EU:s AI-lag är här: vad företag som distribuerar AI måste ha på plats

Om din AI påverkar någon i EU gäller EU:s AI-lag för dig oavsett var du är baserad, och den medför de högsta straffavgifterna inom teknikreglerering: upp till 35 miljoner euro eller 7 procent av den globala omsättningen, högre än GDPR. Skyldigheter för AI för allmänt bruk har gällt sedan augusti 2025 och transparensskyldigheter sedan augusti 2026. Högriskobligationer för Bilaga III-system skjöts upp till december 2027 enligt Digital Omnibus-överenskommelsen från maj 2026: lättnad gäller deadline, inte kraven.

Lagen omfattar all AI som erbjuds EU-användare, oavsett var du är baserad. Att förbereda sig för överensstämmelsebedömning från början kan ta 6–12 månader, så 'vi hanterar det senare' är redan försent för nästa deadline.

Risknivå avgör allt

Lagen klassificerar system enligt risk: förbjudna metoder (förbjudna sedan februari 2025), högrisk-system (omfattande efterlevnadskrav), begränsad risk-system med transparensskyldigheter och system med minimal risk. De flesta företagsdistributioner hamnar i transparent eller högrisk-kategorin. Det är ett dyrt misstag att felklassificera ett högrisk-användningsfall som begränsad risk, eftersom obligationerna, från riskhantering till mänsklig övervakning till loggning, inte är något du kan omarbeta veckan före en revision.

Vad beredskap faktiskt kräver

Beredskap är inte ett policydokument. Det är en uppsättning kapaciteter inbyggda i systemet, vilka överlappar helt och hållet med vad som gör en AI-distribution pålitlig från start.

• En inventering och riskklassificering av varje AI-system du distribuerar eller integrerar, uppdaterad.
• Datastyrning, loggning och spårbarhet: samma revisionsspår som bra agenter behöver ändå.
• Mänsklig övervakning utformad från början, med dokumenterad möjlighet att ingripa och stoppa.
• Transparens: användare informeras när de interagerar med AI, och AI-genererat innehål anges som sådant.

HOWF:s ståndpunkt

Vi bygger enligt strängare standarder som standard, eftersom de kontroller som AI-lagen kräver (klassificering, loggning, mänsklig övervakning, transparens) är samma kontroller som håller ett AI-system i produktion i stället för i en incidentrapport. Utforma dem från första commit och regelefterlevnad är en rapport du kan köra, inte en ombyggnad du behöver finansiera. Vi hjälper företag att distribuera AI som är försvarbar för både en regulator och en kund samtidigt.