Den 7 maj 2026 enades Europaparlamentet och ministerrådet om att skjuta upp högriskkraven i AI-förordningen. Fristående högrisksystem ska uppfylla kraven först den 2 december 2027, AI inbäddad i produkter den 2 augusti 2028. Det ursprungliga datumet var den 2 augusti 2026, om några veckor.

Paketet kallas AI Omnibus och väntar i skrivande stund på formell publicering i EU:s officiella tidning. Advokatbyrån Pinsent Masons rapporterade i juli 2026 att förhandlingarna är klara och att datumen ligger fast.

Uppskjutningen har beskrivits som en lättnad för europeiska företag. Det är en sanning med förbehåll. Förbuden gäller redan, reglerna för generella AI-modeller gäller redan, och sexton månader är kortare tid än de flesta tror för den som ska bygga dokumentation, riskhantering och mänsklig tillsyn från noll.

Vad är det som skjuts upp?

Det som flyttas är kraven på högrisksystem enligt förordningens artikel 9 till 17 och artikel 26. Högrisk omfattar bland annat AI som används vid rekrytering och uppsägning, kreditbedömning, försäkringsprissättning, biometrisk identifiering, kritisk infrastruktur och tillgång till utbildning.

För de systemen krävs riskhanteringssystem, teknisk dokumentation, loggning, mänsklig tillsyn, CE-märkning och registrering i EU:s databas. Allt det skulle ha varit klart den 2 augusti 2026. Nu gäller den 2 december 2027 för fristående system.

Vad gäller fortfarande?

Förbuden och modellreglerna står kvar. Förbjudna metoder, som social poängsättning och manipulativ AI, har varit olagliga sedan februari 2025. Kraven på generella AI-modeller, det som ofta kallas GPAI, gäller sedan augusti 2025.

En detalj många missar: kravet på märkning av AI-genererat innehåll fick också ett nytt datum. För modeller som släppts före den 2 augusti 2026 gäller märkningskravet från den 2 december 2026. Det är om fyra månader, inte om arton.

Varför sköts kraven upp?

Standarderna var inte färdiga. De harmoniserade tekniska standarder som företag ska luta sig mot vid en bedömning av överensstämmelse har släpat efter, och utan dem är det svårt att veta vad efterlevnad konkret betyder. Cloud Security Alliance beskrev i våras gapet mellan regelverkets ambition och företagens faktiska beredskap som betydande.

Uppskjutningen är alltså inte en omprövning av kraven. Innehållet ligger fast. Det som flyttades var datumet.

Vad betyder det för svenska företag?

För de flesta svenska små och medelstora företag är det viktigaste beskedet att klassificeringen inte kan vänta. Använder ni AI i rekrytering, kreditbeslut eller prissättning av försäkringar är ni sannolikt i högriskkategorin, oavsett om systemet är köpt eller egenbyggt. Att veta vilken kategori era system tillhör är grunden för allt annat, och det arbetet kostar lite nu och mycket sen.

För företag som använder AI i vardagsverktyg, som textstöd, mötesanteckningar eller intern sökning, är läget lugnare. Där handlar det främst om transparens och om att hålla ordning på vilka modeller som behandlar vilken data.

Var datat behandlas är en egen fråga, som inte påverkas av uppskjutningen alls. GDPR gäller som vanligt, och valet av leverantör avgör fortfarande under vilken jurisdiktion er data hamnar.

Hur använder ni tiden?

Sexton extra månader räcker till att göra saker i rätt ordning i stället för i panik. En rimlig ordning ser ut så här: inventera vilka AI-system som finns i verksamheten, klassificera dem mot förordningens kategorier, dokumentera var data behandlas och av vem, och bygg sedan riskhantering för det som faktiskt är högrisk.

Det arbetet är inte bortkastat även om reglerna skulle justeras igen. Ett register över system, data och leverantörer är användbart i sig, för säkerhet, för upphandling och för att kunna svara när en kund frågar.

Vi bygger interna system åt svenska företag med den frågan inbyggd från början: data i Stockholm, EU-baserade modeller på kunddata och dokumentation som en del av leveransen, inte som en efterhandskonstruktion.