Den 2 augusti 2026 börjar flera centrala delar av EU AI-förordning att tillämpas. För de flesta svenska småföretag innebär det inte att vanliga AI-verktyg blir förbjudna eller att varje AI-skriven text måste märkas. Däremot behöver företag veta vilka AI-system de använder, ge berörda medarbetare rimlig kunskap och vara öppna med viss användning av AI.
Kraven beror på vad företaget gör med tekniken. En konsult som använder AI för att sammanfatta egna anteckningar har en annan riskbild än ett företag som låter en AI-chatbot svara kunder, bedömer arbetssökande eller publicerar realistiska AI-filmer. Därför går det inte att hantera AI-förordningen med en generell etikett i sidfoten eller ett förbud mot ett visst verktyg. Företaget behöver förstå användningen i praktiken.
De flesta småföretag är användare av AI
AI-förordningen skiljer bland annat mellan leverantörer och användare, som i lagtexten kallas providers och deployers. En leverantör utvecklar ett AI-system, låter utveckla det och erbjuder det under eget namn eller varumärke. Ett företag som använder någon annans AI-system i sin verksamhet är normalt en användare.
Det betyder att ett konsultföretag som använder ChatGPT för utkast, en AI-assistent i ett affärssystem eller ett bildverktyg för marknadsföring vanligen är användare. Företaget blir inte automatiskt leverantör av ett AI-system bara för att en medarbetare skriver egna instruktioner eller bygger ett arbetsflöde ovanpå en befintlig tjänst. Gränsen kan däremot förskjutas om företaget bygger om systemet, ger det ett eget varumärke eller erbjuder en AI-funktion till kunder som en egen produkt.
Skillnaden är viktig eftersom leverantörer har betydligt fler tekniska skyldigheter. Det gäller exempelvis hur vissa AI-system ska konstrueras för att informera människor om att de möter AI och hur AI-genererat material ska kunna identifieras maskinellt. Ett vanligt småföretag behöver sällan lösa den tekniken självt, men måste fortfarande kontrollera vad den egna användningen innebär.
Kraven på öppenhet blir tydligare
Från den 2 augusti gäller transparenskraven i artikel 50. Ett AI-system som för en faktisk dialog med människor ska vara utformat så att personen förstår att den kommunicerar med AI, om det inte redan är uppenbart. Det tekniska huvudansvaret ligger på leverantören av systemet.
För ett småföretag blir frågan aktuell när en AI-chatbot används på webbplatsen, i kundtjänsten eller i en digital tjänst. Företaget bör inte utforma presentationen så att kunden får intrycket att svaren kommer från en människa. En enkel och tydlig upplysning, exempelvis ”Du chattar med vår AI-assistent”, är normalt mer användbar än en lång juridisk text. Kunden behöver också få veta hur den kommer vidare till en människa när ärendet kräver bedömning eller tillgång till känsliga uppgifter.
Särskilda krav gäller även när AI används för känsloigenkänning eller biometrisk kategorisering. Personer som utsätts för sådan användning ska informeras. För de flesta konsult- och tjänsteföretag finns det sällan ett rimligt behov av den typen av system. Om en leverantör erbjuder en funktion som påstår sig kunna mäta engagemang, känslor eller personliga egenskaper genom kamera, röst eller beteende bör företaget granska den noggrant innan den aktiveras.
Allt AI-genererat innehåll behöver inte märkas
Det förekommer förenklade påståenden om att alla texter och bilder som skapats med AI måste märkas från den 2 augusti. Så är reglerna inte utformade.
Ett tydligt märkningskrav gäller när ett företag publicerar en deepfake, alltså AI-genererad eller manipulerad bild, film eller ljudupptagning som föreställer verkliga personer, platser, föremål eller händelser på ett sätt som felaktigt kan uppfattas som äkta. Märkningen ska vara tydlig för den som möter innehållet. Att gömma informationen i användarvillkor eller metadata räcker därför inte som enda åtgärd.
För text är kravet mer avgränsat. Märkning krävs när AI-genererad eller AI-manipulerad text publiceras för att informera allmänheten om frågor av allmänintresse och texten inte har genomgått mänsklig granskning eller redaktionell kontroll. En oredigerad AI-text om exempelvis politik, säkerhet, hälsa eller samhällsekonomi kan omfattas. En produktbeskrivning, ett internt mötesunderlag eller ett personligt granskat mejlutkast gör det normalt inte enbart för att AI har använts.
Mänsklig granskning behöver vara verklig. Att snabbt godkänna en text utan att kontrollera innehåll, källor och slutsatser är en svag arbetsmetod, även om någon formellt har tryckt på publiceringsknappen. Den som granskar bör förstå ämnet och kunna stå för den publicerade texten.
EU-kommissionens vägledning om transparenskraven innehåller fler avgränsningar och exempel. Material som skapades och publicerades före den 2 augusti 2026 behöver inte märkas retroaktivt.
Företaget behöver ge personalen AI-kunskap
Kravet på AI-kunskap började egentligen tillämpas redan den 2 februari 2025. Från augusti 2026 börjar de nationella myndigheterna också övervaka efterlevnaden. Företag som tillhandahåller eller använder AI-system ska vidta åtgärder för att personal och andra personer som använder systemen för företagets räkning ska ha relevant kunskap.
