Navigera i AI-akten

AI-lagen är världens första heltäckande lag för AI. Syftet är att hantera risker för hälsa, säkerhet och grundläggande rättigheter. Förordningen syftar också till att skydda demokratin, rättsstatsprincipen och miljön. 

Användningen av AI-system och AI-modeller för allmänna ändamål har stor potential att medföra samhällsfördelar, ekonomisk tillväxt och stärka EU:s innovation och globala konkurrenskraft. I vissa fall kan dock de särskilda egenskaperna hos vissa AI-system och AI-modeller för allmänna ändamål skapa nya risker i samband med användarsäkerhet, inbegripet fysisk säkerhet, och grundläggande rättigheter. Vissa AI-modeller för allmänna ändamål, de mest avancerade, skulle till och med kunna utgöra så kallade systemrisker.

Detta leder till rättsosäkerhet och en potentiellt långsammare användning av AI-teknik av offentliga myndigheter, företag och medborgare, på grund av bristande förtroende. Olika regleringsåtgärder från nationella myndigheters sida skulle kunna riskera att fragmentera den inre marknaden.

Som svar på dessa utmaningar behövdes lagstiftningsåtgärder för att säkerställa en välfungerande inre marknad för AI-system och AI-modeller för allmänna ändamål där risker hanteras på lämpligt sätt och fördelar beaktas.

Den rättsliga ramen gäller både offentliga och privata aktörer inom och utanför EU som släpper ut ett AI-system eller en AI-modell för allmänna ändamål på EU-marknaden, eller tar ett AI-system i bruk eller använder det i EU. 

Skyldigheterna gäller bland annat leverantörer (t.ex. en utvecklare av ett CV-screeningverktyg) och spridare av AI-system (t.ex. en bank som använder detta screeningverktyg) samt leverantörer av AI-modeller för allmänna ändamål. Det finns vissa undantag från förordningen. Forskning, utveckling och prototypframställning som äger rum innan ett AI-system eller en AI-modell släpps ut på marknaden omfattas inte av denna förordning. AI-system som uteslutande är utformade för militära ändamål, försvarsändamål eller ändamål som rör nationell säkerhet är också undantagna, oavsett vilken typ av enhet som bedriver denna verksamhet.

Genom AI-akten införs en enhetlig riskbaserad strategi för AI i alla EU:s medlemsstater.

Förbjudna AI-system

 Ett begränsat antal särskilt skadliga användningar av AI-system förbjuds eftersom de strider mot EU:s värden genom att kränka de grundläggande rättigheterna: 

• Utnyttjande av personers sårbarhet, manipulering och användning av subliminala tekniker
• Social poängsättning för offentliga och privata ändamål
• Individuellt prediktivt polisarbete  baserat enbart på profilering av personer
• Oriktad skrapning av internet eller CCTV för ansiktsbilder för att bygga upp eller utöka databaser
• Känsloigenkänning på arbetsplatser och utbildningsanstalter, utom av medicinska skäl eller säkerhetsskäl (dvs. övervakning av en pilots trötthetsnivåer).
• Biometrisk kategorisering av fysiska personer för att härleda eller härleda deras ras, politiska åsikter, medlemskap i fackförening, religiösa eller filosofiska övertygelser eller sexuella läggning. Märkning eller filtrering av dataset och kategorisering av data kommer fortfarande att vara möjlig
• Biometrisk fjärridentifiering i realtid på allmänt tillgängliga platser för brottsbekämpande ändamål, med förbehåll för snäva undantag (se nedan)
• Nudifieringsappar eller AI-system som genererar sexuellt explicit och intimt innehåll utan samtycke eller material med sexuella övergrepp mot barn 

Kommissionen har utfärdat riktlinjer om förbjudna AI-metoder och riktlinjer om definitionen av AI-system i AI-akten. Dessa ger rättsliga förklaringar och praktiska exempel för att hjälpa berörda parter att följa dessa regler. 

AI-system med hög risk

I AI-akten betraktas ett begränsat antal AI-system som högrisksystem, eftersom de kan ha en negativ inverkan på människors säkerhet eller deras grundläggande rättigheter (som skyddas av EU:s stadga om de grundläggande rättigheterna). Till akten bifogas förteckningarna över AI-system med hög risk, som kan ses över för att anpassas till utvecklingen av AI-användningsfall. 

