AI-förordningen för konsultbolag: det här har ändrats
6 minuters läsning
Fristen som alla har bevakat har just flyttats till december 2027. Två andra började gälla redan i augusti. Det här behöver ett konsultbolag göra nu.
EU:s AI-förordning har tre datum som redan gäller och ett som just har flyttats. Har ert bolag väntat på en enda ”AI Act-deadline” att planera efter så var det aldrig riktigt rätt, och Digital Omnibus från juli 2026 gjorde det ännu mer fel. Vissa skyldigheter har gällt i över ett år, medan den som de flesta förberedde sig för har skjutits upp femton månader. Här går vi igenom vad det betyder för ett konsultbolag eller analysföretag som använder AI i kundarbetet.
Det här började gälla den 2 augusti 2026
Två saker hände det datumet, och ingen av dem var den stora fristen. Transparenskraven i artikel 50 blev möjliga att genomdriva: leverantörer och tillhandahållare måste upplysa om när innehåll är AI-genererat, märka syntetiskt ljud och syntetisk video och tala om för människor när de interagerar med en chattbot och inte med en person. AI-byrån fick också sina tillsynsbefogenheter över leverantörer av AI-modeller för allmänna ändamål (GPAI), alltså företagen bakom de modeller som bolagen faktiskt använder varje dag.
Skyldigheterna för fristående högrisksystem enligt bilaga III skulle ursprungligen börja gälla samma dag, men det gjorde de inte. Digital Omnibus, som trädde i kraft den 27 juli 2026, sköt upp den fristen till den 2 december 2027. Står det fortfarande augusti 2026 för högriskkraven i er kalender för regelefterlevnad är den uppgiften inaktuell.
Hela tidslinjen i ordning
| Datum | Vad som började gälla | Vem det gäller |
|---|---|---|
| 2 februari 2025 | Förbuden mot vissa AI-metoder; kravet på AI-kunnighet hos personalen | Alla leverantörer och tillhandahållare |
| 2 augusti 2025 | Skyldigheter för AI-modeller för allmänna ändamål: dokumentation, transparens, begränsning av systemrisker | Leverantörer av AI-modeller för allmänna ändamål |
| 2 augusti 2026 | Transparenskrav (upplysning om AI-genererat innehåll, märkning av deepfakes, upplysning om chattbotar); AI-byråns tillsyn över GPAI-leverantörer | Leverantörer och tillhandahållare vars system genererar innehåll eller interagerar med människor |
| 2 december 2027 (flyttat från augusti 2026) | Högriskkrav för fristående system enligt bilaga III: rekrytering, kreditbedömning, utbildning, kritisk infrastruktur | Leverantörer och tillhandahållare av just de systemtyperna |
| 2 augusti 2028 | Högriskkrav för AI som ingår i redan reglerade produkter enligt bilaga I: medicintekniska produkter, maskiner, leksaker | Tillverkare av de produkterna |
Den officiella versionen av tidslinjen finns hos Europeiska kommissionens AI Act Service Desk. Omnibusen rörde inte de tidigare skyldigheterna: förbjudna AI-metoder, AI-kunnighet, skyldigheterna för GPAI-leverantörer och transparensreglerna. Bara högriskdatumen för bilaga III och bilaga I flyttades.
Därför var den flyttade fristen troligen aldrig er att bevaka
Högriskstatus enligt bilaga III omfattar inte all AI som används i viktigt arbete. Bilagan räknar upp bestämda systemtyper: anställning och arbetsledning, kreditbedömning och kreditvärdighet, utbildning och provbedömning, brottsbekämpning, migration och gränskontroll och en handfull andra uppräknade kategorier. Till det kommer AI i produkter som medicintekniska produkter eller maskiner enligt bilaga I.
En researchassistent, ett skrivverktyg eller en plattform för kundarbete som används för att ta fram analyser, rapporter eller första utkast hamnar inte i bilaga III av sig självt. Det blir relevant först om resultatet går direkt in i något av de uppräknade användningsområdena. Ett bolag som bygger ett verktyg som fattar automatiserade rekryteringsbeslut, eller en kreditbedömningsmodell åt en kund, är i ett annat läge än ett bolag som använder AI för att göra research och skriva den rapport som en människa sedan granskar och levererar. De flesta konsultbolag, byråer och andra kunskapsföretag hör till den andra gruppen. Fristen i december 2027 är alltså inte alls fristen för deras dagliga AI-användning.