Det finns inget krav på att alla ska gå samma certifierade utbildning. Kunskapen ska anpassas efter personens roll, erfarenhet och sättet som AI används på. En medarbetare som använder AI för språkgranskning behöver exempelvis förstå risken för felaktiga omskrivningar och informationsläckor. Den som använder AI för att ta fram beslutsunderlag behöver även kunna bedöma källor, osäkerhet, partiskhet och när en människa måste ta över.
Ett mindre företag kan komma långt genom att gå igenom verktygen tillsammans, fastställa några konkreta regler och dokumentera vad personalen fått information om. En användbar genomgång bör åtminstone ta upp:
- vilka AI-verktyg som är godkända
- vilken information som får matas in
- hur personuppgifter och kundmaterial ska hanteras
- vilka resultat som alltid måste granskas
- när AI-användningen ska upplysas eller märkas
- vem som ansvarar när något blir fel
EU-kommissionen betonar i sin vägledning om AI-kunskap att åtgärderna ska passa verksamheten och användningssituationen. Det gör kravet hanterbart för små företag, men det räcker inte att utgå från att alla redan förstår tekniken eftersom de har provat ett chattverktyg.
Vanlig AI-användning är oftast tillåten
AI-förordningen bygger på risknivåer. Vanliga hjälpmedel för textutkast, sammanfattningar, översättning, administration och idéarbete tillhör normalt inte de mest reglerade användningsområdena. Ett konsultföretag kan alltså fortsätta använda AI för att strukturera mötesanteckningar, skapa ett första offertutkast eller sammanställa projektinformation.
Det förändrar inte företagets ansvar för resultatet. En faktura behöver fortfarande ha korrekta belopp och uppgifter. Ett kundmejl måste fortfarande stämma. Ett avtal måste granskas av någon som förstår innehållet. När AI används i ett administrativt system bör resultatet därför visas som ett utkast när åtgärden kan få ekonomiska eller rättsliga följder.
Ett system som Kiri kan exempelvis använda AI för att skapa ett fakturautkast utifrån registrerad tid och kostnader. Den praktiskt viktiga kontrollen är att användaren kan granska rader, belopp, moms och kunduppgifter innan fakturan attesteras. AI kan minska arbetet med att samla underlaget, men företaget ansvarar fortfarande för den faktura som skickas.
Betydligt strängare regler gäller för AI-system med hög risk, exempelvis viss användning inom rekrytering, kreditbedömning, utbildning, biometrisk identifiering och kritisk infrastruktur. Tidsplanen för dessa bestämmelser har ändrats under 2026. Ett företag som använder AI för att rangordna arbetssökande, bedöma människors lämplighet eller fatta beslut med stor påverkan bör därför göra en särskild juridisk och teknisk bedömning i stället för att luta sig mot en generell AI-policy.
GDPR och sekretess gäller parallellt
AI-förordningen ersätter inte GDPR, upphovsrätt, sekretessavtal eller regler om företagshemligheter. Ett AI-verktyg kan vara tillåtet enligt AI-förordningen men ändå olämpligt för ett visst material.
Det vanligaste vardagsproblemet är att någon klistrar in mer information än vad uppgiften kräver. Kundregister, personuppgifter, opublicerade avtal, inloggningsuppgifter och känslig projektinformation bör inte matas in i ett externt AI-verktyg utan att företaget har kontrollerat avtal, lagring, åtkomst och hur uppgifterna får användas. Att en tjänst är välkänd betyder inte att den är godkänd för alla typer av information.
Företaget behöver också veta vad som händer med resultaten. AI kan återge felaktiga uppgifter, blanda ihop kunder eller skapa formuleringar som liknar skyddat material. Den mänskliga granskningen bör därför anpassas efter konsekvensen av ett fel. Ett internt förslag till mötesrubrik kräver mindre kontroll än en offentlig artikel, en faktura eller ett råd till en kund.
En rimlig checklista för småföretag
Arbetet behöver inte börja med ett omfattande regelprojekt. För ett mindre företag är det mer praktiskt att börja med den faktiska användningen:
- Lista vilka AI-verktyg som används och till vad.
- Ta reda på om företaget är användare eller leverantör i varje situation.
- Identifiera användning som påverkar kunder, anställda eller andra personer.
- Kontrollera om en AI-chatbot, deepfake eller text om allmänintresse behöver en upplysning.
- Bestäm vilken information som inte får matas in i externa verktyg.
- Ange vilka resultat som alltid ska granskas av en människa.
- Ge berörda personer den kunskap som deras arbetsuppgifter kräver.
- Spara enkla anteckningar om verktyg, regler, utbildning och ansvar.
- Följ leverantörernas uppdateringar när deras tjänster anpassas till förordningen.
- Gör en separat bedömning innan AI används för rekrytering, övervakning, kredit eller andra beslut som påverkar människor påtagligt.
Sverige har utsett flera nationella behöriga myndigheter, däribland Post- och telestyrelsen, Integritetsskyddsmyndigheten, Finansinspektionen, Läkemedelsverket och Swedac. Vilken myndighet som blir relevant beror på systemet och branschen. Regeringens beslut om svenska myndigheter ger den aktuella ansvarsfördelningen.
Sanktionsnivåerna i AI-förordningen kan vara höga, men bedömningen ska ta hänsyn till bland annat företagets storlek och omständigheterna i det enskilda fallet. För ett vanligt småföretag är den rimliga prioriteringen att få kontroll över verktygen, utbilda användarna och sätta tydliga gränser för riskfylld användning. Den som redan arbetar så har gjort en stor del av det praktiska grundarbetet.
Artikeln beskriver reglerna översiktligt och ersätter inte juridisk rådgivning i ett enskilt fall.