EU AI Act 2026: nya deadlines efter Omnibus-avtalet

Det var meningen att 2 augusti 2026 skulle vara dagen då EU AI Act började bita på allvar. Att svenska företag som använder AI i HR, kreditbedömning eller utbildning plötsligt skulle behöva ha riskklassificering, dokumentation och godkännanden på plats.

Sen kom 7 maj 2026.

På den dagen nådde EU-rådet och Europaparlamentet ett provisoriskt politiskt avtal som väsentligt ändrar AI-förordningen. Det kallas Digital AI Omnibus och försenar flera av de mest skarpa kraven med upp till 16 månader.¹²

Men inte allt. Och det är där förvirringen ligger.

Den här guiden går igenom exakt vad som ändrades, vad som fortfarande gäller från 2 augusti i sommar, vem som blir tillsynsmyndighet i Sverige och vad ni faktiskt måste göra de närmsta 12 månaderna. Med riktiga källor från Consilium, Europaparlamentet, PTS och IMY.

Viktigt att veta: Det provisoriska Omnibus-avtalet från 7 maj är ännu inte slutligt lagstiftat. För att ändringarna ska gälla måste avtalet formellt godkännas av Council och Parliament, genomgå legal-linguistic granskning och publiceras i EU Official Journal innan 2 augusti 2026. Det förväntas inom veckor, men inget är 100 procent klart förrän det står svart på vitt i tidningen.³

---

Vad är EU AI Act egentligen?

EU AI Act, formellt (EU) 2024/1689, är världens första breda lagstiftning som specifikt reglerar artificiell intelligens.⁴ Den trädde i kraft 1 augusti 2024 och har sedan dess rullats ut i etapper. Förordningen klassificerar AI-system i fyra risknivåer och ställer olika krav på varje.⁵

Förbjudna AI-praktiker är sådant som inte får finnas alls. Social scoring som det Kina använder. AI som manipulerar mänskligt beteende genom att utnyttja sårbarheter (barn, funktionsnedsättning, ekonomisk utsatthet). Realtidsbiometrisk identifiering på allmän plats utom i mycket snäva undantag. De här reglerna har gällt sedan 2 februari 2025 och påverkas inte av Omnibus-avtalet.⁶

Högrisk-AI är AI-system som används i sammanhang där felaktiga beslut kan skada människor på riktigt. Anställning. Kreditbedömning. Utbildning. Sjukvård. Brottsbekämpning. Gränskontroll. Här finns det mest paragrafer och pappersarbete. Det är dessa krav som blev mest påverkade av Omnibus.

Begränsad risk är AI-system där användarna måste informeras om att de pratar med en maskin. Chatbots faller hit. Liksom AI-genererade bilder, video och text som måste märkas så att de kan kännas igen.

Minimal risk är AI som spamfilter eller spelmotorer. Inga krav alls, bara frivilliga uppförandekoder.

För svenska företag handlar 9 av 10 AI-användningsfall om kategori 2 och 3. Ni använder ChatGPT, Claude, Copilot eller Klang för att skriva text, analysera dokument, transkribera möten eller automatisera kundtjänst. Det placerar er som "användare" av AI, inte "leverantör". Och det är vad den här guiden mest fokuserar på.

---

Vad ändrade Omnibus-avtalet 7 maj 2026?

7 maj 2026 är dagen då allt skiftade. EU-rådet och Europaparlamentet nådde ett provisoriskt avtal genom det som kallas Digital AI Omnibus, eller Omnibus VII om ni vill vara tekniska. Det är en del av tio simplification-paket som EU-kommissionen lade fram under 2025 och 2026 för att svara på industri-feedback om att reglerna landade för snabbt och för komplicerat.⁷

Här är vad som faktiskt ändrades.

Högrisk-AI (Annex III): försenat 16 månader till 2 december 2027

Det här är den största förändringen. Högrisk-AI-system enligt Annex III, alltså AI som används i biometri, kritisk infrastruktur, utbildning, anställning, migration, gränskontroll, brottsbekämpning och rättsväsende, har fått sin compliance-deadline flyttad från 2 augusti 2026 till 2 december 2027.⁸

För svenska företag som har AI i HR-flöden, kreditbedömningsmodeller eller utbildningsverktyg betyder det att ni har 19 månader kvar, inte 2,5 månader. Det är inte ett undantag. Det är pust.

