EU:s AI-förordning för småföretag: vad som faktiskt gäller efter augusti 2026 — och vad som sköts upp

Kort svar först. Om du driver ett litet företag i EU är de krav i EU:s AI-förordning som gäller dig 2026 smalare än de flesta artiklar antyder: transparensreglerna i artikel 50 — inklusive skyldigheten att tala om för människor att de pratar med en chattbot — började tillämpas den 2 augusti 2026, medan de tunga högriskkraven sköts upp till den 2 december 2027 och den 2 augusti 2028 genom Digital Omnibus (förordning (EU) 2026/1744). Förbuden mot vissa AI-metoder och kravet på AI-kompetens gäller redan sedan den 2 februari 2025.

Varför förvirringen? För att tidsplanen ändrades mitt under året. AI-förordningen (förordning (EU) 2024/1689) sade ursprungligen att huvuddelen av förordningen ”ska tillämpas från och med den 2 augusti 2026”. Sedan, den 24 juli 2026, publicerade EU Digital Omnibus om AI — förordning (EU) 2026/1744 — som trädde i kraft den 27 juli 2026 och flyttade högriskfristerna. En stor del av guiderna du hittar i sökresultaten skrevs före det datumet och påstår fortfarande att högriskkraven började i augusti 2026. Det gjorde de inte. Den här artikeln går igenom vad som faktiskt gäller, med varje datum kontrollerat mot EUR-Lex och AI Act Explorer. En brasklapp direkt: vi är en implementationsstudio, inte en advokatbyrå — allt som påverkar din rättsliga ställning bör du stämma av med din jurist.

AI-förordningens frister 2026: vad som gäller nu och vad som sköts upp

• 2 februari 2025 — gäller redan: förbjudna AI-metoder (artikel 5) och kravet på AI-kompetens (artikel 4), enligt artikel 113(a)
• 2 augusti 2025 — gäller redan: regler för leverantörer av AI-modeller för allmänna ändamål (GPAI), styrning och sanktionskapitlet (utom artikel 101), enligt artikel 113(b)
• 2 augusti 2026 — gäller nu: det allmänna tillämpningsdatumet, inklusive transparens enligt artikel 50 (chattbotupplysning, märkning av AI-genererat innehåll); från detta datum ansvarar AI Office och nationella myndigheter för tillsyn och efterlevnad
• 2 december 2026 — slutet på övergångsperioden för maskinläsbar märkning av syntetiskt innehåll för system som redan släppts på marknaden före den 2 augusti 2026; även angivet tillämpningsdatum för de två nya förbud som Omnibus lade till (intima bilder utan samtycke och CSAM)
• 2 december 2027 — uppskjutet: högriskkrav för AI-system som klassificeras enligt artikel 6(2) och bilaga III (tidigare 2 augusti 2026)
• 2 augusti 2028 — uppskjutet: högriskkrav för AI-system som klassificeras enligt artikel 6(1) och bilaga I

Uppskjutandets formulering kommer direkt från förordning (EU) 2026/1744 på EUR-Lex: tillämpningsdatumet för kapitel III avsnitt 1, 2 och 3 ”sätts till den 2 december 2027 för AI-system som klassificeras som högrisk enligt artikel 6(2) och bilaga III, och till den 2 augusti 2028 för AI-system som klassificeras som högrisk enligt artikel 6(1) och bilaga I”. Det är fasta datum. Det tidigare förslaget att knyta fristerna till de tekniska standardernas mognad — en villkorad utlösare — kom inte med i sluttexten.

Deployer eller leverantör: den första frågan för varje litet företag under AI-förordningen

Innan du läser en enda skyldighet, ta reda på vilken roll du har — AI-förordningen fördelar skyldigheter efter roll, inte efter företagsstorlek. Båda definieras i artikel 3.

”Leverantör (artikel 3(3)): en fysisk eller juridisk person, offentlig myndighet, byrå eller annat organ som utvecklar ett AI-system eller en AI-modell för allmänna ändamål, eller som låter utveckla ett sådant, och släpper ut det på marknaden eller tar AI-systemet i bruk under eget namn eller varumärke, mot betalning eller kostnadsfritt.”

”Deployer (artikel 3(4)): en fysisk eller juridisk person, offentlig myndighet, byrå eller annat organ som använder ett AI-system under eget ansvar, utom när AI-systemet används i personlig, icke-yrkesmässig verksamhet.”

