EU:s AI-förordning börjar formellt gälla – men med en hake

I början av augusti 2026 har EU:s AI-förordning gått från att vara en väntande lagstiftning till en lag som företag faktiskt måste följa. TechGDPR:s senaste dataskyddsöversikt uppmärksammar denna milstolpe och noterar att förordningen har blivit tillämplig samtidigt som reglerna för högrisk-AI-system tillfälligt undantas. För den som följer hur AI-reglering samspelar med dataintegritet är detta ett anmärkningsvärt ögonblick: lagen är tekniskt sett i kraft, men ett av dess mest betydelsefulla kapitel ligger på is.

AI-förordningen utformades utifrån ett riskbaserat ramverk. System sorteras i kategorier, från minimal risk till oacceptabel risk, och kraven ökar i motsvarande grad. Högrisk-AI – tänk system som används vid rekrytering, kreditprövning, brottsbekämpning eller medicinsk diagnostik – var alltid tänkt att bära den tyngsta efterlevnadsbördan: bedömning av överensstämmelse, krav på mänsklig tillsyn och detaljerad dokumentation. Att just dessa specifika skyldigheter skjuts upp, även när den bredare lagen träder i kraft, säger något om hur svårt det har varit för lagstiftare och bransch att enas om tidsplaner för genomförandet av de tuffaste bestämmelserna.

Varför högriskreglerna för AI pausas

Förseningen är inte ett tecken på att lagstiftarna har mjuknat i sin syn på AI-övervakning. Den speglar i stället den praktiska verkligheten i att rulla ut en lag av denna komplexitet. Standardiseringsorgan, nationella tillsynsmyndigheter och EU-kommissionen behövde alla mer tid för att slutföra de tekniska specifikationer som leverantörer av högrisk-AI skulle vara tvungna att uppfylla. I stället för att tvinga företag att följa regler som inte var fullt definierade sköts skyldigheterna kopplade till högrisksystem upp, medan resten av förordningen, inklusive bestämmelser om förbjudna metoder och AI-kompetens, gick vidare enligt tidtabell.

Denna stegvisa utrullning är särskilt viktig för dataskyddsprofessionella. Många högrisk-AI-användningsfall – biometrisk identifiering, automatiserat beslutsfattande inom anställning eller kreditgivning – innebär omfattande behandling av personuppgifter. När tidsfristen för efterlevnad för dessa system förskjuts uppstår en tillfällig lucka där AI-specifika skyddsmekanismer ännu inte kan genomdrivas, trots att GDPR-skyldigheterna kring samma databehandling fortfarande gäller fullt ut. Organisationer kan inte behandla förseningen som ett allmänt undantag från integritetsskydd, bara från AI-förordningens extra lager av krav för högriskkategorier.

GDPR-kopplingen: Integriteten fortfarande i fokus

En nyttig sak att förstå med AI-förordningen är att den inte ersätter GDPR, utan existerar vid sidan om den. Alla AI-system som behandlar personuppgifter, oavsett om de klassas som högrisk eller inte, måste fortfarande uppfylla gällande dataskyddslagstiftning: laglig grund för behandling, transparens gentemot de registrerade och skyddsmekanismer mot missbruk. AI-förordningen lägger till sektorsspecifika och riskspecifika regler ovanpå den grunden.

Denna dubbelspåriga strategi är inte unik för EU. Dataskyddsregimer över hela världen brottas med liknande frågor om hur ny teknik ska regleras utan att skapa luckor i tillsynen. Zimbabwes telekomregulator förbereder sig exempelvis för att aktivt börja tillämpa sin egen dataskyddslag från september 2026, en förändring som vi täckt i vår rapport om POTRAZ verkställighetsplaner. På andra håll har förslag som Sydafrikas plan att koppla mobil-SIM-registrering till digital identitet väckt liknande farhågor om hur personuppgifter används när de väl samlats in, ett ämne vi utforskade i vår bevakning av Sydafrikas SIM-till-ID-debatt. Olika regioner, olika mekanismer, men samma underliggande spänning: tekniken rör sig snabbare än de regler som ska styra den.

Vad detta innebär för dig

För konsumenter är den omedelbara praktiska påverkan begränsad. EU:s AI-förordnings högriskbestämmelser var alltid riktade mot de företag och offentliga organ som använder AI-system, inte mot enskilda användare. Men den bredare utrullningen är värd att följa eftersom den signalerar hur allvarligt lagstiftarna ser på AI-driven databehandling, och hur mycket arbete som återstår innan dessa skydd är fullt på plats.

Om du arbetar på ett företag som bygger eller använder AI-verktyg som berör EU-användare, innebär förseningen av högriskskyldigheterna inte att du kan vänta med dina förberedelser. Lagstiftarna har klargjort att uppskjutandet handlar om tidpunkten för genomförande, inte om en riktningsändring. Att ligga steget före med dokumentation, riskbedömningar och datastyrning nu kommer att vara avgörande när tidsfristerna för högrisk väl slår till.

Viktiga slutsatser

  • EU:s AI-förordning blev tillämplig i augusti 2026, men skyldigheterna för högrisk-AI-system undantogs tillfälligt i väntan på färdiga tekniska standarder.
  • GDPR-skyldigheter fortsätter att gälla fullt ut oavsett AI-förordningens stegvisa utrullning, så databehandling kopplad till AI-system kräver fortfarande laglig grund och transparens.
  • Företag som använder AI i EU bör se förseningen som en planeringsperiod, inte som ett undantag från efterlevnad, och fortsätta att bygga mot de slutliga högrisk-kraven.
  • Att följa hur andra jurisdiktioner, från Zimbabwe till Sydafrika, hanterar dataskyddstillämpning ger användbar kontext för hur den globala regleringsdrivkraften kring personuppgifter byggs upp parallellt med AI-specifika regler.