Inbäddad högrisk (Annex I): försenat till 2 augusti 2028

AI-system inbäddade i fysiska produkter som omfattas av annan EU-lagstiftning (medicinteknik, leksaker, fordon, hissar) har fått deadline 2 augusti 2028.⁸

Här märks svensk industri allra mest. Tillverkande bolag som integrerar AI i produkter får ytterligare ett år att rätta in dokumentation, riskbedömning och CE-markering.

AI-genererat innehåll: försenat men endast till 2 december 2026

Här finns en intressant detalj. Kravet att märka AI-genererat audio, bild, video och text flyttades från 2 augusti 2026 till 2 december 2026. Men samtidigt kortades grace-perioden från sex månader till tre månader.⁹

Innebörden: ni har fyra månader extra att förbereda er, men när reglerna börjar gälla har ni mindre tid att hinna implementera tekniska lösningar. För svenska bolag som genererar AI-bilder för marknadsföring eller använder AI-röster i podcasts: börja undersöka watermarking-verktyg redan nu.

Regulatoriska sandboxes: försenat nationellt till 2 augusti 2027

Sandboxes är "lekplatser" där företag får testa AI under tillsyn utan att direkt riskera böter. Den nationella deadlinen för medlemsstaterna att etablera dessa flyttades till 2 augusti 2027.¹⁰

I Sverige föreslås PTS driva sandboxen, vilket blir viktigt för svenska startups som vill testa nya AI-lösningar utan full compliance-kostnad från dag ett.

Nytt förbud mot "nudifier"-appar: effektivt 2 december 2026

Det här är något Omnibus lägger till, inte tar bort. AI-system som genererar eller manipulerar sexuellt explicit eller intimt material utan samtycke, samt sådant som skapar CSAM (child sexual abuse material), blir uttryckligen förbjudna i lagstiftningen från 2 december 2026.¹¹

Det är ett tydligt svar på den våg av deepfake-baserade trakasserier som rullat genom EU under 2025.

SME-undantag utökade till small mid-caps

Tidigare gällde simplifierade compliance-regler bara för SMEs (mindre än 250 anställda). Omnibus utökar dessa förenklingar till "small mid-caps" (SMC), företag med färre än 750 anställda och en årsomsättning som inte överstiger 150 miljoner euro, eller en balansomslutning under 129 miljoner euro.¹²

För medelstora svenska företag i mellanlandet mellan SMB och stor enterprise betyder det att ni får:

• Förenklad teknisk dokumentation (notified bodies måste acceptera mallar)
• Mer proportionerlig kvalitetshantering
• Prioriterad åtkomst till regulatoriska sandboxes
• Tak på böter

Det är en stor sak. Svenska bolag som ligger i intervallet 250 till 750 anställda hamnar plötsligt under en mer hanterbar regelapparat.

---

Vad gäller fortfarande 2 augusti 2026?

Det är lätt att fastna i vad som senarelades. Men det är minst lika viktigt vad som faktiskt händer 2 augusti i sommar. Det är nämligen inte noll.

GPAI-rules och full enforcement

GPAI står för "general-purpose AI" och är de stora språkmodellerna. ChatGPT, Claude, Microsoft Copilot, Klang och liknande. Reglerna för GPAI har formellt gällt sedan 2 augusti 2025, men det är från 2 augusti 2026 som EU:s nya AI Office får full enforcement-makt: möjlighet att kräva information, beordra modell-recalls, mandera risk-mitigation och utfärda böter, även mot icke-EU-bolag som Anthropic och OpenAI.¹³

För svenska företag betyder det inte direkt nya krav. Ni är ju användare av GPAI, inte leverantör. Men det betyder att de modeller ni använder behöver följa transparens-, säkerhets- och dokumentationskrav vid sina leverantörer. Det är därför ni nu ser Anthropic, OpenAI och Microsoft publicera detaljerade GPAI compliance-rapporter.

