Tänk er ett konkret men allt vanligare scenario. Ett svenskt teknikbolag utvecklar och säljer ett access control-system till företagskontor och industrianläggningar. Systemet består av en hårdvarudel monterad vid entrén, en molnbaserad backend, och en AI-modell som identifierar individer baserat på ansiktsbilder. Bolaget säljer det som ett standardiserat produktpaket på den europeiska marknaden. Det är en kommersiellt rimlig produkt, byggd med komponenter och teknik som många bolag redan har tillgängliga.
Den här produkten är samtidigt två saker ur ett EU-regulatoriskt perspektiv. Den är en produkt med digitala element under Cyber Resilience Act, eftersom den består av hårdvara och mjukvara som kopplas till nätverk. Den kan också utgöra ett högrisk-AI-system under AI-akten, eftersom biometriska identifieringssystem listas som högriskkategorier i bilaga III beroende på användningsområde och implementation. Bolaget måste därför navigera båda regelverken parallellt, för samma produkt, samtidigt. Som ska visas nedan stannar det regulatoriska landskapet inte heller där.
Den här texten är skriven för ledningar i bolag som befinner sig i eller är på väg in i den situationen. Allt fler produkter inkluderar AI-komponenter, från industriella vision-system till access control, från medicintekniska produkter till uppkopplad fordonsteknologi. För många av dessa produkter blir den dubbla, och i praktiken trippla, regulatoriska träffen den nya verkligheten. Texten går igenom var regelverken faktiskt överlappar, var de skiljer sig åt, och vilka beslut som hamnar på ledningens bord.
Två regelverk, samma produkt
CRA och AI-akten är båda produktregleringar i klassisk EU-mening. Båda använder CE-märkning som signal till marknaden om att produkten genomgått conformity assessment. Båda kräver teknisk dokumentation. Båda lägger ansvar på tillverkaren respektive leverantören. På den höga abstraktionsnivån är de likadana.
Men de adresserar olika dimensioner av produkten. CRA reglerar produktens cybersäkerhetsegenskaper: att den är säkert konfigurerad vid leverans, att den inte innehåller kända exploaterbara sårbarheter, att den kan uppdateras säkert, att tillverkaren har en formaliserad sårbarhetshanteringsprocess, att en supportperiod är deklarerad. AI-akten reglerar produktens AI-specifika risker: kvaliteten på träningsdata, robustheten i modellen, mänsklig översynsförmåga, transparens mot dem som driftar systemet, mätbar noggrannhet, och dokumenterade åtgärder för att identifiera och reducera diskriminerande effekter.
För access control-systemet i exemplet ovan betyder detta att två separata men relaterade saker måste bevisas. Att produkten är cybersäker som produkt, det vill säga signerade uppdateringar, härdad konfiguration, inga öppna portar, en deklarerad supportperiod. Och att AI-modellen som driver biometrisk identifiering är robust, transparent, mätbar i sin noggrannhet, försedd med dokumenterade åtgärder mot diskriminerande effekter, och kontrollerbar av människor.
Den underliggande tekniken är densamma. Men de regulatoriska ramverken som tillämpas är olika.
Klassificeringskaskaden
För en produkt av det här slaget börjar analysen med två separata klassificeringar.
Under CRA klassificeras access control-system med identitetshanteringsfunktioner som viktiga produkter, klass I under förordningens bilaga III, tillsammans med bland annat lösenordshanterare, smarta hem-produkter med säkerhetsfunktioner och operativsystem. Klass I innebär att tillverkaren kan göra en självbedömning under förutsättning att harmoniserade standarder följs i sin helhet. Om standarder saknas eller endast tillämpas delvis krävs däremot tredjepartsbedömning av ett anmält organ. Eftersom de harmoniserade standarderna under CRA fortfarande är under utveckling under 2026 är risken för att tredjepartsbedömning ändå krävs reell, men inte automatisk. För klass II-produkter (firewalls, hypervisors, tamper-resistant mikrokontroller och liknande) är tredjepartsbedömning alltid obligatorisk. För kritiska produkter under bilaga IV är kraven än striktare.
Under AI-akten placeras många former av biometrisk identifiering i kategorin högrisk-AI-system under bilaga III. Den exakta tillämpningen beror på om systemet utför biometrisk identifiering, biometrisk verifiering, fjärridentifiering eller andra biometriska funktioner, och under vilka förhållanden. En designvalsfråga som ofta missas: ett system som gör 1:1-verifiering (“är personen vid kameran samma som äger detta passerkort?”) faller normalt utanför AI-aktens högriskkategori, medan ett system som gör 1:många-identifiering (“vem är personen vid kameran?”) faller inom den. Hur bolaget arkitekturellt designar systemet kan därför vara avgörande för om AI-aktens högriskregim överhuvudtaget aktualiseras.
