EU AI Act för små och medelstora företag: Vilka skyldigheter som nu gäller och vad ni måste göra

EU:s AI-förordning (AI-förordning, förordning (EU) 2024/1689) reglerar användningen av artificiell intelligens i EU utifrån risk. För de flesta små och medelstora företag som endast använder AI-verktyg såsom chattbotar, skrivassistenter eller telefonassistenter är två skyldigheter avgörande idag: Sedan den 2 februari 2025 måste företag vidta åtgärder som stödjer sina anställdas AI-kompetens. Sedan den 2 augusti 2026 gäller transparensskyldigheten: människor måste kunna känna igen att de interagerar med ett AI-system. De strikta skyldigheterna för högrisk-AI påverkar endast vissa tillämpningsområden och kommer att gälla först från december 2027.

Denna artikel klassificerar vad som påverkar ditt företag och avslutas med en checklista. Den ersätter inte juridisk rådgivning. Från och med oktober 2026.

Leverantör eller operatör: Vilken roll har ditt företag?

AI-regleringens skyldigheter beror på rollen:

• Leverantörer utvecklar ett AI-system eller låter det utvecklas och marknadsför det under sitt eget namn, till exempel en mjukvarutillverkare.
• Operatörer använder ett AI-system på eget ansvar, till exempel ett hantverksföretag som använder en AI-telefonassistent eller ett kontor som utformar texter med en språkmodell.

Den stora majoriteten av SMF är operatörer. Men vem som helst som erbjuder eller väsentligt ändrar ett tredjeparts AI-system under sitt eget varumärke kan själva bli leverantör. Detta är särskilt relevant för mjukvaruhus och byråer.

Risknivåerna för AI-regleringen

Typiska kontorsapplikationer inom små och medelstora företag, såsom att skriva texter, söka i dokument, sortera förfrågningar eller svara på samtal, tillhör nivåerna "transparens" eller "minimal". Uppmärksamhet vid sökandehantering: AI som sorterar eller utvärderar ansökningar är en av de högriskapplikationerna.

Vad som har varit i kraft sedan februari 2025: AI-kompetens och förbud

Enligt artikel 4 måste leverantörer och operatörer vidta åtgärder för att stödja utvecklingen av AI-kompetensen hos sin personal och andra personer som använder AI-system för deras räkning. Sedan ändringen genom Digital Omnibus (i kraft sedan 27 juli 2026) behöver de inte garantera en viss kompetensnivå för enskilda individer – skyldigheten att agera kvarstår. Tidigare kunskap, utbildning, kontext för implementering och de personer som påverkas av AI-användningen beaktas. Vad detta innebär konkret förklaras i artikeln AI-kompetens enligt artikel 4: Vad skyldigheten att utbilda innebär.

Sedan samma datum har vissa AI-metoder också förbjudits (Art. 5). För normala SME-applikationer spelar de praktiskt taget ingen roll.

Vad som har varit i kraft sedan augusti 2026: Transparensskyldigheter

Sedan den 2 augusti 2026 gäller transparensskyldigheterna enligt artikel 50. Två fall är särskilt relevanta för små och medelstora företag:

• Chattbotar och telefonassistenter: Alla som pratar eller skriver till ett AI-system måste senast i början lära sig att det är en AI, om det inte är uppenbart ändå. En mening som "Du pratar med den digitala assistenten till ..." är vanligtvis tillräcklig.
• Deepfakes och AI-texter om ämnen av allmänt intresse: Artificiellt genererade eller manipulerade bilder, videor och ljudinspelningar som verkar verkliga måste avslöjas som AI-genererade. Detta gäller även texter om ämnen av allmänt intresse, om inte en människa har granskat dem redaktionellt och är ansvarig.

Om du använder en AI-chatbot eller AI-telefonassistent bör du därför tydligt integrera meddelandet i hälsningen.

Högrisk-AI: Uppskjuten till december 2027

Ursprungligen skulle skyldigheterna för högrisk-AI enligt bilaga III gälla från augusti 2026. Förordning (EU) 2026/1744, den så kallade Digital Omnibus, sköt upp detta datum till 2 december 2027; för AI i bilaga I-produkter (såsom maskiner eller medicintekniska produkter) gäller 2 augusti 2028. Alla som använder eller planerar att använda AI vid personalurval, prestationsutvärdering eller kreditkontroller bör använda tiden, eftersom skyldigheterna för operatörer (Art. 26) bland annat inkluderar mänsklig övervakning, registrering och information av de drabbade.

