AI Act – EU:s AI-förordning (EU) 2024/1689 – är världens första breda AI-lagstiftning. Den trädde i kraft 1 augusti 2024 och börjar gälla stegvis fram till 2027. Den här guiden förklarar vad som faktiskt gäller för svenska företag: vem som omfattas, hur riskklasserna fungerar, när kraven börjar tillämpas och vad du bör göra redan nu.
TL;DR – det viktigaste om AI Act
- AI Act gäller alla som utvecklar (leverantör) eller använder (deployer) AI-system i EU – även när AI:n är inköpt från en amerikansk leverantör.
- Reglerna är riskbaserade: förbjuden praxis, hög risk, begränsad risk (transparens) och minimal risk.
- Förbjudna metoder gäller sedan 2 februari 2025. Transparens- och GPAI-regler sedan 2 augusti 2025. Merparten av högriskreglerna gäller från 2 augusti 2026, vissa produktinbäddade system från 2027.
- Transparenskravet är det som träffar flest vanliga företag: chattbotar, AI-röster och syntetiskt innehåll måste vara tydligt märkta.
- Sanktionerna går upp till 35 MEUR eller 7 % av global omsättning för förbjuden praxis.
AI Act ersätter inte GDPR. Om din AI behandlar personuppgifter gäller båda regelverken samtidigt.
Vad är AI Act?
AI Act är en EU-förordning, vilket betyder att den gäller direkt i Sverige utan att riksdagen behöver skriva om den till svensk lag. Syftet är att AI som används i EU ska vara säker, spårbar och respektera grundläggande rättigheter – utan att bromsa innovation för lågriskanvändning.
Förordningen reglerar inte tekniken i sig, utan hur den används. Samma språkmodell kan vara helt oreglerad i ett sammanhang (sammanfatta interna mötesanteckningar) och högrisk i ett annat (gallra jobbansökningar).
Vem omfattas?
AI Act skiljer på flera roller. De två som de flesta företag berörs av:
| Roll | Vad det betyder | Typiskt exempel |
|---|---|---|
| Leverantör (provider) | Utvecklar ett AI-system eller släpper det på marknaden under eget namn | Ett SaaS-bolag som bygger en AI-receptionist |
| Deployer (användare) | Använder ett AI-system i sin yrkesverksamhet | En vårdcentral som använder AI-receptionisten |
| Importör / distributör | Tar in eller vidareförsäljer AI-system i EU | Återförsäljare av AI-verktyg |
Räckvidden är extraterritoriell: en leverantör utanför EU omfattas om systemets resultat används inom EU. Privat, icke-yrkesmässig användning ligger utanför förordningen.
Riskklasserna i AI Act
Hela regelverket hänger på vilken risknivå användningen hamnar i.
| Risknivå | Vad som gäller | Exempel |
|---|---|---|
| Oacceptabel risk | Förbjudet | Social poängsättning, känsloigenkänning på arbetsplats och i skola, manipulativa tekniker som utnyttjar sårbarhet |
| Hög risk | Riskhantering, datastyrning, teknisk dokumentation, loggning, mänsklig tillsyn, konformitetsbedömning | Rekrytering och urval, kreditbedömning, kritisk infrastruktur, vissa medicintekniska tillämpningar |
| Begränsad risk | Transparenskrav – användaren ska veta att det är AI | Chattbotar, AI-röster, syntetiskt bild-, ljud- och videoinnehåll |
| Minimal risk | Inga särskilda krav (frivilliga uppförandekoder) | Stavningskontroll, spamfilter, AI i affärssystem |
De allra flesta AI-tillämpningar i svenskt näringsliv landar i begränsad eller minimal risk. Det gör transparenskraven till den praktiskt viktigaste delen för de flesta.
Tidslinje – när börjar reglerna gälla?
| Datum | Vad som börjar gälla |
|---|---|
| 1 augusti 2024 | Förordningen träder i kraft |
| 2 februari 2025 | Förbjuden AI-praxis samt krav på AI-kompetens (AI literacy) hos personal |
| 2 augusti 2025 | Regler för generella AI-modeller (GPAI), styrning och sanktioner |
| 2 augusti 2026 | Huvuddelen av förordningen, inklusive högrisksystem enligt bilaga III och transparenskraven |
| 2 augusti 2027 | Högrisk-AI inbäddad i reglerade produkter |
Tidslinjen har diskuterats politiskt under 2025–2026 och delar av tillämpningen kan justeras. Kontrollera alltid aktuellt läge hos EU:s officiella AI Act-sida eller i förordningstexten på EUR-Lex innan du fattar juridiska beslut.
Transparenskraven i praktiken
Det här är den del som träffar flest verksamheter, och den är relativt enkel att uppfylla:
- Chattbotar och röstassistenter: en person som interagerar med AI ska informeras om det, om det inte redan är uppenbart.
- Syntetiskt innehåll: AI-genererad text, bild, ljud och video ska vara maskinläsbart märkt.
- Deepfakes: innehåll som liknar verkliga personer eller händelser ska tydligt anges vara AI-genererat.
- Känslo- och biometrisk kategorisering: berörda personer ska informeras.
- AI-kompetens: organisationer ska säkerställa att personal som använder AI har tillräcklig kunskap om systemets möjligheter och risker.
Vad gäller för AI i telefoni och kundservice?