För system som klassificeras som högrisk har AI-akten en striktare hållning än för andra högriskkategorier. Där de flesta högrisk-AI-system kan självbedömas av leverantören under förutsättning att harmoniserade standarder följs, kräver biometri tredjepartsbedömning av ett anmält organ i de fall där harmoniserade standarder inte tillämpas eller endast tillämpas delvis. Eftersom harmoniserade standarder för AI-akten fortfarande är under utveckling kommer många biometriska AI-system i praktiken att behöva ett anmält organ.
I praktiken bör bolag idag planera för att potentiellt två separata bedömningsspår kan aktualiseras, ett under varje regelverk, från anmälda organ som kan vara samma eller olika beroende på tillgänglig kapacitet och bedömningsområden. För ledningen är detta inte en akademisk distinktion. Det är potentiellt två separata granskningsprocesser med separata tidsplaner, separata kostnader, och separata förseningar att hantera.
Det är värt att notera att Kommissionen har signalerat att conformity assessment under ett regelverk i definierade fall kan användas som underlag för det andra. Hur långt detta sträcker sig i praktiken är fortfarande under formning. För närvarande är det säkrast att planera för två separata bedömningar och se eventuell harmonisering som en positiv överraskning snarare än en utgångspunkt.
Var kraven faktiskt överlappar
På substansnivå finns ett antal områden där de två regelverken adresserar samma underliggande egenskaper, även om de gör det från olika utgångspunkter.
Cybersäkerhet i strikt mening. AI-aktens artikel 15 kräver att högrisk-AI-system har en lämplig nivå av noggrannhet, robusthet och cybersäkerhet. CRA:s Annex I del I kräver i sin tur att produkten levereras säkert konfigurerad, fri från kända sårbarheter, och med skydd mot obehörig åtkomst. För praktiska syften adresserar de samma sak från olika håll. En motsättning mellan dem är osannolik, men dokumentationen och de tekniska kontrollerna behöver bevisa båda perspektiven.
Sårbarhetshantering. CRA:s Annex I del II kräver en formaliserad process för att identifiera, åtgärda och kommunicera sårbarheter. AI-akten kräver löpande post-market monitoring av högrisk-AI-system och rapportering av allvarliga incidenter. De två kraven är inte identiska, men ett genomtänkt sårbarhetshanteringsprogram kan tillgodose båda. Tekniska sårbarheter i mjukvaran följer CRA-spåret, AI-specifika problem som modellens prestandadegradering eller upptäckt bias följer AI-akts-spåret, och båda integreras i en gemensam incidenthanteringsfunktion.
Riskbedömning. Båda regelverken kräver dokumenterad, levande riskbedömning. AI-akten är mer specifik om vad riskbedömningen ska adressera, hot mot hälsa, säkerhet och grundläggande rättigheter, med särskild hänsyn till sårbara grupper. CRA är mer öppen och riskbedömningen ska kalibreras mot produktens riskprofil generellt. Att bygga en gemensam metodik som producerar två dokument är väsentligt mer effektivt än att börja från noll i båda spåren.
Teknisk dokumentation. Båda regelverken kräver en teknisk dokumentationsfil med likartad struktur, det vill säga generell produktbeskrivning, riskbedömning, design- och utvecklingsprocesser, testresultat, EU-försäkran om överensstämmelse. Det är operativt rimligt att bygga en dokumentationsfil med två sektioner, en CRA-vinklad och en AI-akts-vinklad, snarare än två separata filer som omedelbart kommer att divergera.
Komponentspårbarhet. CRA driver fram SBOM-praktik, alltså strukturerad dokumentation av mjukvarukomponenter och deras härkomst. AI-akten driver fram motsvarande dokumentation för träningsdata, datakällor och datakvalitet. Konceptuellt är detta samma disciplin tillämpad på olika objekt. För access control-systemet betyder det att tillverkaren behöver veta varifrån koden kommer och varifrån träningsdatan kommer. En leverantörshanteringsprocess som hanterar båda dimensionerna är mer hållbar än två parallella spår.
Var regelverken inte överlappar
Trots de många beröringspunkterna finns områden där AI-akten ställer krav som inte har CRA-motsvarighet, och vice versa.
AI-akten kräver för högrisk-AI-system att leverantören tillhandahåller specifika bruksanvisningar till den som driftar systemet, som beskriver systemets förmågor, begränsningar, förväntade noggrannhet under olika förhållanden, och de mänskliga översynsåtgärder som behövs. Detta är ett krav som inte finns i CRA. För access control-systemet betyder det att tillverkaren måste ge köparens IT- eller säkerhetsfunktion specifik vägledning om hur produkten ska användas säkert, vad den klarar och inte klarar, och vilken mänsklig granskning som behöver finnas på plats.
