EU:s AI-förordning (AI Act), förklarad.

Vad AI-förordningen är (och inte är)

AI-förordningen är en produktsäkerhetsliknande reglering för AI-system som släpps ut på EU-marknaden eller vars utdata används i EU. Den reglerar inte ”AI” som teknik — den reglerar specifika användningar efter risk. Ju högre risk för hälsa, säkerhet eller grundläggande rättigheter, desto tyngre skyldigheter. Det mesta av vardags-AI (skräppostfilter, rekommendationswidgetar, stavningskontroller, AI-funktioner i produktivitetsverktyg) är minimal risk och får inga nya skyldigheter alls.

De fyra risknivåerna

Allt i förordningen bygger på denna klassificering:

• Oacceptabel risk — helt förbjuden sedan den 2 februari 2025: social poängsättning, exploaterande eller manipulativa tekniker, oriktad skrapning av ansiktsbilder, känsloigenkänning på arbetsplatser och i skolor (snäva säkerhetsundantag), biometrisk kategorisering för att härleda känsliga attribut samt biometrisk fjärridentifiering i realtid på offentliga platser för brottsbekämpning (begränsade undantag). Från den 2 december 2026 förbjuder 2026 års ändring dessutom uttryckligen AI-system som genererar intima bilder utan samtycke eller CSAM.
• Hög risk — tillåten men strikt reglerad: AI som används som säkerhetskomponent i reglerade produkter (bilaga I — maskiner, medicintekniska produkter, hissar…) eller i känsliga användningsområden (bilaga III — rekrytering och personalledning, betygsättning i utbildning, kreditvärdering, samhällsviktiga tjänster, brottsbekämpning, migration, rättsväsende). Kraven omfattar riskhantering, datastyrning, teknisk dokumentation, loggning, mänsklig tillsyn, tester av noggrannhet/robusthet och registrering i en EU-databas.
• Begränsad risk — transparenskrav (artikel 50): berätta för människor när de interagerar med ett AI-system (chatbottar), märk AI-genererat eller manipulerat bild-/ljud-/videoinnehåll (deepfakes), märk syntetiskt innehåll på ett maskinläsbart sätt och upplys om AI-genererad text som publiceras för att informera allmänheten i frågor av allmänintresse.
• Minimal risk — allt annat: inga nya skyldigheter, frivilliga uppförandekoder uppmuntras.

Tidslinjen 2026 — uppdaterad efter Digital Omnibus

Förordningen trädde i kraft den 1 augusti 2024 och skulle tillämpas nästan fullt ut den 2 augusti 2026. I november 2025 föreslog kommissionen ”Digital Omnibus on AI” för att förenkla och sprida ut detta; parlamentet ställde sig bakom den 16 juni 2026 och rådet gav sitt slutliga godkännande den 29 juni 2026. De viktigaste datumen nu:

• 2 februari 2025 — förbuden mot metoder med oacceptabel risk och kraven på AI-kunnighet började gälla.
• 2 augusti 2025 — skyldigheter för leverantörer av AI-modeller för allmänna ändamål (GPAI): teknisk dokumentation, upphovsrättspolicy, sammanfattningar av träningsdata; extra krav för modeller med systemrisk — samt EU:s AI-byrå och styrningsstrukturer.
• 2 augusti 2026 — förordningen blir allmänt tillämplig: transparenskrav (artikel 50), sanktioner och de flesta återstående bestämmelser. Maskinläsbar märkning av syntetiskt innehåll får en övergångsperiod till den 2 december 2026 för system som redan fanns på marknaden före den 2 augusti 2026.
• 2 december 2026 — nya förbud mot AI som genererar intima bilder utan samtycke och CSAM börjar gälla.
• 2 december 2027 — högriskkrav för användningsområden i bilaga III (rekrytering, kreditvärdering, utbildning…) — uppskjutna 16 månader från det ursprungliga datumet i augusti 2026.
• 2 augusti 2028 — högriskkrav för produktinbäddad AI enligt bilaga I (medicintekniska produkter, maskiner…) — uppskjutna ett år från augusti 2027. Nationella regulatoriska sandlådor ska finnas senast den 2 augusti 2027.

Vem som måste följa den

Skyldigheterna knyts till roller i värdekedjan: leverantörer (som utvecklar eller släpper ut ett AI-system på EU-marknaden under eget namn), användare (som använder ett AI-system yrkesmässigt) samt importörer och distributörer. Räckvidden är extraterritoriell — en SaaS från USA eller Storbritannien vars AI-utdata används i EU omfattas. Små och medelstora företag får vissa lättnader: förenklad dokumentation, prioriterad tillgång till sandlådor och böter som begränsas till det lägre av de två beloppen i stället för det högre.

Vad AI-förordningen betyder för din webbplats

För de flesta företag är de första verkliga kontaktpunkterna transparensreglerna som gäller från augusti 2026 — de handlar om vad besökare ser på din webbplats:

• AI-chatbottar och assistenter på din webbplats måste göra klart att besökaren pratar med en maskin (om det inte är uppenbart av sammanhanget).
• AI-genererade eller AI-manipulerade bilder, ljud och video (deepfakes) som du publicerar måste märkas synligt som artificiellt genererade eller manipulerade.
• Syntetiska medier bör bära maskinläsbar märkning (t.ex. metadata/vattenmärkning) — märkningskravet för system från före aug 2026 gäller från den 2 december 2026.
• AI-skriven text som publiceras för att informera allmänheten i frågor av allmänintresse måste anges som AI-genererad, om den inte gått igenom mänsklig redaktionell granskning med ansvarstagande.
• Om du använder AI i rekrytering, kreditgivning eller andra användningsområden i bilaga III, planera för högriskregimen som gäller från den 2 december 2027.
• AI-kunnighet: organisationer som använder AI yrkesmässigt bör vidta åtgärder så att personalen förstår de system de hanterar.

Sanktioner

Bötesstrukturen är medvetet GDPR-lik: upp till 35 miljoner € eller 7% av den globala årsomsättningen (beroende på vilket som är högst) för förbjudna metoder; upp till 15 miljoner € eller 3% för de flesta andra överträdelser, inklusive högrisk- och GPAI-krav; upp till 7,5 miljoner € eller 1% för att lämna felaktiga eller vilseledande uppgifter till myndigheter. För små och medelstora företag är varje tak det lägre av de två beloppen. Tillsynen delas mellan nationella marknadskontrollmyndigheter och, för GPAI-modeller, EU:s AI-byrå.

Hur Beacon passar in

Beacon skannar redan vad sökmotorer och AI-crawlers faktiskt ser på din webbplats — robots.txt-policyer, renderat innehåll, strukturerad data och upplysningar. Vi bygger vidare på den grunden med en AI Act-beredskapsskanning: en automatiserad kontroll av webbplatsens besökarvända transparenssignaler (chatbot-upplysning, märkning av AI-innehåll, maskinläsbar märkning och relaterad metadata) med en prioriterad åtgärdslista. Det blir ingen juridisk rådgivning — men den visar dig konkret vad din webbplats exponerar i dag och vad du ska åtgärda först.