AI Act (AI-förordningen): vad som verkligen gäller från den 2 augusti 2026

Den 2 augusti 2026 var AI-aktens stora tidsfrist. Den har just passerat, och sedan dess cirkulerar två motstridiga berättelser, båda felaktiga. Den första hävdar att AI-akten skjutits upp och att det inte finns något att göra. Den andra varnar för en lavin av skyldigheter för alla företag som rör vid AI. Verkligheten kokar ner till en distinktion: det som sköts upp gäller högrisksystemen; det som gäller nu gäller alla.

Den här artikeln går igenom vad EU:s förordning om artificiell intelligens faktiskt kräver av en yrkesperson som använder AI-verktyg dagligen, med röstdiktering som praktiskt exempel. Och framför allt vad den inte alls löser, även om många tror motsatsen.

En enda förordning, tillämplig i alla 27 medlemsstater

Första missförståndet att reda ut: AI-akten är ingen nationell lag. Det är förordning (EU) 2024/1689, i kraft sedan den 1 augusti 2024. Det ger två praktiska konsekvenser:

• Det är en förordning, inte ett direktiv. Den gäller direkt i alla 27 medlemsstater, utan implementeringslag. Det finns alltså ingen nationell version av AI-akten: texten är identisk från en medlemsstat till en annan. Varje land utser bara sina tillsynsmyndigheter och fastställer sitt sanktionssystem, inom de ramar förordningen sätter.
• Räckvidden är extraterritoriell. Artikel 2 omfattar leverantörer som släpper ut ett AI-system på unionens marknad oavsett var de är etablerade, samt leverantörer och tillhandahållare etablerade i tredjeland när systemets utdata används inom unionen. En leverantör etablerad utanför unionen som erbjuder sitt verktyg i Europa omfattas alltså.

Värt att notera är också att punkt 10 i samma artikel undantar skyldigheterna för tillhandahållare som är fysiska personer och använder ett AI-system i utövandet av en rent personlig verksamhet av icke-yrkesmässig karaktär. Att diktera inköpslistan äventyrar ingenting. Att diktera anteckningarna i ett ärende gör det.

Den verkliga tidsplanen, efter den digitala omnibusen

Den 8 juli 2026 antog unionen förordning (EU) 2026/1744, känd som den digitala omnibusen om AI, publicerad i Europeiska unionens officiella tidning den 24 juli 2026 och i kraft sedan den 27 juli. Det är den texten som ritat om tidsplanen, och därifrån kommer ryktet om en generell uppskjutning. Så här ser det ut, och så här ser det inte ut.

• 2 februari 2025: de förbjudna metoderna i artikel 5 och skyldigheten om AI-kunnighet i artikel 4 är tillämpliga. Oförändrat.
• 2 augusti 2025: skyldigheter för AI-modeller för allmänna ändamål, styrning och, framför allt, sanktionssystemet träder i kraft. Oförändrat.
• 2 augusti 2026: allmän tillämplighet av förordningen och transparensskyldigheterna i artikel 50. Oförändrat.
• 2 december 2026: två nya förbjudna metoder läggs till i artikel 5, riktade mot system som genererar realistiskt intimt innehåll om en identifierbar person utan dennes samtycke och mot system som genererar material med sexuella övergrepp mot barn. Samma datum löper den fyra månader långa övergångsperioden ut för leverantörer av generativa AI-system som redan fanns på marknaden den 2 augusti 2026, för att uppfylla märkningskraven.
• 2 december 2027: skyldigheterna för högrisksystem i bilaga III (anställning, utbildning, samhällsviktiga tjänster, rättsväsende, migration, biometri). Uppskjutet från den 2 augusti 2026.
• 2 augusti 2028: skyldigheterna för högrisksystem i bilaga I, de som ingår i produkter som redan regleras. Uppskjutet från den 2 augusti 2027.