AI-akten kräver också att högrisk-AI-system designas så att en människa kan ingripa, åsidosätta beslut eller stoppa systemet. Detta är en designkravs-fråga som måste byggas in i produktarkitekturen från början. CRA har ingen motsvarande bestämmelse.
CRA, å sin sida, kräver en deklarerad supportperiod som som huvudregel ska motsvara produktens förväntade livslängd och normalt vara minst fem år, under vilken säkerhetsuppdateringar måste levereras. AI-akten har ingen motsvarande tidsbundenhet, även om post-market monitoring-skyldigheten i praktiken kräver löpande engagemang under produktens livstid. CRA:s krav på säkra uppdateringskanaler, signering, integritetsskydd och rollback-skydd går också utöver vad AI-akten uttryckligen reglerar.
Sanktionerna skiljer sig dramatiskt. CRA:s tak ligger på 15 miljoner euro eller 2,5 procent av global omsättning. AI-aktens tak för förbjudna praktiker går till 35 miljoner euro eller 7 procent av global omsättning. För högriskbestämmelser är AI-aktens tak 15 miljoner euro eller 3 procent. Den teoretiska maximalexponeringen för ett bolag som bryter mot båda regelverken samtidigt är alltså avsevärt högre än för något enskilt regelverk.
Det regulatoriska landskapet stannar inte vid CRA och AI-akten
För biometrisk access control aktualiseras nästan alltid även GDPR, och då särskilt artikel 9. Biometriska identifieringsuppgifter används normalt för att unikt identifiera en fysisk person, och utgör då särskilda kategorier av personuppgifter. Behandlingen är som huvudregel förbjuden om inte ett av de specifika undantagen i artikel 9.2 är tillämpligt, exempelvis uttryckligt samtycke eller särskild rättslig grund. Intresseavvägning enligt artikel 6.1(f) är inte en framkomlig väg för artikel 9-uppgifter, vilket sluter en av de dörrar som annars hade kunnat användas. För access control i arbetslivet är detta en notoriskt svår analys, där proportionalitet, mindre ingripande alternativ och informationsasymmetrin mellan arbetsgivare och arbetstagare gör samtycke svårt att luta sig mot. En DPIA är som regel obligatorisk, och i många fall aktualiseras dessutom MBL och fackliga förhandlingar.
Det innebär att en produkt kan vara fullt compliant under både CRA och AI-akten men ändå användas olagligt ur dataskyddsperspektiv, beroende på implementation och rättslig grund hos den kund som faktiskt driftar systemet. För tillverkaren betyder det att bruksanvisningarna under AI-akten med fördel adresserar även denna dimension, eftersom kunden i sin tur är personuppgiftsansvarig och behöver underlag för sin egen DPIA. För kunden betyder det att en CE-märkt produkt inte är en garanti för rättsenlig användning, något som lätt missförstås.
Tidslinjen är inte synkroniserad
Det här är en av de mest underskattade praktiska utmaningarna. De två regelverken träder i kraft vid olika tidpunkter.
AI-aktens skyldigheter för leverantörer av högrisk-AI-system under bilaga III börjar tillämpas den 2 augusti 2026 enligt gällande rätt. För högrisk-AI-system som är säkerhetskomponenter i produkter under EU:s harmoniseringslagstiftning, bilaga I, gäller den 2 augusti 2027. CRA:s fulla skyldigheter börjar tillämpas den 11 december 2027, med rapporteringsskyldigheter från den 11 september 2026.
En komplicerande faktor under våren 2026 är att en preliminär politisk överenskommelse om Digital Omnibus on AI nåddes i maj och föreslår att bilaga III-skyldigheterna skjuts upp till den 2 december 2027 och bilaga I-skyldigheterna till den 2 augusti 2028. Den formella antagningen väntas före den ursprungliga deadlinen i augusti 2026. Tills dess är augusti 2026 fortfarande den aktiva planeringshorisonten, och bolag som har positionerat sin compliance-investering inför ett tänkt uppskjutet datum riskerar att stå utan tillräcklig tid om Digital Omnibus inte hinner antas. Den försiktiga slutsatsen är att planera utifrån gällande deadlines, men följa lagstiftningsprocessen tätt.
För access control-systemet i exemplet betyder det att AI-aktens conformity assessment-krav under gällande rätt måste vara uppfyllt i augusti 2026, mer än ett år innan CRA:s motsvarande krav träder i kraft. Bolaget kan därför inte vänta tills 2027 och hantera båda regelverken tillsammans. AI-akts-arbetet måste vara klart först, och CRA-arbetet byggs ovanpå.
