AI-förordningen (AI Act) tidslinje (med omnibus-status)

Den kompletta tidslinjen

2 augusti 2024: ikraftträdande

Förordningen blir gällande EU-lag. Bestämmelserna får rättsverkan enligt den uppskjutna tillämpningsplanen i Art. 113. Ingen organisation har skyldigheter denna dag förutom att börja förbereda sig.

2 februari 2025: Art. 5 (förbjudna praktiker)

Åtta kategorier av AI-användning blev otillåtna per detta datum:

• Subliminala, manipulativa eller vilseledande tekniker som påverkar beteende negativt
• Exploatering av sårbarhet på grund av ålder, funktionsnedsättning eller social eller ekonomisk situation
• Social scoring av fysiska personer baserat på socialt beteende eller personliga egenskaper
• Riskbedömning för brottslighet baserad enbart på profilering eller personlighetsdrag
• Oriktad skörd av ansiktsbilder från internet eller övervakningskameror för biometriska databaser
• Emotionsigenkänning på arbetsplatsen och i skolan (undantag för medicinska eller säkerhetsmässiga ändamål)
• Kategorisering av personer baserat på biometri för att härleda ras, politisk åsikt, facktillhörighet, religion, sexuell läggning
• Realtidsbiometri i offentliga utrymmen (smala undantag för allvarlig brottsbekämpning)

2 februari 2025: Art. 4 (AI-kompetens)

Alla organisationer ska säkerställa tillräcklig AI-kompetens hos personal som arbetar med eller påverkas av AI-system. Kravet är proportionerligt: en SIEM-specialist som använder en AI-ops-plattform behöver djupare kompetens än en marknadsassistent som använder en generisk LLM.

Svenska organisationer har haft cirka ett år på sig att bygga kompetensmatriser. I praktiken har få gjort det formellt. Tillsynen har inte varit aktiv, men dokumentation behövs vid en incident eller en DPIA-relaterad begäran från registrerade.

2 augusti 2025: GPAI (Art. 53–55)

Leverantörer av generella AI-modeller (GPAI) fick sina skyldigheter från detta datum. Detta är primärt en provider-fråga (OpenAI, Anthropic, Mistral, Google, Meta), inte en deployer-fråga. För svenska deployers är det ändå viktigt att förstå: providern ska tillhandahålla teknisk dokumentation, publicera en sammanfattning av träningsdata och respektera upphovsrätt. Deployer har rätt att kräva providerns dokumentation för att uppfylla Art. 26.

2 augusti 2026: Art. 26 (deployer-skyldigheter) — gällande datum

Kärndatum för svenska företag enligt Art. 113. Alla deployers av högrisksystem måste från denna dag kunna visa dokumenterad efterlevnad av Art. 26. EU-kommissionens Digital Omnibus-förslag att flytta deadline till 2 december 2027 är under förhandling och inte antaget per maj 2026 — gällande datum är 2 augusti 2026. Skyldigheterna omfattar:

• Följa providerns bruksanvisning
• Mänsklig översyn utsedd och utbildad
• Datakvalitet på indata under deployerns kontroll
• Loggar bevarade i minst sex månader
• Information till berörda personer när AI påverkar beslut om dem
• Grundläggande rättighetsbedömning (FRIA) för offentliga deployers och vissa privata
• Incidentrapportering per Art. 73
• Samarbete med tillsynsmyndighet

2 augusti 2026: Art. 50 (transparens) och aktiv sanktionsregim

System med begränsad risk får sina transparenskrav aktiverade. Fysiska personer ska informeras när de interagerar med AI (chatbot), när innehåll är AI-genererat (deepfake, syntetisk bild), och när emotionsigenkänning eller biometrisk kategorisering används. Samma dag aktiveras sanktionsregimen enligt Art. 113, vilket också innebär att Art. 4-överträdelser (skarp sedan 2 februari 2025) kan börja sanktioneras.

För svenska e-handlare, mediebolag och myndigheter som kör chatbottar eller genererar bild- och textinnehåll med AI betyder det märkning och tydlig information.

2 augusti 2027: Bilaga I-produkter

Produkter som redan är reglerade enligt EU-säkerhetslagstiftning (medicinteknik, fordon, maskiner, leksaker, radioutrustning med mera) omfattas fullt ut av AI Act högriskregim från detta datum. För svenska tillverkare av medicinteknisk utrustning med AI är det deadline för CE-märkning som inkluderar AI Act-dokumentation. För deployers i vårdsektorn är det datum när inköpta AI-funktioner i MDR-reglerade produkter är fullt regulerade av båda lagrummen parallellt.

Räknare och planering

Per publiceringsdatum 2026-05-02 var det 92 dagar till 2 augusti 2026. För ett företag som inte börjat är det tight, men hanterbart. Rimlig planeringstakt för ett medelstort svenskt bolag (300 till 700 anställda) som börjar från noll i maj 2026:

Kan datumen ändras?

EU-kommissionens Digital Omnibus-förslag innehåller en flytt av Art. 26-deadline från 2 augusti 2026 till 2 december 2027. Förslaget är under förhandling och inte antaget per maj 2026. Tills någon antagen rättsakt publiceras i EUT är 2 augusti 2026 gällande datum. Att planera mot ett ej beslutat förslagsdatum är hög risk.