsas till det lägre av de två beloppen (den fasta summan eller procentsatsen), inte automatiskt det högre. Det är ett litet men verkligt skydd mot att ett litet bolag drabbas lika hårt som en global techjätte för samma typ av fel.
Digital Omnibus införde också något nytt: kategorin "small mid-cap" (SMC), som utökar de förenklade kraven som tidigare bara gällde småföretag (SME) till att även omfatta lite större medelstora bolag. Tanken är att fler företag ska kunna dra nytta av förenklad dokumentation, mallar och vägledning som EU-kommissionen tar fram, istället för att behöva bygga upp fullständiga efterlevnadsprogram från grunden. Om ditt företag växer och undrar om ni fortfarande räknas som "litet" i AI Act-sammanhang, är det värt att kolla upp den här nya gränsdragningen specifikt — den är bredare än den klassiska EU-definitionen av SME.
Du behöver inte ett helt compliance-team för att ligga rätt till som litet företag. En pragmatisk ordning brukar räcka långt:
Det här hänger nära ihop med de bredare frågor kring dataskydd som redan gäller parallellt — se vår genomgång av AI och GDPR för företagare för hur de två regelverken samspelar. Och oavsett vilken risknivå era verktyg hamnar i, är det alltid klokt att bygga vanan att faktagranska AI-genererat innehåll innan det går ut till kunder, samt att sätta upp tydliga guardrails för hur verktygen får användas i vardagen. Är ni helt i startgroparna med AI i företaget kan vår guide AI för småföretagare vara en bra utgångspunkt innan ni går vidare med regelfrågorna. Det är också värt att hålla ett öga på hur reglerna kring AI-etik utvecklas, eftersom Digital Omnibus knappast blir den sista justeringen av tidsplanen.
EU AI Act är fortfarande på väg in, inte redan här i sin helhet — men datumet "2026" betyder inte längre "allt gäller nu". De tunga kraven för högrisksystem har fått andrum till december 2027 och augusti 2028. Det som gäller redan idag, och som berör de allra flesta småföretag som använder AI-verktyg i vardagen, är transparenskraven: var öppen med att AI är inblandat, håll koll på vattenmärkning från december 2026, och se till att teamet faktiskt förstår verktygen de använder. Gör du det, ligger du redan steget före de flesta konkurrenter — oavsett vad nästa omgång EU-förhandlingar landar i.
Apan tycker: EU:s lagstiftare är lite som jag när jag ska plocka bananer från ett högt träd — mycket omplanering, några rejäla omtag, men målet ligger kvar där det alltid legat. Du behöver inte kunna hela AI Act utantill. Du behöver bara veta att transparens gäller nu, att de tunga kraven kommer 2027–2028, och att en enkel lista över era AI-verktyg räcker långt för att sova gott. 🐒
Ja, men troligen mindre än du tror. De flesta småföretag som använder färdiga AI-verktyg som ChatGPT eller Claude för texter, bilder eller kundsupport hamnar i kategorin "begränsad risk", där huvudkravet är transparens — kunder ska förstå att de pratar med en AI. De tunga kraven gäller bara om ni bygger eller använder AI för att fatta beslut om enskilda människor, som anställning eller kreditbedömning. Sedan augusti 2026 gäller transparenskraven skarpt, medan de striktaste högriskreglerna sköts upp till december 2027 genom Digital Omnibus. Läs mer om AI-etik och hur du bygger enkla guardrails för er AI-användning.
I maj 2026 enades EU-lagstiftarna om ett paket kallat Digital Omnibus, som sköt upp de tyngsta kraven för högrisk-AI-system. Krav på fristående högrisksystem som påverkar rekrytering, kreditbedömning och utbildning flyttades från augusti 2026 till december 2027. AI inbyggd i redan reglerade produkter, som medicinteknik och maskiner, fick ännu längre tid — till augusti 2028. Transparenskraven och förbudet mot vissa AI-metoder påverkades inte av uppskjutningen och gäller redan. Se även vår genomgång av AI-etik.
Bötesnivåerna är graderade efter hur allvarlig överträdelsen är. Att använda ett helt förbjudet AI-system, till exempel för social scoring, kan ge böter på upp till 35 miljoner euro eller 7 procent av global omsättning. Brott mot kraven för högrisksystem eller transparensreglerna kan kosta upp till 15 miljoner euro eller 3 procent av omsättningen. För småföretag begränsas boten alltid till det lägre av det fasta beloppet och procentsatsen — ett skydd mot orimligt höga böter för mindre bolag.