AI som svarar i telefon, transkriberar samtal eller sammanfattar ärenden är i normalfallet begränsad risk – inte högrisk. Men flera regelverk träffar samtidigt. Praktisk checklista för AI i kundkontakt:
- Berätta att det är AI. Låt AI-receptionisten inleda med att den är en digital assistent. Det uppfyller transparenskravet och ökar dessutom förtroendet.
- Informera om inspelning och bearbetning enligt GDPR – separat från AI-informationen.
- Ha alltid en väg till människa. Eskalering till en handläggare bör vara ett steg bort, både av regulatoriska och affärsmässiga skäl.
- Låt inte AI fatta beslut med rättslig verkan (kreditbeslut, avslag på ansökan) utan mänsklig prövning.
- Dokumentera vilka AI-system ni använder, till vad, och vem som är leverantör.
- Kontrollera datalagringen. EU-baserad lagring förenklar både GDPR-efterlevnad och leverantörsgranskning.
Så här arbetar vi med det i praktiken i Telinks AI-plattform, i AI-receptionisten och i samtalsloggning och inspelning. En fördjupning i det juridiska landskapet finns i vårt whitepaper om AI-samtal, GDPR och marknadsföringslagen.
AI Act vs GDPR – hur hänger de ihop?
| GDPR | AI Act | |
|---|---|---|
| Skyddar | Personuppgifter | Hälsa, säkerhet och grundläggande rättigheter |
| Utlöses av | Behandling av personuppgifter | Utsläppande eller användning av AI-system |
| Gäller även utan personuppgifter | Nej | Ja |
| Tillsyn i Sverige | IMY | Utpekad marknadskontrollmyndighet |
De överlappar men ersätter inte varandra. Ett AI-system utan personuppgifter kan omfattas av AI Act men inte GDPR – och tvärtom.
Sanktioner
- Förbjuden AI-praxis: upp till 35 MEUR eller 7 % av global årsomsättning.
- Övriga överträdelser (t.ex. brott mot högrisk- eller transparenskrav): upp till 15 MEUR eller 3 %.
- Vilseledande information till myndighet: upp till 7,5 MEUR eller 1 %.
För små och medelstora företag tillämpas det lägre av procentsatsen och beloppet.
Checklista: så förbereder ni er
- Inventera. Lista alla AI-system i verksamheten – inklusive AI-funktioner inbyggda i befintliga verktyg.
- Klassificera. Placera varje användningsområde i rätt risknivå.
- Stoppa förbjuden praxis. Känsloigenkänning på anställda är det vanligaste misstaget.
- Märk upp. Se över chattbotar, AI-röster och AI-genererat innehåll.
- Utbilda. AI-kompetenskravet gäller redan och kräver dokumenterad intern utbildning.
- Granska leverantörer. Be om leverantörens AI Act-status, datalagringsort och dokumentation.
- Utse ansvar. En namngiven person eller funktion som äger AI-styrningen.
- Dokumentera löpande. Efterlevnad bevisas med dokumentation, inte med goda avsikter.
Vanliga frågor om AI Act
Vad är AI Act?
AI Act är EU:s AI-förordning (EU) 2024/1689 – en riskbaserad lagstiftning som reglerar hur AI-system får utvecklas och användas i EU. Den trädde i kraft 1 augusti 2024 och tillämpas stegvis fram till 2027.
När börjar AI Act gälla?
Stegvis: förbjuden praxis och AI-kompetenskrav sedan februari 2025, GPAI-regler sedan augusti 2025, huvuddelen inklusive högrisk- och transparenskrav från augusti 2026 och produktinbäddad högrisk-AI från augusti 2027.
Vilka företag omfattas av AI Act?
Alla som utvecklar, släpper ut eller yrkesmässigt använder AI-system i EU – oavsett storlek. Förordningen gäller även leverantörer utanför EU vars AI-resultat används inom unionen. Rent privat användning omfattas inte.
Är en chattbot högrisk enligt AI Act?
Nej, en vanlig kundtjänstchattbot är normalt begränsad risk. Den omfattas av transparenskravet – användaren ska förstå att det är AI – men inte av högriskkraven. Högrisk blir det först vid användning som rekrytering, kreditbedömning eller kritisk infrastruktur.
Vad blir straffet om man bryter mot AI Act?
Upp till 35 MEUR eller 7 % av global omsättning för förbjuden praxis, upp till 15 MEUR eller 3 % för övriga överträdelser och upp till 7,5 MEUR eller 1 % för vilseledande uppgifter till myndighet. För SMF tillämpas det lägre beloppet.
Måste vi berätta för kunder att de pratar med en AI?
Ja. Transparenskravet innebär att en person som interagerar med ett AI-system ska informeras om det, om det inte är uppenbart av sammanhanget. I telefoni löser man det enklast med en tydlig inledande fras.
Ersätter AI Act GDPR?
Nej. Regelverken gäller parallellt. AI Act reglerar AI-systemet, GDPR reglerar behandlingen av personuppgifter. Använder er AI personuppgifter måste ni följa båda.
Vem utövar tillsyn över AI Act i Sverige?
Tillsynen delas mellan utpekade svenska marknadskontrollmyndigheter och EU:s AI-kontor för generella AI-modeller. IMY ansvarar fortsatt för dataskyddsfrågor enligt GDPR.
Den här artikeln är en översiktlig genomgång och utgör inte juridisk rådgivning. Kontrollera alltid gällande text i förordning (EU) 2024/1689 inför beslut.
Vill du veta mer?
Kontakta oss för att diskutera hur Telink kan hjälpa ditt företag med moderna kommunikationslösningar.