De flesta småföretag är deployers: ni använder ChatGPT, ett CRM med AI-poängsättning, en chattbot byggd på någon annans modell, ett verktyg för fakturahantering. En deployers skyldigheter är väsentligt lättare än en leverantörs. Gränsen kan suddas ut — till exempel om ni tar en modell och släpper ett system på marknaden under eget varumärke — och i sådana gränsfall spelar klassificeringen verklig roll, så låt er jurist bekräfta vilken sida av linjen ni står på.

Gäller sedan februari 2025: förbjudna metoder och AI-kompetens

Två saker har gällt alla sedan den 2 februari 2025. För det första förbjuder artikel 5 vissa AI-metoder helt: subliminala eller manipulativa tekniker; utnyttjande av sårbarheter kopplade till ålder, funktionsnedsättning eller social och ekonomisk situation; social poängsättning; förutsägelse av brottslighet enbart utifrån profilering; oriktad skrapning av ansiktsbilder från internet eller övervakningskameror för att bygga igenkänningsdatabaser; känsloigenkänning på arbetsplatser och i utbildning (med snäva medicinska och säkerhetsmässiga undantag); biometrisk kategorisering utifrån skyddade egenskaper; samt biometrisk fjärridentifiering i realtid på offentliga platser för brottsbekämpning, med snäva undantag.

För ett typiskt företag med 5–50 anställda är den praktiska slutsatsen kort: om något verktyg ni använder gör känsloigenkänning på anställda eller poängsätter människor socialt, är det inte en efterlevnadsuppgift — det är en sluta-använda-uppgift. De flesta småföretagsverktyg är inte i närheten av den här listan, men det vet ni först när ni har listat vad ni faktiskt använder.

För det andra kräver artikel 4 att både leverantörer och deployers ”vidtar åtgärder för att stödja utvecklingen av AI-kompetens” hos personal som arbetar med AI-system, med hänsyn till deras tekniska kunskap och användningskontexten. Förordningen föreskriver inget särskilt utbildningsformat eller certifieringsnivå. Värt att notera: Omnibus-ändringen lade till ett stycke som förbinder kommissionen och medlemsstaterna att stödja efterlevnad ”särskilt för små och medelstora företag, inklusive att publicera praktiska efterlevnadsexempel” — håll utkik efter officiella mallar.

Gäller sedan augusti 2025: GPAI-reglerna — din leverantörs hemläxa, dina frågor att ställa

Sedan den 2 augusti 2025 bär leverantörer av AI-modeller för allmänna ändamål sina egna skyldigheter enligt artikel 53: teknisk dokumentation för AI Office och nationella myndigheter (bilaga XI); dokumentation för nedströmsutvecklare (bilaga XII); en policy för att följa EU:s upphovsrätt, inklusive text- och datautvinnings-opt-outen enligt artikel 4(3) i direktiv 2019/790; och en offentlig sammanfattning av träningsdata enligt AI Offices mall. Fria modeller och modeller med öppen källkod och öppet tillgängliga parametrar är undantagna från de två första skyldigheterna — såvida modellen inte medför systemrisk.

Inget av detta är din skyldighet som liten deployer — men det är din due diligence-checklista när du väljer leverantör. Innan du skriver avtal med en AI-verktygsleverantör, fråga: kan ni visa er nedströmsdokumentation enligt bilaga XII? Publicerar ni en sammanfattning av träningsdata? Vad är er upphovsrättspolicy? En leverantör som inte kan svara 2026 är en leverantör som tar risker som du ärver operativt, om inte juridiskt.

Nytt sedan den 2 augusti 2026: transparens enligt artikel 50 — kravet på chattbotupplysning

Det här är den del av AI-förordningen som berör flest vanliga webbplatser, och den gäller nu. Artikel 50(1) kräver att leverantörer ser till att människor vet att de interagerar med ett AI-system, ”om det inte är uppenbart ur en rimligt välinformerad persons synvinkel”. Informationen ska ges ”senast vid den första interaktionen eller exponeringen”. EU-kommissionen uttrycker det rakt: när AI-system som chattbotar används ska människor göras medvetna om att de interagerar med en maskin.

