Vad innebär EU:s AI-förordning för små och medelstora företag?

Om du bara använder ChatGPT, Copilot eller liknande färdiga verktyg i vardagen har du i dag ganska lätta skyldigheter. Om du bygger, tränar om eller säljer AI-system som används inom rekrytering, kreditbedömning eller andra högriskområden, har du betydligt mer att göra, och vissa tidsfrister har redan passerat. Det som avgör allt är inte hur stort ditt företag är, utan vad systemet gör.

Gäller AI-förordningen mitt företag om vi bara använder färdiga AI-verktyg?

Ja, men lätt. Om du använder ett AI-verktyg som någon annan har byggt, till exempel ett chattbot-verktyg för kundtjänst eller ett skrivverktyg för marknadsföring, räknas du som "användare" (deployer) i förordningens språk. Du har då informationsskyldigheter, inte de tunga kraven som gäller den som utvecklar systemet.

I praktiken betyder det: du ska veta vad systemet gör, du ska kunna berätta för kunder när de pratar med en AI och inte en människa, och du ska ha någon form av mänsklig kontroll över besluten som systemet är med och fattar. Det är inte byråkrati för byråkratins skull. Det är samma sunda förnuft som borde styra vilket verktyg som helst du släpper in i din verksamhet.

Det som ändrar läget är om du anpassar verktyget kraftigt, tränar om det på egen data, eller bygger in det i ett system som fattar beslut om människor. Då glider du över mot utvecklarrollen, och då gäller andra regler.

Vilka AI-system räknas som hög risk enligt förordningen?

Hög risk handlar om vad systemet påverkar, inte vem som bygger det. Typiska exempel: AI som används i rekrytering (CV-screening, bedömning av kandidater), AI som påverkar kreditbeslut eller försäkring, AI i utbildning som bedömer elever, AI som styr tillgång till offentliga tjänster, och AI i vissa säkerhetskritiska sammanhang. Många mindre företag tror att de är för små för att hamna i den kategorin. Fel tanke. Ett HR-tech-bolag med tre anställda som bygger ett screeningverktyg för rekrytering är lika högrisk som ett stort bolag som gör samma sak. Storleken på företaget avgör inte risknivån, användningsområdet gör det.

Om du är osäker på var ditt system hamnar: fråga vad som händer om systemet har fel. Om svaret är "någon nekas ett jobb, ett lån eller en rättighet de borde haft", är du sannolikt i högriskzonen.

Vilka datum måste jag känna till för att vara compliant i tid?

Förordningen rullas ut i steg, inte på en gång. Förbjudna AI-system (till exempel social poängsättning och vissa former av biometrisk övervakning) är redan förbjudna sedan tidigare i processen. Krav på transparens, till exempel att märka AI-genererat innehåll och informera om chattbotar, gäller redan nu under 2026. Kraven på högriskssystem är det som trappas upp härnäst, med mer dokumentation, riskhantering och märkning som ska vara på plats. Mitt råd: vänta inte på sista deadline. Den som börjar strukturera sin AI-användning nu, dokumentera vad man använder och varför, ligger risk-fritt när nästa våg av krav slår in. Den som väntar till sista kvartalet innan en deadline får alltid ont om tid och gör sämre jobb.

Vilka böter riskerar mitt företag vid bristande efterlevnad?

Förordningen har en bötesskala som liknar GDPR, med belopp som skalar efter omsättning och allvarlighetsgrad i överträdelsen. De tyngsta böterna gäller förbjudna AI-system. Lägre, men fortfarande kännbara, böter gäller för brister i dokumentation och transparens kring högriskssystem. Jag brukar säga samma sak om böter som jag säger om GDPR: böterna är inte den verkliga risken för ett litet företag. Den verkliga risken är att du blir anmäld av en kund, en anställd eller en konkurrent, hamnar i en utredning, och tappar förtroende medan den pågår. Det kostar mer än böterna, oftast.

Finns det lättnader för små och medelstora företag i den nya förenklingen?

Ja, och det är en pågående diskussion just nu. EU har signalerat att man vill förenkla regelverket för att det inte ska bli ett hinder för mindre bolag och innovation. Almega har skrivit om detta och reder ut vad förenklingen faktiskt innebär i sin analys av de nya reglerna (se Almegas genomgång). Samtidigt möter förenklingen kritik från andra håll som menar att man river upp skydd som behövs. Min egen bedömning: lättnaderna handlar mest om administrativ börda, inte om att högriskkraven försvinner. Om ditt system är högrisk kommer du fortfarande att behöva dokumentera, testa och ha mänsklig tillsyn. Det som kan bli enklare är hur du rapporterar och vilken omfattning dokumentationen behöver ha som litet bolag jämfört med ett stort.

Hur kombinerar jag AI-förordningen med GDPR i praktiken?

De överlappar på ett sätt som förvirrar många. GDPR handlar om personuppgifter, AI-förordningen handlar om AI-systemets funktion och risk. Men i praktiken tränar och kör de flesta AI-system på data som innehåller personuppgifter, så du måste uppfylla båda samtidigt. Det som fungerar i praktiken: gör en enda kartläggning av vilken data som går in i vilket AI-system, vem som har tillgång, och vad systemet används till. Den kartläggningen täcker grunden för både GDPR och AI-förordningen. Sedan bygger du på med AI-specifika krav som riskklassificering och mänsklig tillsyn ovanpå. IMY är rätt myndighet att följa för hur svensk tillsyn resonerar kring AI och personuppgifter (se IMY). Vi bygger alltid detta ihop hos HEIMLANDR. Att separera GDPR-arbete från AI-arbete skapar dubbelt jobb och dubbla luckor.

Vad kostar det att bli compliant?

Det finns inget fast pris, och den som ger dig ett sådant utan att ha sett din verksamhet gissar. Det som faktiskt styr kostnaden:

Scope. Ett företag som bara använder färdiga verktyg har lite jobb. Ett företag som bygger egna högriskssystem har mycket mer.

Datakvalitet. Om din data är spretig, odokumenterad eller ligger i flera system utan ordning, tar kartläggningen längre tid än själva AI-arbetet.

Integrationer. Ju fler system AI:n pratar med, desto fler ställen där du måste visa vad som händer med data och beslut.

Val av hosting. Kör du på amerikanska molntjänster får du extra frågor att svara på kring dataöverföring. Vi kör på servrar vi driver inom EU, i Tyskland och Finland, plus svensk hosting, vilket gör den delen av samtalet mycket kortare.

Folk. Vem internt äger frågan? Om ingen gör det blir arbetet spretigt och tar längre tid.

Underhåll. Compliance är inte en engångsgrej. Reglerna förändras, som förenklingen visar just nu. Du behöver någon som håller koll löpande.

Nästa steg

Om du vill bygga AI-lösningar som är rätt från grunden, både enligt GDPR och AI-förordningen, kan du läsa om hur vi jobbar med GDPR-Compliant AI. Sitter du i Jönköping-området och vill ha ett konkret samtal om var ditt företag faktiskt står, finns vi som AI-konsult i Jönköping.

Läs vidare

• AI utan amerikanskt moln: hur gör man i praktiken?
• Vad kostar skräddarsydd mjukvara i Sverige?
• Hur lång tid tar det att bygga en MVP?

Fredrik Brunnberg bygger AI och mjukvara på HEIMLANDR.IO i Jönköping. Sitter du med samma fråga? Boka 20 minuter, så svarar vi rakt.