Beloppen, för att sätta det hela i perspektiv: upp till 35 miljoner euro eller 7 % av den globala årsomsättningen för en förbjuden metod, och upp till 15 miljoner eller 3 % för att bryta mot leverantörers eller tillhandahållares skyldigheter eller mot transparensskyldigheterna i artikel 50, det högsta beloppet gäller. En nyans som spelar roll för ett litet företag eller en startup: artikel 99.6 föreskriver i så fall att det lägsta av de två beloppen tillämpas, inte det högsta.

De fyra risknivåerna, och var ett dikteringsverktyg hamnar

AI-akten reglerar inte AI som block: den klassificerar system efter risknivå och låter skyldigheterna bero på den klassificeringen. Fyra nivåer, från strängast till lättast: oacceptabel risk (förbjuden), hög risk (starkt reglerad), specifik transparensrisk (informationsplikt), minimal risk (inga särskilda skyldigheter).

Poängen nästan alla missar: det är systemets avsedda ändamål som avgör dess klass, inte tekniken det bygger på. Samma taligenkänningsbyggsten kan ha minimal eller hög risk beroende på vad den används till.

• Ett verktyg avsett att omvandla tal till text finns inte med i något av de åtta områdena i bilaga III. Det har minimal risk.
• Samma röstmotor avsedd att bedöma kandidater i en anställningsintervju skulle hamna under punkt 4 i bilaga III (anställning och personaladministration): hög risk.
• Samma röstmotor avsedd att känna igen känslor skulle hamna under punkt 1 i bilaga III (biometri): hög risk, om den inte helt enkelt är förbjuden.

Med andra ord är frågan man ska ställa till en leverantör inte "använder ert verktyg AI?", utan "vad är ert system avsett för, och vilken risknivå placerar det er i?". Svaret ska vara motiverat, inte dekorativt.

Den verkliga fällan för röstverktyg: att sluta sig till känslor

För ett verktyg som lyssnar på människor tala är den bestämmelse som förtjänar mest uppmärksamhet inte den om hög risk, utan artikel 5. Punkt 1 f förbjuder AI-system för att sluta sig till en fysisk persons känslor på arbetsplatser och i utbildningsinstitutioner, utom när användningen är avsedd för medicinska skäl eller säkerhetsskäl.

Det är ingen framtida skyldighet: det är ett förbud i kraft sedan den 2 februari 2025, i förordningens strängast sanktionerade kategori. Och det riktar sig inte bara mot leverantören: ett företag som använder ett sådant verktyg bland sin personal berörs direkt.

Gränsen att hålla är tydlig: att transkribera är inte att sluta sig till. Ett dikteringsverktyg omvandlar det du säger till text, det analyserar inte ditt känslotillstånd. Var däremot uppmärksam på de funktioner vissa mötesverktyg marknadsför: sentimentanalys av deltagarna, engagemangspoäng, stress- eller tondetektering. På en arbetsplats kan sådana marknadsföringslöften glida in på förbjudet territorium.

Måste man "märka" en text som producerats med AI?

Det är den vanligaste missuppfattningen sedan den 2 augusti 2026. Artikel 50.2 kräver att leverantörer av AI-system som genererar syntetiskt ljud, bild, video eller text märker dessa utdata i ett maskinläsbart format. Många drar slutsatsen att all text skriven med AI-hjälp redan måste bära en märkning.

Det är inexakt, och förordningen själv säger det. Samma punkt preciserar att skyldigheten inte gäller i den mån AI-systemen fyller en assisterande funktion för standardredigering eller inte väsentligt ändrar de indata som tillhandahållaren lämnar, eller deras semantik.

Ett röstdikteringsverktyg placerar sig exakt inom det undantaget. Det transkriberar dina egna ord och rättar sedan interpunktion, grammatik och tvekanden. Det skapar inget innehåll åt dig och ändrar inte innebörden av det du sagt: det ger form åt indata du själv har tillhandahållit. Texten förblir din. Skillnaden mot ett verktyg som skriver en artikel utifrån tre rader instruktioner är av annan art, inte bara en gradskillnad.