Detta har en praktisk konsekvens: den tekniska dokumentationen som tas fram för AI-aktens conformity assessment under 2026 kommer att behöva utökas och anpassas inför CRA-bedömningen 2027. Att bygga AI-akts-dokumentationen på ett sätt som möjliggör senare CRA-utvidgning är väsentligt mer effektivt än att bygga något isolerat och sedan starta om.
Tillsynen är fördelad över flera myndigheter
Den svenska tillsynsbilden är, för en produkt av detta slag, fördelad. Under AI-akten föreslås PTS bli den samordnande marknadsövervakande myndigheten och nationella kontaktpunkten, med IMY i specifik roll för personuppgiftsaspekter och brottsbekämpande AI. Sektorsmyndigheter har egna roller inom sina domäner. Den slutliga svenska myndighetsfördelningen är fortfarande föremål för kompletterande nationell lagstiftning och kan komma att justeras. Under CRA är marknadsövervakningsmyndigheterna fördelade enligt sektorslogiken i den svenska produktsäkerhetslagstiftningen.
För access control-systemet kan det betyda att en och samma produkt potentiellt övervakas av PTS för AI-akts-syften, av en marknadsövervakningsmyndighet för CRA-syften, och av IMY för GDPR-syften, eftersom biometriska data är särskilt känsliga personuppgifter. En komprometterad uppdatering som leder till att biometriska data exponeras kan utlösa rapporteringsskyldigheter under flera regelverk till olika myndigheter.
Den praktiska implikationen är densamma som i diskussionen mellan CRA och NIS2: rapporteringskanalerna är separata, men incidenthanteringen som genererar rapporterna kan, och bör, vara en gemensam process.
Vad ledningen behöver besluta
För ett bolag som bygger produkter i skärningen mellan CRA och AI-akten är några beslut särskilt viktiga.
Klassificering tidigt. En produkts klassificering under båda regelverken bestämmer hela det efterföljande compliance-arbetet. Klassificeringen ska göras explicit, dokumenteras, och fattas på ledningsnivå snarare än lämnas implicit till engineering-funktionen. För många produkter är klassificeringen icke-trivial, och fel klassificering tidigt kan kosta avsevärt senare. För biometriska produkter kan dessutom en designvalsfråga, verifiering kontra identifiering, vara avgörande för om AI-aktens högriskregim alls aktualiseras.
Sekvensering. AI-akten kommer först. CRA kommer senare. Programmet behöver byggas så att AI-akts-arbetet inte stänger dörrar för CRA-arbetet, utan tvärtom skapar grunden för det.
Anmälda organ. För produkter som kräver tredjepartsbedömning under något av regelverken behöver kontakten med anmälda organ inledas tidigt under 2026. Kapacitetsbristen som väntas inom AI-akts-bedömningar är dokumenterad i många medlemsstater. CRA-kapaciteten är fortfarande under uppbyggnad.
Integrationsarkitekturen. Beslutet att bygga en gemensam riskbedömningsmetodik, en gemensam teknisk dokumentationsfil, ett gemensamt sårbarhetshanteringsprogram, och en gemensam leverantörshanteringsprocess är ett arkitektoniskt beslut som måste fattas tidigt. Att försöka konsolidera senare är väsentligt dyrare.
GDPR-dimensionen. För produkter som behandlar personuppgifter, och särskilt särskilda kategorier som biometri, är CE-märkning under CRA och AI-akten inte tillräckligt för att kunden ska kunna använda produkten rättsenligt. Tillverkaren bör därför aktivt stötta sina kunder med det underlag som krävs för deras egen dataskyddsanalys.
Resurssättningen över två budgetcykler. Compliance-arbetet sträcker sig minst från 2026 till 2028. Ledningens budgetbeslut för de två räkenskapsåren behöver explicit reflektera detta, även om Digital Omnibus skulle skjuta upp formella deadlines.
För många bolag är denna interaktion mellan AI-akten och CRA den första gången deras compliance-funktion möter ett genuint flerdimensionellt regulatoriskt landskap, där tre regelverk om man räknar in GDPR samverkar på samma underliggande produkt och samma underliggande händelser. Det är arbetsamt, det kräver disciplin, och det har inga genvägar. Men det är också den nya verkligheten för i princip alla bolag som integrerar AI i sina produkter på den europeiska marknaden. Att förstå arkitekturen tidigt är skillnaden mellan ett genomtänkt program och en serie brandkårsutryckningar de närmaste tre åren.