EU AI Act-efterlevnad för SMF: skyldigheter, viktiga datum och vad du ska göra nu.

Ja. Företag som driftsätter AI-system byggda av andra — kallade "användare" — har skyldigheter enligt EU AI Act. Dessa inkluderar att vidta åtgärder för att stödja AI-kompetens bland personal (Article 4, i kraft från 2 augusti 2026), att informera användare när de interagerar med AI-system (Article 50, i kraft från 2 augusti 2026) och att förbereda sig för Annex III-högrisk-skyldigheterna för användare under Article 26, som gäller från 2 december 2027. Skyldigheternas omfattning beror på vilka AI-verktyg du använder och i vilket syfte.

Högrisk-AI-system är de som listas i Annex III i förordningen. De inkluderar AI som används vid rekryterings- och HR-beslut (som CV-screening), förvaltning av kritisk infrastruktur, utbildnings- och yrkesbedömningar, tillgång till viktiga tjänster (kredit, försäkring), brottsbekämpning och biometrisk identifiering. De fullständiga efterlevnadsskyldigheterna för Annex III-system — inklusive konformitetsbedömning, EU-databasregistrering och Article 26-skyldigheterna — gäller från 2 december 2027. Detta datum ändrades från det ursprungliga 2 augusti 2026 av Regulation (EU) 2026/1744.

Förordningen (Regulation (EU) 2024/1689) trädde i kraft den 1 augusti 2024. Viktiga datum: Article 5 förbjudna metoder tillämpas från 2 februari 2025 (och förblir i kraft). Skyldigheter för leverantörer av allmäntillgängliga AI-modeller tillämpades från 2 augusti 2025. Article 4 (åtgärder för AI-kompetens) och Article 50 (transparens) gäller från 2 augusti 2026. Två nya Article 5-förbud tillagda av Regulation (EU) 2026/1744 gäller från 2 december 2026. De fullständiga Annex III-högrisk-skyldigheterna (kapitel III) gäller från 2 december 2027 — ändrade av Regulation (EU) 2026/1744 från det ursprungliga datumet i augusti 2026. Annex I-högrisk-system för reglerade produkter gäller från 2 augusti 2028.

Article 4 (ändrad av Regulation (EU) 2026/1744) kräver att leverantörer och användare vidtar åtgärder för att stödja utvecklingen av tillräckliga AI-kompetensförmågor bland sin personal och andra som hanterar AI för deras räkning. Skyldigheten är proportionell — nivån på kompetenstödet skalas med rollen och risknivån hos de berörda AI-systemen. Ingen specifik utbildningscertifiering, kursvaraktighet eller lägsta kvalifikationsnivå är föreskriven. Dokumenterad vägledning, utbildningsregister och personalmöten är praktiska sätt att visa efterlevnad. Denna skyldighet gäller från 2 augusti 2026.

Article 5 förbjuder vissa AI-användningsområden helt och hållet. Ursprungliga förbud (i kraft 2 februari 2025) inkluderar: AI som manipulerar beteende genom subliminala eller vilseledande tekniker; utnyttjande av specifika gruppers sårbarheter; realtids fjärrbiometrisk identifiering på offentliga platser (med snäva undantag för brottsbekämpning); social poängsättning av offentliga myndigheter; känslotolkning på arbetsplatser eller utbildningsinstitutioner (med begränsade undantag); och AI som drar slutsatser om skyddade egenskaper från biometriska data. Regulation (EU) 2026/1744 lade till två nya förbud som gäller från 2 december 2026: Article 5(1)(ba) som förbjuder AI som genererar icke-konsensus intima syntetiska bilder av verkliga individer, och Article 5(1)(bb) som förbjuder AI som genererar sexuellt övergreppsmaterial mot barn. Denna bedömning screenas för vissa Article 5-risker men utgör inte fullständigt rättsligt godkännande för varje förbud.

Article 50 kräver att användare informerar användare när de interagerar med ett AI-system (Article 50(1)) — till exempel via chatbotar eller virtuella assistenter — såvida detta inte är uppenbart från sammanhanget. AI-genererade eller väsentligt AI-modifierade bilder, ljud och video måste märkas som sådana i ett maskinläsbart format (Article 50(4)). Dessa skyldigheter gäller från 2 augusti 2026. Befintliga system som används före det datumet borde ha uppnått efterlevnad omgående. Det finns ett begränsat övergångsutrymme för vissa befintliga syntetiska innehållssystem under den ändrade förordningen.