För de flesta bolag är det skyldigheterna som redan gäller som spelar roll.
Det här gäller nästan alla bolag redan nu
Två skyldigheter kräver ett riktigt svar från ert bolag, och en tredje ligger främst hos er leverantör.
Kravet på AI-kunnighet hos personalen har gällt sedan februari 2025, och det är lätt att se det som en ruta att bocka av snarare än något människor faktiskt gör. Kravet innebär att de som använder AI-system förstår vad systemen klarar, var de brister och hur de bör användas. För ett bolag som tar fram kundarbete med AI betyder det att granskaren vet att ett AI-utkast kan innehålla självsäkra men felaktiga påståenden och kontrollerar källorna innan arbetet når kunden. Ett policydokument som ingen har läst räcker inte.
Transparenskraven gäller när innehåll är AI-genererat eller när ett system interagerar som en människa, men om en viss leverans omfattas beror på leveransen. Ta upp frågan med er egen jurist i stället för att göra bedömningen själva. En sak att lyfta internt redan nu: varje kundvänd chattbot, och allt AI-genererat innehåll som ska informera allmänheten, medför en upplysningsplikt som inte fanns före augusti 2026.
Skyldigheterna för leverantörer av AI-modeller för allmänna ändamål ligger hos den som levererar modellen, inte hos ett bolag som använder den. Är ert bolag tillhandahållare ligger kraven på dokumentation och hantering av systemrisker hos den som har byggt modellen. Den fråga som är värd att ställa till er egen leverantör är om modellerna på plattformen kommer från leverantörer som uppfyller de skyldigheterna. Den risken ligger nämligen hos modellens leverantör, tidigare i kedjan än varje enskild tillhandahållare.
Fråga leverantören detta innan ni litar på att den ”följer AI-förordningen”
Säger en leverantör ”vi uppfyller kraven” utan att gå in på detaljer svarar den på en fråga ni inte har ställt. Ställ de här frågorna i stället.
- Vilka transparenskrav i artikel 50 hanterar plattformen som standard, och vilka måste bolaget självt ställa in för varje användningsfall?
- Stöder leverantören utbildningen i AI-kunnighet för personalen med riktigt material, eller lämnas den helt åt bolaget?
- Kräver något kundvänt resultat från plattformen en upplysning som bolaget måste lägga till manuellt?
- Om ett användningsfall senare berör en kategori i bilaga III, har leverantören en plan för det, eller ligger det helt utanför vad den åtar sig?
Kan en leverantör svara tydligt på alla fyra har den en genomtänkt hållning till regelefterlevnad. ”Vi bevakar regelverket noga” besvarar ingen av dem.
Så hänger det ihop med lagring och åtkomst
Tidsplanen i regelverket är en del av bolagets AI-risker. De andra delarna är var data lagras, vem som kan se den och om aktiviteten loggas. De följer inte AI-förordningens tidsplan, och de spelar roll oavsett vilken frist i bilaga III som gäller för er. AI-säkerhet och förtroende i kundarbete går igenom vilka krav ni bör ställa på alla AI-verktyg när det gäller lagring, träning och granskningsloggar. Åtkomstkontroll för AI i konsultbolag handlar om behörighetssidan: om AI-verktyget följer de åtkomstregler som bolaget redan har. Det är en fråga om kundernas förtroende, oberoende av regulatorisk status.
Hebno och AI-förordningen
Hebno lagrar kunddata i EU eller USA, beroende på vad kunden väljer, och kundernas indata används inte för att träna någon modell. Aktiviteten registreras i granskningsloggar, så att ett bolag kan svara när en kund frågar hur AI har använts i deras arbete. Inget av detta är juridisk rådgivning om hur AI-förordningen gäller för just ert bolags leveranser. Det är en utgångspunkt för det samtalet med er egen jurist och med varje leverantör vars plattform berör kundarbete. Se säkerhetssidan för alla detaljer, eller boka en demo för att gå igenom ert bolags uppsättning.