Två reservationer, dock, värda att känna till:

• Artikel 50.1. System avsedda att interagera direkt med fysiska personer måste informera dem om att de har att göra med en AI. Det riktar sig mot konversationsagenter, inte mot ett dikteringsverktyg, som inte samtalar med någon.
• Artikel 50.4. En text som genererats eller manipulerats av AI och publicerats i syfte att informera allmänheten om frågor av allmänt intresse måste bära en märkning. Viktigt undantag: när innehållet har genomgått mänsklig redaktionell granskning och en fysisk eller juridisk person tar på sig det redaktionella ansvaret. En journalist som dikterar sin artikel och sedan granskar den omfattas av undantaget.

Vad AI-akten kräver av den yrkesmässiga användaren

Förordningen skiljer mellan två huvudroller. Leverantören utvecklar systemet och släpper ut det på marknaden. Tillhandahållaren (deployer på engelska) använder det under eget ansvar, i ett yrkesmässigt sammanhang. Om du utrustar dina team med ett AI-verktyg, eller använder det själv i din yrkesutövning, är du tillhandahållare. Konkret berörs du av tre saker.

1. AI-kunnighet (artikel 4), mjukats upp av omnibusen. Originaltexten krävde att en "tillräcklig nivå" av AI-kunskap säkerställdes hos personalen. Förordning (EU) 2026/1744 ersatte det med en betydligt mildare formulering: leverantörer och tillhandahållare "ska vidta åtgärder för att stödja främjandet av AI-kunnighet hos sin personal och andra personer som för deras räkning hanterar driften och användningen av AI-system", och den ändrade artikeln tillägger att denna skyldighet inte kräver att en specifik kunnighetsnivå säkerställs för någon enskild person. Man går från en resultatskyldighet till en medelsskyldighet. Värt att notera är att artikel 4 inte finns med i listan över överträdelser som kan sanktioneras med böter enligt artikel 99. Skyldigheten finns, men är inte direkt sanktionerad på unionsnivå.

2. De förbjudna metoderna (artikel 5). Du får inte använda verktyg som finns med på svarta listan i artikel 5, inklusive den ovan nämnda känsloinferensen på arbetsplatsen. Det är den enda verkligt tunga begränsningen som vilar på en vanlig användare, och den gäller redan.

3. Aktörens skyldigheter för ett högrisksystem (artikel 26). De är omfattande: mänsklig tillsyn, loggning, information till berörda arbetstagare. Men de aktiveras bara om du faktiskt använder ett system klassificerat som högrisk, och inte förrän den 2 december 2027 för bilaga III.

Den avgörande punkten: AI-akten säger ingenting om suveränitet

Det är det dyraste missförståndet, för det skapar en falsk känsla av trygghet. AI-akten reglerar utsläppandet på marknaden och användningen av AI-system: vad de får göra, hur de ska dokumenteras, vad de ska deklarera. Den innehåller inget krav på var uppgifter lagras.

Ingenstans kräver förordningen att ditt ljud, dina texter eller dina dokument behandlas i Europa. Ingenstans neutraliserar den den amerikanska Cloud Act. Ett verktyg kan vara oklanderligt enligt AI-akten och ändå skicka varenda diktering till servrar som drivs av ett bolag som lyder under amerikansk rätt, och därmed kan tvingas genom ett amerikanskt föreläggande.

Det som reglerar dessa frågor är GDPR, och bara GDPR: laglig grund för behandlingen, lagringstid, personuppgiftsbiträden och regelverket för överföringar utanför EU enligt kapitel V. AI-akten själv säger det i artikel 2.7: unionsrätten om skydd av personuppgifter fortsätter att gälla för uppgifter som behandlas inom ramen för förordningen. De två regelverken samverkar, det ena ersätter inte det andra.