Vem kontrollerar, och vad hotar?

I Tyskland, enligt lagen om marknadsövervakning och främjande av AI (KI-MIG) av 22 juli 2026, är den federala nätverksmyndigheten i allmänhet marknadsövervakningsmyndighet; specialiserade myndigheter som BaFin ansvarar för vissa områden. Böter regleras av artikel 99 i AI-förordningen. Brott mot transparensskyldigheterna kan bestraffas med upp till 15 miljoner euro eller 3 % av den globala årliga omsättningen; SMF omfattas av det lägre av de två värdena. Förordningen föreskriver inte en separat böter för AI-kompetens enligt artikel 4. Brist på utbildning kan dock tala emot dig vid fel och ansvarsfrågor.

Checklista för små och medelstora företag

1. Inventering: Vilka AI-verktyg används i företaget, officiellt och inofficiellt? Det senare är särskilt vanligt, se skugg-AI i företaget.
2. Klassificera: För varje verktyg, registrera rollen (operatör/leverantör) och risknivån.
3. Säkerställa AI-kompetens: Utbildning för alla som använder AI dokumenteras och anpassas till uppgifterna.
4. Implementera transparens: Notiser i chattbotar, telefonassistenter och AI-genererade bilder eller videor.
5. Fastställda regler: En kort AI-riktlinje förtydligar vilka verktyg som är tillåtna och vilka data som inte hör hemma i dem.
6. Kontrollera dataskydd: AI-förordningen ersätter inte GDPR. Personuppgifter behöver fortfarande en rättslig grund och kontrakt för orderhantering.
7. Notera hög risk: De som använder AI inom HR planerar kraven för december 2027.

Rådgivning och medföljande genomförande är berättigad till finansiering: Genom INQA-coaching täcker den federala regeringen 80 % av konsultkostnaderna på upp till 1 200 euro per dag i upp till 12 dagar, det vill säga upp till 11 520 euro i subvention. I Mecklenburg-Vorpommern och de andra nya delstaterna är BAFA-konsultfinansiering också berättigad till 80 % fram till 31.12.2026 (50 % i de gamla delstaterna). Finansiering ges till konsultation, inte mjukvara. Finansieringskontrollen visar vilket program som passar.

Vanliga frågor

Gäller EU:s AI-lag även för småföretag?

Ja. AI-förordningen gäller för alla som använder eller erbjuder AI-system professionellt, oavsett företagets storlek. Det finns underlättande åtgärder för små och medelstora företag, såsom nedre övre gränser för böter och förenklad dokumentation för leverantörer, men det finns inget allmänt undantag.

Måste jag märka ChatGPT i företaget?

Om anställda använder ChatGPT internt för att designa texter behöver de inte märkas överallt. Chattbotar i kundkontakt, bedrägligt verkliga AI-bilder, videor och röster samt AI-texter om ämnen av allmänt intresse utan mänsklig redaktionell granskning är föremål för märkning.

Sedan när gäller skyldigheten att tillhandahålla utbildning enligt AI-lagen?

Skyldigheten enligt artikel 4 att vidta åtgärder mot AI-kompetens har gällt för alla företag som använder AI-system sedan den 2 februari 2025. Sedan juli 2026 har det klargjorts att ingen specifik kompetensnivå behöver garanteras.

Vem ansvarar för AI-lagen i Tyskland?

Enligt KI-MIG är Federal Network Agency generellt den ansvariga myndighet för marknadsövervakning. BaFin ansvarar för AI inom finanssektorn, och de respektive specialistmyndigheterna ansvarar för vissa produkter.

När gäller skyldigheterna för högrisk-AI?

För högrisksystem enligt bilaga III, såsom inom personalområdet, från och med 2 december 2027. För AI i reglerade produkter enligt bilaga I från 2 augusti 2028. Båda datumen sköts upp genom förordning (EU) 2026/1744.

Nästa steg

Om du vill veta vilka av dina AI-applikationer som utlöser vilka åtaganden, kommer vår AI-konsult att stödja dig. För utbildningsansvaret erbjuder vi AI-utbildning anpassad till dina verktyg och uppgifter.

Källor: Art. 4, Art. 50, Art. 99 och Art. 113 i AI-förordningen; Förordning (EU) 2026/1744; KI-MIG.