Chatbot-transparens

Här finns ett konkret krav som många svenska företag missar. Om ni har en kundtjänst-chatbot, en sales-bot på er hemsida eller ett AI-system som svarar på supportmejl, så måste användare informeras om att de pratar med AI och inte en människa. Det kravet gäller fortfarande från 2 augusti 2026.¹⁴

Det räcker inte med en disclaimer längst ner på sidan. Det ska vara klart och tydligt vid första interaktion. Och om det är en svår AI att skilja från en människa (avancerad voice agent, exempelvis), så hårdnar kraven.

Förbjudna praktiker (Article 5): gäller redan

Som nämnt ovan: AI som används för social scoring, manipulation av sårbara personer eller realtidsbiometri på allmän plats är förbjudet. Det här har gällt sedan 2 februari 2025 och påverkas inte alls av Omnibus.⁶

För de flesta svenska företag är det här ointressant. Men det är värt att veta att det fanns och fortsätter finnas en hård kärna i lagen som ingen får röra.

Böter och sanktioner

Maxnivåerna för böter är fortfarande på plats. För förbjudna AI-praktiker: upp till 35 miljoner euro eller 7 procent av global årsomsättning, vilket är högst.¹⁵ För andra brott: upp till 15 miljoner euro eller 3 procent. Det är samma logik som GDPR, designat för att bita på de största bolagen.

För svenska SMB blir det proportionerligt, men ändå rejält.

---

Vem övervakar AI Act i Sverige?

Här blir det specifikt svenskt. För medan EU lagstiftar i Bryssel är det medlemsstaterna som utser tillsynsmyndigheter. Och Sverige har valt en lite ovanlig modell.

PTS som coordinating market surveillance authority

Statens offentliga utredning SOU 2025:101 föreslår att Post- och telestyrelsen (PTS) blir Sveriges coordinating market surveillance authority och nationella kontaktpunkt under AI-förordningen.¹⁶

PTS får alltså huvudrollen. De ska samordna tillsyn, ta emot anmälningar och driva den nationella sandboxen. Det är PTS som EU-kommissionen pratar med när det gäller svensk AI-tillsyn.

IMY som guardian of fundamental rights

Här finns ett vanligt missförstånd. Många svenska företag tror att IMY blir AI Act-tillsynsmyndigheten i Sverige, eftersom IMY redan hanterar GDPR. Det stämmer inte.¹⁷

IMY får istället rollen som "guardian of fundamental rights" inom AI-förordningen. Specifikt för biometri, brottsbekämpning, migration och rättsväsende. Det är fortfarande viktigt, men det är inte huvudrollen.

För svenska företag betyder det att ni har två myndigheter att hålla koll på: PTS för AI Act i bred mening, IMY för GDPR och AI som rör personuppgifter.

Elva marknadskontroll-myndigheter under PTS-koordinering

Sverige har valt en distribuerad modell. SOU 2025:101 föreslår elva marknadskontroll-myndigheter plus två rapporterande myndigheter, var och en ansvarig för sitt verksamhetsområde.¹⁶ PTS, IMY och Finansinspektionen delar huvudansvaret för högrisk-AI enligt Annex III. För Annex I-produkter (medicinteknik, fordon, leksaker, etc.) ansvarar nio befintliga sektorsmyndigheter.

Det är komplext men logiskt. En bank med AI-bedömning har redan en relation till Finansinspektionen, så de fortsätter där. En vårdcentral med AI-screening har redan en relation till sin sektors tillsynsmyndighet. Och så vidare.

Nationell regulatory sandbox via PTS

Som nämnt ska PTS också driva Sveriges nationella AI-sandbox. Tanken är att svenska startups och bolag ska kunna testa AI-system i en kontrollerad miljö med PTS-stöd, utan full compliance-kostnad från dag ett. Operationell senast 2 augusti 2027.¹⁶

Regeringen har förankrat tillsynsstrukturen i Sveriges AI-strategi från 2026¹⁸. Och för svenska myndigheter publicerar Digg (Myndigheten för digital förvaltning) löpande tolkningar av AI-förordningen som även är användbara för privata bolag som vill förstå hur svenska aktörer läser EU-texten.¹⁹

---

Är ditt företag berört av AI-förordningen?

Här kommer det praktiska. För många svenska SMB är reaktion samma: "Påverkar det här ens oss?" Svaret är nästan alltid ja, men i olika omfattning.