AI-system med hög risk omfattar till exempel AI-system som bedömer om någon kan få en viss medicinsk behandling, för att få ett visst jobb eller lån för att köpa en lägenhet. Andra AI-system med hög risk är sådana som används av polisen för att bedöma risken för att någon begår ett brott (såvida det inte är förbjudet enligt artikel 5).

AI-system med hög risk omfattar också säkerhetskomponenter i produkter som omfattas av sektorsspecifik unionslagstiftning eller AI-system som själva utgör sådana produkter. De kommer alltid att anses utgöra en hög risk när de är föremål för tredjepartsbedömning av överensstämmelse enligt den sektorsspecifika lagstiftningen. Detta kan till exempel omfatta AI-system som använder robotar, drönare eller medicintekniska produkter.

Transparenskrav för vissa AI-system

För att främja förtroende är det viktigt att säkerställa transparens kring det artificiella ursprunget för visst innehåll eller viss interaktion inom AI. Genom AI-akten införs därför särskilda transparenskrav för leverantörer eller spridare av vissa interaktiva eller generativa AI-system (t.ex. chattbottar eller deepfake-system). Dessa transparenskrav syftar till att hantera riskerna för felaktig information och manipulation, bedrägeri, imitation och vilseledande av konsumenter. 

AI-system med minimal risk

De flesta AI-system kan utvecklas och användas i enlighet med befintlig lagstiftning utan ytterligare rättsliga skyldigheter. 

AI-modeller för allmänna ändamål

AI-akten reglerar också AI-modeller för allmänna ändamål. Dessa kan användas för en rad olika uppgifter och håller på att bli grunden för många AI-system i EU. Leverantörer av AI-modeller för allmänna ändamål måste dokumentera viss information (såvida de inte omfattas av undantaget för öppen källkod) och vidta åtgärder för att säkerställa att de respekterar EU:s lagstiftning om upphovsrätt och närstående rättigheter.

De mest avancerade GPAI-modellerna skulle också kunna medföra systemrisker. Till exempel kan kraftfulla modeller möjliggöra kemiska, biologiska, radiologiska eller nukleära (CBRN) attacker eller storskaliga sofistikerade cyberattacker, undgå mänsklig kontroll eller möjliggöra strategisk snedvridning av mänskligt beteende eller mänskliga övertygelser. Leverantörer av AI-modeller för allmänna ändamål med systemrisker måste dessutom bedöma och minska systemrisker.

AI-akten skapar en rättslig ram som är lyhörd för ny utveckling, enkel och snabb att anpassa och möjliggör frekvent utvärdering. I förordningen fastställs resultatorienterade krav och skyldigheter, men de konkreta tekniska lösningarna och operationaliseringen överlåts till branschdrivna standarder och uppförandekoder som är flexibla för att anpassas till olika användningsfall och möjliggöra nya tekniska lösningar. 

AI-akten kan ändras genom delegerade akter och genomförandeakter, till exempel för att se över förteckningen över högriskanvändningsfall i bilaga III. Det kommer ofta att göras utvärderingar av vissa delar av AI-akten och så småningom av hela förordningen, för att säkerställa att eventuella behov av översyn och ändringar identifieras. 

Enligt AI-akten kommer AI-system med hög risk att omfattas av särskilda krav. Europeiska harmoniserade standarder kommer att innehålla detaljerade specifikationer för genomförande och överensstämmelse med högriskkraven. Leverantörer som utvecklar ett AI-system med hög risk i enlighet med de harmoniserade standarderna kommer att gynnas av en presumtion om överensstämmelse. 

I maj 2023 gav Europeiska kommissionen de europeiska standardiseringsorganisationerna CEN och Cenelec i uppdrag att utarbeta standarder för dessa högriskkrav. Detta mandat ändrades i juni 2025 för att anpassas till den slutliga texten i AI-akten. CEN och Cenelec har inte kunnat utveckla standarderna inom den begärda tidsplanen från augusti 2025. Standardiseringsarbetet pågår fortfarande.