Artikel 50(2) täcker syntetiskt innehåll: leverantörer av system som genererar syntetiskt ljud, bilder, video eller text måste se till att utdata är ”märkta i ett maskinläsbart format och möjliga att upptäcka som artificiellt genererade eller manipulerade”, med lösningar som är ”effektiva, interoperabla, robusta och tillförlitliga i den mån det är tekniskt genomförbart”. Assisterande redigeringsfunktioner som inte väsentligt förändrar indata är undantagna. En övergångsnyans från Omnibus: skäl 38 i förordning 2026/1744 ger en fyra månaders övergångsperiod för leverantörer vars system redan fanns på marknaden före den 2 augusti 2026 — den löper till den 2 december 2026. Nya system måste uppfylla kraven omedelbart.

Artikel 50(3)–(4) riktar sig direkt till deployers: deepfakes — innehåll som är ”artificiellt genererat eller manipulerat” — måste upplysas om, med lättare behandling för konstnärliga och satiriska verk; AI-genererad text som publiceras i frågor av allmänt intresse är undantagen från upplysning när en människa bär det redaktionella ansvaret; och om ni använder känsloigenkänning eller biometrisk kategorisering måste ni informera de berörda och följa GDPR.

Praktiskt betyder det tre saker för ett litet företag: er webbplats chattbot behöver en tydlig ”du chattar med en AI-assistent”-upplysning vid första kontakten; om ni publicerar AI-genererade bilder eller video av verkliga personer, märk dem; och om ni köper en chattbot eller ett innehållsverktyg är den maskinläsbara märkningen er leverantörs jobb — men att kontrollera att den görs är ert.

Digital Omnibus (förordning 2026/1744): vad som sköts upp — och vad uppskjutandet inte betyder

Digital Omnibus om AI — formellt förordning (EU) 2026/1744 av den 8 juli 2026 om ändring av förordningarna (EU) 2024/1689, (EU) 2018/1139 och (EU) 2023/1230, publicerad i EU:s officiella tidning den 24 juli 2026 och i kraft sedan den 27 juli 2026 — gjorde två huvudsaker. Den flyttade högriskdatumen: bilaga III-system (artikel 6(2)-listan — tänk rekryteringsscreening, kreditbedömning, samhällsviktiga tjänster) till den 2 december 2027, och bilaga I-system (artikel 6(1), AI inbäddad i reglerade produkter) till den 2 augusti 2028. Och den lade till två nya förbud i artikel 5(1): att generera eller manipulera realistiska intima bilder av en identifierbar person utan dennes ”frivilligt lämnade, specifika, informerade, otvetydiga och uttryckliga samtycke” (led ba), och material med sexuella övergrepp mot barn enligt definitionen i direktiv 2011/93/EU (led bb) — båda med övergångsperiod till den 2 december 2026.

Vad uppskjutandet inte betyder: det är ingen tillbakarullning. Förbuden gäller. AI-kompetensen gäller. Transparens enligt artikel 50 gäller. Sedan den 2 augusti 2026 har AI Office och medlemsstaternas myndigheter fulla tillsyns- och efterlevnadsbefogenheter — AI Office kan begära teknisk dokumentation, utvärdera modeller, kräva korrigerande åtgärder och utfärda böter. Uppskovet köper tid endast för högriskkapitlen, och det förnuftiga sättet att använda tiden är att i slutet av 2027 veta om något ni kör faller under bilaga III. Gör det det, säger artikel 26 redan vad som kommer: kompetent mänsklig tillsyn, användning enligt leverantörens instruktioner, relevanta indata, incidentövervakning och -rapportering, logglagring i minst sex månader och information till berörda arbetstagare.

Om böter — en lugn faktanotering. Artikel 99 sätter maximinivåer: upp till €35 miljoner eller 7 % av global omsättning för förbjudna metoder, upp till €15 miljoner eller 3 % för de flesta andra skyldigheter inklusive artikel 50, upp till €7,5 miljoner eller 1 % för att lämna felaktig information — och sanktionskapitlet har gällt sedan den 2 augusti 2025. Detaljen småföretag sällan hör: artikel 99(6) begränsar böter för små och medelstora företag och startups till det lägre av de två beloppen. Poängen med efterlevnad här är inte rädsla; det är att transparenskraven är billiga att uppfylla och dyra att ignorera.