Använder ni AI-chatbots? Då gäller transparens

Om ni har en kundtjänst-chatbot, FAQ-bot eller AI-mejlassistent på era kundgränssnitt: ni måste informera användare om att det är AI. Det kravet gäller från 2 augusti 2026 och påverkas inte av Omnibus. Praktiskt: en kort text i chatten ("Hej, jag är en AI-assistent. Vill du prata med en kollega istället?"), en tydlig symbol och en uppenbar väg till en människa.

Tränar eller distribuerar ni egna modeller? Då är ni provider

Ovanligt för SMB men inte omöjligt. Om ni finetunar Claude eller GPT-4 på era egna data och säljer som tjänst, blir ni "provider" enligt AI Act. Då gäller fler krav: dokumentation, riskbedömning, eventuellt notified body. Ta juridik-stöd om ni hamnar här.

Använder ni AI i HR, kreditbedömning eller utbildning? Sannolikt högrisk

Här gäller fortfarande de hårdare reglerna, men nu med deadline 2 december 2027 istället för 2 augusti 2026. Tider för att förbereda er har precis utökats med 16 månader. Använd dem.

Konkret betyder det: AI i CV-screening, intervju-utvärdering, prestationsbedömning, kreditbedömning, betygsättning, utbildningsanpassning. Allt det här klassificeras som högrisk.

Är ni SME eller small mid-cap? Förenklade regler

Om ni har färre än 250 anställda är ni SME och har alltid haft förenklade compliance-krav. Nytt från Omnibus: även företag med upp till 750 anställda (small mid-cap, SMC) får förenklingar. Det är ett tydligt politiskt budskap från EU: vi vill inte kväva europeisk innovation med pappersarbete.

---

Hur står Claude och Anthropic i förhållande till AI Act?

Här blir det intressant för er som använder Claude, eller funderar på att göra det. Anthropic, som bygger Claude, klassificeras som GPAI-provider under AI Act. Samma kategori som OpenAI med ChatGPT och Microsoft med Copilot.²⁰

Det är inte Satoris jobb. Det är Anthropics. Men det påverkar er direkt.

Vad Anthropic gör för EU-compliance

Anthropic har under 2025 och 2026 byggt ut sin compliance-stack. Det går att se i detalj på Anthropic Trust Center.²¹ Kortversionen:

• GPAI-dokumentation enligt AI Act-kraven: modellbeskrivning, träningsdata-summary, riskbedömningar och evaluerings-resultat. Anthropic är också engagerad i GPAI Code of Practice tillsammans med Google och Mistral
• EU Data Processing Agreement (DPA) tillgängligt för Claude Team, Enterprise och API-kunder
• EU-datalokalisering möjlig via AWS Bedrock eller Google Cloud Vertex AI med EU-region (claude.ai/Claude Enterprise direkt körs default på US-infrastruktur, så det här är något ni aktivt väljer)
• Anthropic tränar inte på era data på betalda planer som default (Pro, Team, Enterprise, API)
• En ny Compliance API från mars 2026 ger compliance-team programmatic realtidsåtkomst till användningsdata
• Trust Center med live-uppdaterad compliance-dokumentation och status-page

Det här är en del av varför Claude vuxit över 3 500 procent i Sverige det senaste året enligt Mynts AI-rapport. Compliance-officers som tidigare avrått från ChatGPT godkänner Claude för enterprise-användning, ofta utan att blinka.

Vad det betyder för er

Som GPAI-användare har ni inte samma compliance-börda som Anthropic, men ni måste:

1. Använda en lämplig plan. Gratis-versionen av Claude och ChatGPT har inte samma data-skydd som betalda planer. Köp minst Pro, helst Team eller Enterprise om ni hanterar känsliga data.
2. Signera DPA. För Team och Enterprise tillgängliggörs DPA automatiskt eller på begäran. För API: be Anthropic via Trust Center.
3. Dokumentera era användningsfall. Om någon frågar (intern revision, kund, PTS), ska ni kunna visa: vilka data går in, vad används Claude till, vem har tillgång.

Vår GDPR och Claude-guide för svenska företag går djupare på praktiska detaljer kring DPA, datacenter och vad ni faktiskt klickar på i Claude Admin.

Varför är detta Satoris fördel?