Standarder är frivilliga, men avgörande för rättssäkerheten. De hjälper företag att förstå vad de behöver göra, och myndigheterna vet vad de behöver kontrollera. Den försenade tillgången till standarderna äventyrar det framgångsrika ikraftträdandet av högriskreglerna den 2 augusti 2026. Genom samlingsförordningen för AI förlängs därför tidsplanen till den 2 december 2027 för AI-system med hög risk och den 2 augusti 2028 för AI som är inbäddad i produkter för att ge mer tid för ett effektivt genomförande av reglerna med tydliga standarder (se förslaget till digital samlingsförordning). 

AI-möjligheter och AI-effekter överskrider gränserna. Utmaningarna är globala, och därför är samarbete viktigt och nödvändigt. AI-byrån leder kommissionens internationella engagemang på AI-området, på grundval av AI-akten och den samordnade planen för AI. EU strävar efter att

• Leda globala AI-insatser genom att stödja innovation, inrätta lämpliga skyddsräcken för AI och utveckla den globala styrningen av AI 
• Främja ansvarsfull förvaltning och god förvaltning av AI
• Se till att internationella avtal överensstämmer med vår strategi 

I takt med att det globala landskapet förändras har proaktivt AI-engagemang – som samordnas nära med våra allierade – blivit en viktig och växande prioritering. EU är en proaktiv, samarbetsvillig och pålitlig partner som föregår med gott exempel och samarbetar internationellt samtidigt som man skyddar sina intressen, sin säkerhet och sina värden.

EU engagerar sig bilateralt och multilateralt för att främja tillförlitlig och människocentrerad AI. Bilateralt samarbetar EU med ett ökande antal länder och regioner, såsom Kanada, Förenta staterna, Indien, Japan, Republiken Korea, Singapore, Australien, Förenade kungariket, Latinamerika och Västindien, Afrika osv. Multilateralt deltar EU i viktiga forum och initiativ där AI diskuteras – särskilt G7, G20, OECD och det globala partnerskapet för AI, Europarådet, det internationella nätverket för avancerad AI-mätning, utvärdering och vetenskap, men även i FN-sammanhang.

EU bygger vidare på strategiska tillgångar och styrkor – såsom talang, forskning, industriell styrka och en stor inre marknad med enhetliga regler – och använder dessa internationellt som en del av EU:s teknikerbjudande för att bygga ömsesidigt fördelaktiga partnerskap och allianser över hela världen.

I AI-akten fastställs en solid metod för klassificering av AI-system som högrisksystem. Syftet är att skapa rättssäkerhet för företag och andra aktörer.

Riskklassificeringen baseras på AI-systemets avsedda ändamål, i linje med EU:s befintliga produktsäkerhetslagstiftning. Det innebär att klassificeringen beror på den funktion som AI-systemet utför och på det specifika ändamål och de specifika villkor för vilka systemet används.

AI-system kan klassificeras som högrisksystem i två fall: 

• Om AI-systemet är inbyggt som en säkerhetskomponent i produkter som omfattas av befintlig produktlagstiftning (bilaga I) eller utgör sådana produkter i sig. Detta kan till exempel vara AI-baserad medicinsk programvara. 
• Om AI-systemet är avsett att användas för ett användningsfall med hög risk, som förtecknas i bilaga III till AI-akten. Förteckningen innehåller användningsfall inom områden som utbildning, sysselsättning, brottsbekämpning eller migration. Den ses över årligen av kommissionen och kan uppdateras.

Kommissionen håller på att utarbeta riktlinjer för högriskklassificeringen, som kommer att offentliggöras före tillämpningsdatumet för dessa regler.

Bilaga III till AI-akten omfattar åtta områden där användningen av AI kan vara särskilt känslig och innehåller en förteckning över konkreta användningsfall för varje område. Ett AI-system klassificeras som ett högrisksystem om det är avsett att användas i ett av dessa användningsfall. Några exempel:

• AI-system som används som säkerhetskomponenter i vissa kritiska infrastrukturer. Till exempel när det gäller vägtrafik och vatten-, gas-, värme- och elförsörjning.
• AI-system som används för vissa uppgifter inom utbildning och yrkesutbildning. T.ex. för att utvärdera läranderesultat och styra inlärningsprocessen och övervakningen av fusk.
• AI-system som används för vissa uppgifter inom sysselsättning och personalförvaltning samt tillgång till egenföretagande. T.ex. för att placera ut riktade platsannonser, analysera och filtrera platsansökningar och utvärdera kandidater.
• AI-system som används för tillgång till viktiga privata och offentliga tjänster och förmåner (t.ex. hälso- och sjukvård), kreditprövning av fysiska personer samt riskbedömning och prissättning när det gäller liv- och sjukförsäkringar.
• AI-system som används för vissa uppgifter inom brottsbekämpning, migration och gränskontroll, i den mån de inte redan är förbjudna, samt inom rättskipning och demokratiska processer.
• AI-system som används för biometrisk identifiering, biometrisk kategorisering och känsloigenkänning, i den mån det inte är förbjudet.