Vad av detta som INTE handlar om er: ett ärligt filter

En så här stor förordning inbjuder till överefterlevnad, och överefterlevnad är bortkastade pengar. Så, ärligt:

• Högriskkapitlen (kapitel III avsnitt 1–3, artikel 26-skyldigheterna) gäller ännu ingen — bilaga III från den 2 december 2027, bilaga I från den 2 augusti 2028. Om en konsult säljer er brådskande högriskarbete 2026, be dem citera datumen efter Omnibus.
• GPAI-leverantörsskyldigheterna (artikel 53) tillhör företagen som bygger grundmodeller — inte er för att ni bara använder deras verktyg.
• Maskinläsbar märkning av syntetiskt innehåll enligt artikel 50(2) är en leverantörsskyldighet. Ert jobb som deployer är upplysning om deepfakes och AI-text i publicering av allmänintresse, enligt artikel 50(3)–(4).
• Om ni inte använder någon chattbot, inte genererar syntetiskt innehåll och inte kör AI i beslut om människor, reduceras era nuvarande skyldigheter till två: använd inte verktyg som faller under artikel 5-förbuden, och stöd AI-kompetens hos personal som arbetar med AI.
• Inget i förordningen kräver att ni slutar använda AI, registrerar ert ChatGPT-konto eller anställer en compliance-ansvarig. Det finns inget SME-undantag från de regler som gäller — men det finns lättnader: bötestaket i artikel 99(6) och kommissionens åtagande att publicera praktiska efterlevnadsexempel för små och medelstora företag.

En praktisk checklista: vad ett litet företag kan göra på en vecka

• Dag 1–2. AI-inventering. Lista varje AI-verktyg i bruk — chattbotar, innehållsgeneratorer, CRM-poängsättning, transkribering, automationer — och notera vilken affärsprocess vart och ett berör. Det är grunden för allt annat.
• Dag 2–3. Tilldela roller. Markera för varje verktyg om ni är deployer (använder någon annans system) eller möjligen leverantör (erbjuder det under eget varumärke). Flagga gränsfall för en jurist.
• Dag 3. Screena mot artikel 5. Stäm av inventeringen mot listan över förbjudna metoder — känsloigenkänning på personal, social poängsättning, biometrisk kategorisering. Allt som matchar stängs av, inte dokumenteras.
• Dag 3–4. Fixa chattbotupplysningen. Se till att varje chattbot på er webbplats talar om för användarna att den är en AI vid första interaktionen, och märk publicerat deepfake-liknande AI-innehåll. Det är den artikel 50-skyldighet som gäller just nu.
• Dag 4–5. Fråga era leverantörer. Skicka era AI-verktygsleverantörer artikel 53-frågorna: nedströmsdokumentation, sammanfattning av träningsdata, upphovsrättspolicy, maskinläsbar märkning av utdata — och notera svaren.
• Dag 5. Avtalskontroll. Notera vilka leverantörsavtal som inte säger något om AI-skyldigheter, och sätt AI-klausuler på förnyelseagendan — med er jurist, inte från en bloggmall.
• Dag 5–7. AI-kompetenssession. Håll en kort intern genomgång: vilka verktyg ni använder, vad de får och inte får användas till, hur artikel 50-upplysningen ser ut i era kanaler. Dokumentera att den ägde rum.
• Löpande. Lägg in två datum i kalendern: 2 december 2026 (märkningsövergången slutar; nya förbud börjar gälla) och 2 december 2027 (bilaga III-högriskkraven börjar) — och gå igenom inventeringen före vart och ett.

Vad det här betyder för er chattbot och era automationer

Bygger ni en ny chattbot nu, bygg in upplysningen från dag ett — en identifiering i första meddelandet, en synlig AI-etikett och en logg över vad boten säger — i stället för att eftermontera den senare. Om era AI-processer rör känsliga data är det här också ett rimligt tillfälle att väga en on-premise-LLM, där modellen körs på er infrastruktur och datakontrollfrågorna blir enklare. Och eftersom reglerna fortfarande rör sig — Omnibus bevisade det — bör någon äga jobbet att hålla er uppsättning aktuell.

Det här är det slags arbete vi gör på Norvalda: en automationsaudit för €1 490 täcker AI-inventeringen och rollkartläggningen på fem dagar; en webbplatschattbot byggd med upplysningsmönstret från start kostar €2 000–5 000 på 14–21 dagar; bredare AI-automationsprojekt €3 000–8 000; lokala AI-uppsättningar från en audit på €1 200 till implementation för €3 900 med förvaltning för €390/månad; och en AI-ops-retainer på €1 290/månad håller de rörliga delarna underhållna när regler och modeller ändras. Vi är implementatörer, inte jurister: där förordningen kräver juridisk tolkning för ert specifika fall säger vi det och pekar er mot juridisk rådgivning.