De flesta compliance-byråer (PwC, Fondia, Aival) är jurist-tunga och Claude-blinda.²² De kan AI Act-paragrafer utantill, men har aldrig satt upp Claude Team i en svensk Active Directory-miljö, aldrig hjälpt en CFO förstå när Pro räcker och när Enterprise är värt skillnaden, och aldrig integrerat Claude med Microsoft 365.

Vi har gjort allt det här flera gånger. Det betyder att vi kan översätta AI Act från juridisk text till "detta är vad du faktiskt klickar på i Claude Admin för att vara compliant". Det är skillnaden mellan att läsa en lag och att leva den.

---

Vad ska svenska företag göra de närmsta 12 månaderna?

Konkreta steg. För det är där 90 procent av artiklarna sviker er. Här är vad ni faktiskt gör.

1. Inventera era AI-system

Lista alla AI-verktyg ni använder. Inte bara de officiella. Använder marknadsföring ChatGPT för copy? Bygger ekonomi prognosmodeller i Claude? Kör HR pre-screening i något verktyg? Allt ska upp på papper.

För varje verktyg: vad gör det, vad är input, vad är output, vem fattar beslutet, hur sparas data. Det är det enklaste steget och det blir basen för allt annat.

2. Bygg en AI-policy nu

Ni behöver ett internt dokument som beskriver vad personalen får och inte får göra med AI. Vad gäller känslig data. Vilka verktyg som är godkända. Vem som bär ansvaret om något går snett.

Vi har skrivit en separat guide om vad en AI-policy ska innehålla, med mall ni kan kopiera. Den är gratis. Använd den.

3. Träna teamet i AI-kompetens (Article 4)

Sedan 2 februari 2025 gäller redan Article 4 i AI Act, som säger att alla anställda som jobbar med eller påverkas av AI ska ha tillräcklig AI-kompetens.⁶ Det betyder utbildning. Inte ett mejl med en länk till ChatGPT.

Det här är inte teoretiskt. IMY har sagt rakt ut att utbildning är något de kollar tidigt vid klagomål. Och Article 4 har ingen deadline. Den gäller redan.

För många svenska företag är det här den enskilt största bristen. Ni har rullat ut Claude eller ChatGPT till hela kontoret utan att någon faktiskt har lärt sig vad det får och inte får användas till. En kort, strukturerad AI-utbildning fixar det. På satoriml.se kör vi det här som en standardmodul i satori-uppstart.

4. Förbered transparens-flaggor i chatbottar

Om ni har AI-chatbots, planera nu hur ni implementerar transparens-meddelanden. Det är inte raketteknik, men det kräver att UX-, juridik- och utvecklingsteamet pratar med varandra.

5. Dokumentera GPAI-användning

Även om ni "bara" använder ChatGPT, Claude, Copilot eller Klang, så är det en god idé att dokumentera hur. Vilka konton, vilka licenser, vilka som använder vad, vilka uppgifter ni kör genom. Det är inte ett formellt krav på er som användare, men det är det första PTS frågar efter om något händer.

---

Var ligger vi nu, och vart är vi på väg?

Det är en relevant fråga. För perspektivet skiftar fort.

Just nu (maj 2026) är AI-förordningen delvis i kraft. Förbud (Article 5) och GPAI-regler gäller redan. Omnibus-avtalet är provisoriskt och väntar på formell adoption. Sveriges tillsynsstruktur är fortfarande på utredningsstadiet, men SOU 2025:101 är klar och regeringen behandlar förslagen.¹⁶

På väg fram (sommar och höst 2026): Omnibus-avtalet formellt antaget. EU AI Office får full enforcement-makt 2 augusti. Chatbot-transparens börjar gälla 2 augusti. Nudifier-förbud och AI-innehållsmärkning träder i kraft 2 december. PTS rullar ut sin tillsynsstruktur i Sverige.

På väg fram (2027): Nationell regulatory sandbox via PTS operationell 2 augusti. Högrisk-AI compliance-deadline 2 december.

På väg fram (2028): Annex I-produkter (medicinteknik, fordon, etc) compliance-deadline 2 augusti.

Det är ett rullande schema, inte en bigbang. Den som tror att 2 augusti 2026 är ett "AI Act-D-day" har fel. Och den som tror att Omnibus betyder "vi behöver inte göra något på 18 månader" har också fel.

