Er AI-funktion är redan reglerad, även om högrisk-reglerna väntar till 2027

Ett tänkt exempel. Ett SaaS-bolag bygger in ett AI-baserat rekommendationsverktyg i sin produkt. Ledningen väntar med det juridiska arbetet. Tanken är enkel: högrisk-reglerna gäller först 2027, så det finns tid. Den tanken stämmer bara till hälften.

EU sköt i maj 2026 upp de tunga högrisk-kraven till den 2 december 2027. Men fyra andra delar av AI-förordningen gäller redan idag. Förbuden mot vissa användningsområden gäller. Kraven på AI-läskunnighet hos personalen gäller. Transparenskraven i artikel 50 gäller. Reglerna för allmänna AI-modeller gäller sedan den 2 augusti 2026. Det är regler i kraft nu, inte om ett år.

Förbuden träffar fler system än man tror. System som manipulerar användare under deras medvetandenivå är förbjudna. System som gör social poängsättning av privatpersoner är förbjudna. System som drar slutsatser om känslor på arbetsplatsen är förbjudna med få undantag. Ett bolag som byggt in en sådan funktion i sitt onboarding-flöde eller sin kundtjänst kan sitta med ett förbjudet system utan att någon i bolaget har tänkt på det som en AI-fråga alls.

Transparenskravet är det som oftast missas helt. Använder produkten en chattbot, en AI-genererad bild eller en AI-röst, ska användaren informeras om det tydligt. Kravet gäller oavsett bransch och oavsett om systemet i övrigt räknas som lågrisk. Det är en enkel regel att följa. Det är också en enkel regel att missa, eftersom den sällan står högst på listan när ett tech-bolag planerar sin lansering.

Tillsynen av AI-förordningen i Sverige är fortfarande under uppbyggnad, men principen är densamma som för andra EU-förordningar av det här slaget. Sanktioner beräknas som andel av global omsättning snarare än som ett fast belopp, vilket gör att även mindre bolag kan drabbas hårt. Ett bolag som håller sig under radarn en tid riskerar mer än böter den dag en enskild anmälan kommer in. Det riskerar också att flera års bristande dokumentation ska redas ut på en gång.

De flesta AI-system som berörs av transparenskraven hanterar också personuppgifter, vilket gör att AI-förordningen sällan går att lösa isolerat från GDPR. En chattbot som samlar in och lagrar konversationer omfattas av båda regelverken samtidigt. En lösning som bara tar hänsyn till det ena riskerar att missa krav i det andra. Det är en av anledningarna till att AI-juridik sällan är en fristående fråga för de bolag som redan har ett etablerat dataskyddsarbete, utan snarare ett tillägg som behöver vävas in i samma rutiner.

Det är här den dyra missuppfattningen ligger. En ledningsgrupp hör att högrisk skjuts upp och läser in att hela förordningen skjuts upp. Det är inte samma sak. Ett bolag som väntar med hela AI-arbetet till 2027 kan redan nu bryta mot förbud eller transparenskrav, utan att någon vet om det förrän en kund, en konkurrent eller en tillsynsmyndighet påpekar det.

Kostnaden för att vänta är mer än böter. Avtal med större kunder, särskilt inom finans och offentlig sektor, innehåller allt oftare krav på att leverantören kan visa sin AI-klassificering. Tänk dig ett tillväxtbolag inom betaltjänster som i god tro skrivit “AI hjälper till att föreslå lösningar” i sina villkor, men inte i själva gränssnittet där funktionen faktiskt syns. En kund i en upphandling ställer frågan rakt ut, och affären skjuts upp två veckor medan bolaget hastigt ska dokumentera klassificeringen. Den typen av förseningar syns aldrig i en riskrapport, men de syns i kvartalssiffrorna.

De flesta bolag som försöker reda ut det här själva fastnar på samma punkt. De vet vilken lag som gäller. De vet inte hur den ska appliceras på just deras produkt, i just deras avtal, med just deras kunder. Juridiken är sällan svår att läsa. Den är svår att sätta ord på för den egna verksamheten, vecka efter vecka, i takt med att produkten förändras och nya funktioner byggs på.

Varje månad utan svar är en månad där en ny funktion kan byggas in i produkten utan att någon frågat om den är förbjuden, transparent nog eller redo för nästa steg i regelverket. Det är billigare att svara på frågan innan funktionen är byggd än efter, både i tid och i förhandlingsutrymme gentemot kunden.

Gör den här övningen den här veckan. Lista varje ställe i produkten där ett AI-system fattar ett beslut om, eller påverkar, en användare. Skriv sedan bredvid varje punkt om användaren informeras om att det är AI som ligger bakom. De punkter som saknar svar är de som bör tas upp med en juridisk rådgivare innan nästa release går ut.