FAQ: AI-förordningens krav på småföretag, i korthet

Gäller EU:s AI-förordning småföretag?

Ja. Det finns inget SME-undantag från förbuden (artikel 5), AI-kompetensen (artikel 4) eller transparensen (artikel 50). Det finns lättnader: artikel 99(6) begränsar SME-böter till det lägre av de två möjliga beloppen, och den ändrade artikel 4 förbinder kommissionen och medlemsstaterna att stödja SME-efterlevnad, inklusive att publicera praktiska exempel.

Vad gäller sedan den 2 augusti 2026?

Det allmänna tillämpningsdatumet inföll: transparensskyldigheterna i artikel 50 (chattbotupplysning, märkning och upplysning av AI-genererat innehåll) samt fulla tillsyns- och efterlevnadsbefogenheter för AI Office och nationella myndigheter. Högriskkraven började inte detta datum — de sköts upp.

Vad exakt sköts upp till december 2027?

Skyldigheter för högrisk-AI-system enligt artikel 6(2) och bilaga III — kategorier som rekrytering och kreditbeslut — gäller nu från den 2 december 2027. Högrisksystem enligt artikel 6(1) och bilaga I följer den 2 augusti 2028. Båda datumen är fastslagna i förordning (EU) 2026/1744, utan villkor.

Måste en webbplatschattbot säga att den är en AI?

Ja, sedan den 2 augusti 2026. Artikel 50(1) kräver att människor vet att de interagerar med ett AI-system, senast vid första interaktionen — om det inte är uppenbart för en rimligt välinformerad person. I praktiken: en tydlig upplysning i början av samtalet.

Måste AI-genererat innehåll märkas, och från när?

Leverantörer av generativa system måste märka utdata i maskinläsbart format från den 2 augusti 2026; system som redan fanns på marknaden före det datumet har en övergångsperiod till den 2 december 2026 enligt Omnibus. Deployers måste upplysa om deepfakes; AI-skriven text i frågor av allmänt intresse är undantagen när en människa bär det redaktionella ansvaret.

Vad är en deployer, och hur skiljer den sig från en leverantör?

En leverantör utvecklar ett AI-system eller en modell och släpper den på marknaden under eget namn (artikel 3(3)). En deployer använder ett AI-system under eget ansvar i ett yrkesmässigt sammanhang (artikel 3(4)). De flesta småföretag är deployers, med väsentligt lättare skyldigheter. Gränsfall — som att white-labela någon annans system — är värda en jurists bedömning.

Den ärliga summeringen: för de flesta små företag är AI-förordningen hösten 2026 en veckas uppstädning — en inventering, en chattbotupplysning, en leverantörsenkät, en personalgenomgång — plus två kalenderposter för 2027. Vill ni ha ett andra par ögon på inventeringen är det därför vi finns. Gör hur som helst uppstädningsveckan: det är den billigaste efterlevnad ni någonsin köper.

Källor

• Förordning (EU) 2026/1744 (Digital Omnibus om AI), EUR-Lex: eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
• AI-förordningen, artikel 113 — tillämpningens början: artificialintelligenceact.eu/article/113/
• AI-förordningen, artikel 50 — transparenskrav: artificialintelligenceact.eu/article/50/
• AI-förordningen, artikel 5 — förbjudna metoder: artificialintelligenceact.eu/article/5/
• AI-förordningen, artikel 4 — AI-kompetens: artificialintelligenceact.eu/article/4/
• AI-förordningen, artikel 3 — definitioner (leverantör, deployer): artificialintelligenceact.eu/article/3/
• AI-förordningen, artikel 53 — GPAI-leverantörers skyldigheter: artificialintelligenceact.eu/article/53/
• AI-förordningen, artikel 26 — deployers skyldigheter för högrisksystem: artificialintelligenceact.eu/article/26/
• AI-förordningen, artikel 99 — sanktioner: artificialintelligenceact.eu/article/99/
• Europeiska kommissionen — regelverket för AI: digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• Gibson Dunn — analys av Omnibus-överenskommelsen: gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/