Vi går igenom den andra frågan, i särklass den mest avgörande i praktiken, i vår dedikerade guide: röstdiktering och GDPR, vart tar dina uppgifter egentligen vägen. Där förklarar vi varför serverplaceringen inte räcker, vad Data Privacy Framework faktiskt är värt, och varför jurisdiktionen en leverantör lyder under väger tyngre än adressen till dess datacenter. För yrken med tystnadsplikt beskrivs det tillämpliga regelverket på vår sida om advokatsekretess.

6 frågor att ställa till vilken AI-leverantör som helst

Ett enkelt sätt att bestämma sig, genom att kombinera båda regelverken. De första frågorna kommer från AI-akten, de sista från GDPR, och det är ofta de sistnämnda som gör skillnaden.

1. Vad är ert systems angivna ändamål, och vilken risknivå placerar det er i? Räkna med ett motiverat svar mot bilaga III, inte ett enkelt "vi följer reglerna".
2. Sluter sig ert verktyg till känslor eller kategoriserar det människor utifrån deras röst? På en arbetsplats är det korrekta svaret nej, utan tvetydighet.
3. Omfattas era utdata av märkningsskyldigheten i artikel 50.2, eller av undantaget för assisterande standardredigering? En seriös leverantör vet var den står, och varför.
4. Vilka AI-modeller använder ni, var körs de, och från vilka leverantörer kommer de? Det är enda sättet att veta vem som faktiskt behandlar dina uppgifter i slutet av kedjan. Den som anropar en tredje parts API exponerar dig för den tredje parten, oavsett vad som i övrigt sägs.
5. Används mina uppgifter för att träna era modeller, och hur länge sparas de? De korrekta svaren: nej, och ingen lagring alls.
6. Var behandlas mina uppgifter, av vilket bolag, och under vilken jurisdiktion? Sök en behandling inom unionen av ett europeiskt bolag, inte bara ett "datacenter i Europa".

Var Fast Dictate står

Fast Dictate är ett europeiskt röstdikteringsverktyg. Här är våra svar på de sex frågorna, i ordning:

• Ändamål och klassificering: omvandla tal till text och infoga det i den applikation du väljer. Inget av de åtta områdena i bilaga III är tillämpligt: minimal risk.
• Känslor: nej. Fast Dictate transkriberar det du säger och formar texten. Det utför ingen talarigenkänning, ingen sentimentanalys, ingen biometrisk kategorisering.
• Innehållsmärkning: verktyget transkriberar dina egna ord och rättar interpunktion och grammatik, utan att väsentligt förändra dina indata eller deras semantik. Det är precis det undantag som anges i artikel 50.2.
• Modeller och var de körs: i Pro-planen körs transkriberingen (Whisper Large V3) och den språkliga efterbearbetningen (GPT-OSS-120B) på servrar i Frankrike. Inget anrop görs till ett AI-API utanför Frankrike för att behandla innehållet i dina dikteringar, vare sig OpenAI, Anthropic, Google, AWS eller Azure.
• Ingen datalagring i någon plan. Ditt ljud behandlas i minnet under transkriberingstiden, raderas sedan omedelbart, och återanvänds aldrig för att träna en modell.
• Pro-planen: behandling uteslutande i Frankrike, på infrastruktur certifierad enligt ISO/IEC 27001:2022, utanför räckhåll för den amerikanska Cloud Act, med ett GDPR-personuppgiftsbiträdesavtal tillgängligt på begäran. Gratis- och Standardplanerna körs på snabb internationell infrastruktur, alltid utan datalagring.

I övrigt fungerar Fast Dictate överallt: Word, Gmail, Notion, din webbläsare, vilket textfält som helst, med ett enda kortkommando på Windows och Mac. Den gratis planen erbjuder 2 000 ord per vecka, utan bankkort.

Den här artikeln är endast avsedd som information och utgör ingen juridisk rådgivning. Klassificeringen av ett AI-system beror på dess avsedda ändamål och faktiska användning: rådfråga en yrkesperson om du är osäker på din situation. Officiella källor finns på EUR-Lex och på EU-kommissionens sida om AI-regelverket. Artikeln uppdaterad den 15 augusti 2026.

Vanliga frågor