Vad det är
AI Act (förordning EU 2024/1689) är det första omfattande, horisontella och riskbaserade AI-regelverket globalt. Den antogs av Europaparlamentet i mars 2024 och trädde i kraft i augusti samma år. Förordningen är direkt tillämplig i alla EU:s medlemsstater utan krav på nationell implementeringslagstiftning, även om kompletterande nationella åtgärder förekommer.
Grundlogiken är riskbaserad. AI-system klassificeras efter den risk de utgör, och kraven på utvecklare och användare skalas därefter. Ju högre risk, desto strängare krav.
Ikraftträdande och tidslinje
Förordningen följer en gradvis tillämpning. I februari 2025 trädde förbuden mot oacceptabla AI-användningar i kraft, däribland social scoring av individer, realtidsbiometrisk övervakning på allmän plats (i princip förbjuden, med snäva undantag för brottsbekämpning) och manipulativa system som utnyttjar sårbarheter hos individer, särskilt barn och andra utsatta grupper. I augusti 2025 aktiverades reglerna för allmänna AI-modeller, inklusive krav på transparens kring träningsdata och åtgärder för att hantera upphovsrätt, samt riskbedömningar för de mest kraftfulla modellerna. Fullständig tillämpning för hög-risk AI-system i de flesta sektorer gäller från augusti 2026, och för AI inbyggt i reglerade produkter som medicintekniska produkter och maskiner från augusti 2027.
Riskklassificering
Förordningen delar in AI-system i fyra nivåer. System med oacceptabel risk är förbjudna. Hög-risk-system är tillåtna men hårt reglerade och kräver riskbedömning, teknisk dokumentation, mänsklig tillsyn och i många fall registrering i en EU-databas. Klassificeringen är användningsfallsbaserad snarare än sektorsbaserad — det är hur och i vilket sammanhang ett system används som avgör nivån, inte vilken bransch det verkar i. Relevanta användningsfall finns inom kritisk infrastruktur, utbildning, anställning, brottsbekämpning, migration och rättskipning. System med begränsad risk omfattas av transparenskrav, bland annat att användaren ska veta att de interagerar med ett AI-system. Majoriteten av AI-system bedöms falla i kategorin minimal risk och omfattas av inga specifika krav, även om detta är ett politiskt antagande snarare än en empiriskt verifierad uppskattning.
Allmänna AI-modeller (GPAI)
En särskild kategori reglerar stora grundmodeller som kan användas för ett brett spektrum av uppgifter. Alla GPAI-modeller omfattas av krav på transparens kring träningsdata och åtgärder för att hantera upphovsrätt. Modeller som bedöms utgöra systemisk risk omfattas av ytterligare krav på riskbedömning, incidentrapportering och cybersäkerhet. Systemisk risk bedöms bland annat utifrån beräkningskapacitet, med en tröskel vid träningsberäkning överstigande 10²⁵ FLOP, men även spridning, kapabilitet och faktisk påverkan vägs in.
Vem berörs
Förordningen riktar sig mot leverantörer som utvecklar och släpper ut AI-system på EU-marknaden, oavsett om de är etablerade inom eller utanför EU, samt mot användare som tillämpar AI-system i professionella sammanhang. Även om primäransvaret ligger hos leverantören har användaren egna skyldigheter, särskilt vid hög-risk-system. För innovationsmiljöer och startups finns särskilda lättnader i form av regulatoriska sandlådemiljöer som möjliggör testning under tillsyn utan full regelefterlevnad.
Koppling till andra regelverk
AI Act fungerar inte i isolation. AI-system som behandlar personuppgifter omfattas parallellt av GDPR, vars krav på rättslig grund och den registrerades rättigheter kompletteras men inte ersätts av AI Act. Hög-risk AI-system i samhällsviktig infrastruktur berörs dessutom av NIS2:s krav på cybersäkerhet och incidenthantering. Data Act är relevant i de fall träningsdata eller data genererad av AI-system delas i IoT- och industrikontext. AI inbyggt i fysiska produkter regleras i skärningspunkten mellan AI Act och befintlig produktsäkerhetslagstiftning.
Tillsyn och sanktioner
Varje medlemsstat ska utse en nationell tillsynsmyndighet. I Sverige är tillsynsansvaret ännu inte fullt ut fastställt, men IMY och DIGG är centrala aktörer och arbetet är långt framskridet. På EU-nivå inrättas ett AI-råd samt ett EU AI Office med ansvar för tillsyn av GPAI-modeller. Sanktionerna uppgår till upp till 35 miljoner euro eller 7 procent av global årsomsättning för överträdelser av förbudsbestämmelserna, och upp till 15 miljoner euro eller 3 procent för övriga överträdelser.
Primärkällor
Förordningstexten finns på EUR-Lex: EU 2024/1689. EU AI Office finns på ai.ec.europa.eu. Kommissionens vägledning och standardiseringsarbete finns samlat under digital-strategy.ec.europa.eu. För svensk tillsynskontext är IMY och DIGG relevanta utgångspunkter.