Innan ett AI-system med hög risk släpps ut på EU-marknaden eller på annat sätt tas i bruk måste leverantörerna göra en bedömning av överensstämmelse. Detta kommer att göra det möjligt för dem att visa att deras system uppfyller de obligatoriska kraven för tillförlitlig AI (t.ex. riskhantering, datakvalitet, dokumentation och spårbarhet, transparens, mänsklig tillsyn, noggrannhet, cybersäkerhet och robusthet). Denna bedömning måste upprepas om systemet eller dess syfte ändras väsentligt. Beroende på typen av AI-system med hög risk kan bedömningen av överensstämmelse behöva utföras av ett oberoende organ för bedömning av överensstämmelse. Leverantörer av AI-system med hög risk kommer också att behöva införa ett kvalitetsledningssystem för att säkerställa att de uppfyller de nya kraven och minimera riskerna för användare och berörda personer under AI-systemets hela livscykel.

För att möjliggöra tillsyn och säkerställa offentlig transparens måste leverantörer av AI-system med hög risk registrera systemet i en offentlig EU-databas.

Leverantörer av AI-system med hög risk förblir ansvariga för systemets säkerhet och överensstämmelse under hela dess livscykel. Vid behov måste de rapportera och reagera på allvarliga tillbud, vidta korrigerande åtgärder vid identifierade risker eller bristande överensstämmelse, tillhandahålla information och samarbeta med marknadskontrollmyndigheterna.

Som utgångspunkt måste spridarna använda AI-systemet med hög risk i enlighet med bruksanvisningen och måste vidta alla tekniska åtgärder för detta ändamål. På grundval av bruksanvisningen måste spridare av AI-system med hög risk övervaka driften av AI-systemet och agera vid identifierade risker eller allvarliga incidenter. Deployers måste tilldela mänsklig tillsyn till en person i sin organisation. Den eller de personerna måste vara tillräckligt utrustade och ha möjlighet att utöva mänsklig tillsyn. När en spridare tillhandahåller indata för ett AI-system med hög risk kräver AI-akten att indata måste vara relevanta och tillräckligt representativa för AI-systemets avsedda ändamål.

Leverantörer som är offentliga myndigheter eller som tillhandahåller offentliga tjänster måste genomföra en konsekvensbedömning avseende grundläggande rättigheter före den första användningen.

Dessutom kan spridaren ha informationsskyldigheter: 

• AI-system med hög risk som införs av offentliga myndigheter eller enheter som agerar på deras vägnar måste registreras i en offentlig EU-databas, med undantag för AI-system med hög risk för kritisk infrastruktur. AI-system som används för brottsbekämpning och migration måste registreras i en icke-offentlig del av databasen som endast kommer att vara tillgänglig för relevanta tillsynsmyndigheter.
• Om AI-systemet med hög risk införs på arbetsplatsen måste spridarna i förväg informera berörda anställda och arbetstagarrepresentanter. Detta går utöver eventuella regler för samråd med arbetstagare som redan kan vara tillämpliga. 
• Om AI-systemet med hög risk är utformat för att fatta beslut eller hjälpa till att fatta beslut om fysiska personer måste spridaren informera den berörda personen.

Genom AI-akten införs också en rätt till en förklaring för fysiska personer. Detta gäller om utdata från ett AI-system med hög risk användes för att fatta ett beslut om en fysisk person och detta beslut har rättslig verkan. Distributörer av AI-system med hög risk måste ta hänsyn till denna möjlighet och, vid en begäran, tillhandahålla en tydlig och meningsfull förklaring till den berörda personen.

Real world testing av AI-system med hög risk kan genomföras i högst sex månader (detta kan förlängas med ytterligare sex månader). Före provningen måste en plan utarbetas och lämnas in till en marknadskontrollmyndighet, som måste godkänna planen och särskilda provningsvillkor, med automatiskt godkännande som standard om inget svar har lämnats inom 30 dagar. Provning kan bli föremål för oanmälda inspektioner av myndigheten.

