AI Act: nu gäller det på riktigt — det som konkret förändras sedan den 2 augusti

Sedan den 2 augusti 2026 är AI Act inte längre en horisont: den europeiska AI-byrån och de behöriga nationella myndigheterna har börjat tillämpa förordningen, med skyldigheterna för system med hög risk i siktet. Den text som tillämpas är dock inte riktigt densamma som antogs 2024: ”AI-omnibus”-förordningen, som föreslogs i november 2025 inom ramen för paketet för digital förenkling, antogs i juni 2026 och trädde i kraft den 27 juli — fem dagar före tidsfristen. Förtydliganden av tillämpningsområdet, dokumentationslättnader, justerade tidsfrister för vissa kategorier: kommissionen har markerat sin vilja till ett genomförande som är begripligt och gynnsamt för innovation, åtföljt av en rad riktlinjer.

Vad som verkligen kan krävas i dag

Konkret struktureras perioden av tre block av skyldigheter. De förbjudna metoderna, först, som gällt sedan länge. Skyldigheterna för leverantörer av modeller för allmänna ändamål, därnäst: teknisk dokumentation, policy för respekt av upphovsrätten, sammanfattning av träningsdata — med en skärpt ordning för modeller som medför en systemrisk. Systemen med hög risk, till sist, vars fullständiga ordning (riskhantering, datastyrning, mänsklig tillsyn, robusthet, registrering) går in i sin fas av faktisk tillämpning. För en B2B-leverantör är den praktiska frågan nästan alltid densamma: gör min AI-komponent min produkt till en produkt ”med hög risk” i den mening som avses i bilaga III — och om inte, vilka transparensskyldigheter kvarstår för mig?

Det verkliga ämnet: lagerkakan NIS2, CRA, GDPR, AI Act

Var för sig är varje ramverk hanterbart. De europeiska leverantörernas problem är lagerkakan. En och samma programvaruprodukt kan omfattas av NIS2 (eftersom dess kund är en väsentlig entitet), av Cyber Resilience Act (eftersom det är en produkt med digitala element, med krav på säkerhet i designen och hantering av sårbarheter), av GDPR (eftersom den behandlar personuppgifter) och av AI Act (eftersom den innehåller en maskininlärningskomponent). Fyra dokumentationslogiker, tre ordningar för incidentrapportering, skilda myndigheter. Den enda hållbara strategin är den enhetliga efterlevnadsfabriken: en enda grund för riskhantering, SBOM, loggning och hantering av sårbarheter, som sedan bryts ned mot varje ramverk — snarare än fyra parallella arbeten som skulle utmatta vilket team som helst.

En begränsning som kan bli ett argument

Det finns ändå en offensiv läsning. Kunderna — reglerade operatörer, offentlig sektor, industriaktörer — kommer att föra över sina egna skyldigheter på sina leverantörer, via avtal. Den leverantör som kan tillhandahålla AI Act-dokumentationen, den SBOM som CRA kräver, GDPR-garantierna och NIS2-åtagandena redan i anbudsunderlaget förvandlar en regulatorisk kostnad till en konkurrensfördel gentemot de utomeuropeiska aktörer som upptäcker dessa krav i köparnas frågor. Europeisk efterlevnad, om den industrialiseras tidigt, är en inträdesbarriär som skyddar dem som passerat den.

AI Act går in i rättspraxisens ålder: de kommande månaderna avgör om tillämpningen är lika pragmatisk som utlovat. Men att vänta med att sätta igång vore en feltolkning — fördelen går till dem som förvandlat den regulatoriska lagerkakan till processer, medan deras konkurrenter upplever den som en lavin.