EU har backat på tajming, inte på substans. Reglerna kommer. De är bara mer hanterbara nu.

---

Sammanfattning

Tre saker att ta med er.

EU backade, men inte helt. Omnibus-avtalet 7 maj 2026 försenade högrisk-AI-deadlines från 2 augusti 2026 till 2 december 2027. Men chatbot-transparens, GPAI-enforcement och AI-kompetens-utbildning gäller fortfarande från 2 augusti i sommar.

PTS blir Sveriges koordinerande myndighet, inte IMY. IMY är guardian of fundamental rights specifikt för biometri, brott, migration och rätt. För allmän AI Act-tillsyn är det PTS som tar lead, koordinerande över elva myndigheter.

Börja nu, inte sen. Inventera AI-system, bygg policy, träna teamet, förbered transparens. Pust-rummet ni fick i Omnibus är till för att göra jobbet ordentligt, inte för att skjuta upp det.

Behöver ni hjälp att navigera detta?

Vi har sammanställt en intern AI Act-checklista som vi gärna delar. Den går igenom inventering, riskklassificering, AI-policy och utbildnings-krav i praktiska steg, anpassade för svenska SMB. Mejla connect@satoriml.se så skickar vi den.

Vi erbjuder också en kostnadsfri 30-min AI-strategi-session där vi går igenom var ni står och vad de närmsta 12 månaderna borde innehålla. Ni kan boka via samma adress.

Och om ni vill ha komplett implementeringsstöd: satori-uppstart är designad för precis detta. Tre till sex månader där vi inte bara skriver dokument utan rullar ut AI-policy, AI-utbildning och Claude- eller ChatGPT-setup i praktiken. Vår AI-konsulttjänst hjälper er med större strategiska beslut kring AI-strategi och AI-implementation.

---

Footnotes

1. Artificial Intelligence: Council and Parliament agree to simplify and streamline rules, Consilium press release, 7 maj 2026. ↩

2. AI Act: deal on simplification measures, ban on "nudifier" apps, European Parliament, 7 maj 2026. ↩

3. EU agrees Digital Omnibus deal to simplify AI rules, White & Case, 2026. ↩

4. Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act), EUR-Lex, officiell EU-lagtext. ↩

5. AI Act overview, European Commission Digital Strategy, 2024 till 2026. ↩

6. Timeline for the Implementation of the EU AI Act, AI Act Service Desk, 2026. ↩ ↩² ↩³

7. What the EU AI Omnibus Deal Changes for the AI Act and What Lies Ahead, TechPolicy.Press, 2026. ↩

8. EU legislators agree to delay for high-risk AI rules, Hogan Lovells, 2026. ↩ ↩²

9. The Council and Parliament agree to slim down and delay parts of the EU AI Act, Lewis Silkin, 7 maj 2026. ↩

10. AI Act Update: EU Resolves to Change Rules and Extend Deadlines, Latham & Watkins, 2026. ↩

11. The Digital AI Omnibus: Proposed deferral of high risk AI obligations under the AI Act, DLA Piper, 2026. ↩

12. EU's Digital Omnibus on AI: 7 Key Changes You Need to Know, Orrick, 2026. ↩

13. EU agrees to amend AI Act, clarifies overlap with machinery rules, IAPP, 2026. ↩

14. AI-förordningen, Post- och telestyrelsen (PTS), 2026. ↩

15. Sveriges anpassningar till AI-förordningen, Fondia, 2026. ↩

16. Utredningen om AI-förordningen har lämnat över sitt betänkande till regeringen, Vinge, 2026. ↩ ↩² ↩³ ↩⁴

17. Vilken myndighet kommer övervaka AI-förordningen i Sverige?, IMY (Integritetsskyddsmyndigheten), 2026. ↩

18. Sveriges AI-strategi, Regeringskansliet, februari 2026. ↩

19. AI-förordningen, Myndigheten för digital förvaltning (Digg), 2026. ↩

20. Regulatory framework for AI: General-Purpose AI Models, European Commission, AI Office documentation, 2025 till 2026. ↩

21. Anthropic Trust Center, Anthropic, live-uppdaterad compliance-dokumentation. ↩

22. AI-förordningen (AI Act) - så kan din verksamhet påverkas, PwC Sweden, 2026. ↩