Testning under verkliga förhållanden kan endast utföras med särskilda skyddsåtgärder, t.ex. måste användare av de system som testas under verkliga förhållanden ge sitt informerade samtycke, testningen får inte ha någon negativ inverkan på dem, resultaten måste vara reversibla eller oaktbara och deras data måste raderas efter det att testningen har avslutats. Särskilt skydd ska ges till utsatta grupper, t.ex. på grund av deras ålder, fysiska eller psykiska funktionsnedsättning.

AI-system skapar eller reproducerar inte partiskhet. När AI-system utformas och används på rätt sätt kan de snarare bidra till att minska snedvridning och befintlig strukturell diskriminering och därmed leda till mer rättvisa och icke-diskriminerande beslut (t.ex. vid rekrytering).

De nya obligatoriska kraven för alla AI-system med hög risk kommer att tjäna detta syfte. AI-system måste vara tekniskt robusta för att säkerställa att de är ändamålsenliga och inte ger partiska resultat, såsom falska positiva eller negativa resultat, som på ett oproportionerligt sätt påverkar marginaliserade grupper, inbegripet grupper som är baserade på ras eller etniskt ursprung, kön, ålder och andra skyddade egenskaper.

Högrisksystem kommer också att behöva utbildas och testas med tillräckligt representativa dataset för att minimera risken för orättvisa snedvridningar som är inbyggda i modellen och säkerställa att dessa kan hanteras genom lämplig upptäckt, korrigering och andra riskreducerande åtgärder. De måste också vara spårbara och kontrollerbara, vilket säkerställer att lämplig dokumentation bevaras, inbegripet de uppgifter som används för att träna algoritmen som skulle vara avgörande i efterhandsutredningar.

Efterlevnadssystemen måste övervakas regelbundet och potentiella risker snabbt åtgärdas, före och efter att de har släppts ut på marknaden.

Biometrisk identifiering kan ta olika former. Biometrisk autentisering och verifiering, dvs. för att låsa upp en smarttelefon eller för verifiering/autentisering vid gränsövergångar för att kontrollera en persons identitet mot hans/hennes resehandlingar (en-till-en-matchning), förblir oreglerad, eftersom de inte utgör en betydande risk för de grundläggande rättigheterna.

Däremot kan biometrisk fjärridentifiering (t.ex. för att identifiera människor i en folkmassa) avsevärt påverka integriteten i det offentliga rummet. Noggrannheten hos system för ansiktsigenkänning kan påverkas avsevärt av ett brett spektrum av faktorer, såsom kamerakvalitet, ljus, avstånd, databas, algoritm och ämnets etnicitet, ålder eller kön. Detsamma gäller för gång- och röstigenkänning och andra biometriska system. 

Medan en 99% noggrannhet kan tyckas bra i allmänhet, är det betydligt riskabelt när resultatet kan leda till misstanke om en oskyldig person. Även en felprocent på 0,1 % kan ha en betydande inverkan när den tillämpas på stora populationer, till exempel på tågstationer.

Användning av biometrisk fjärridentifiering i realtid på allmänt tillgängliga platser (dvs. ansiktsigenkänning med hjälp av övervakningskameror) för brottsbekämpande ändamål är förbjuden. Medlemsstaterna kan införa undantag genom lagstiftning som skulle tillåta användning av biometrisk fjärridentifiering i realtid i följande fall:

• Brottsbekämpande verksamhet med anknytning till 16 specificerade mycket allvarliga brott
• Riktad sökning efter specifika offer, bortföranden, människohandel och sexuellt utnyttjande av människor samt försvunna personer
• Förebyggande av hot mot människors liv eller fysiska säkerhet eller av en terrorattack

All användning i undantagsfall måste vara nödvändig och proportionell och kräva förhandstillstånd från en rättslig eller oberoende administrativ myndighet vars beslut är bindande. I brådskande fall kan godkännande begäras inom 24 timmar. Om tillståndet avslås måste alla uppgifter och resultat av användningen raderas.

Användningen av biometrisk fjärridentifiering i realtid bör anmälas till den berörda marknadskontrollmyndigheten och dataskyddsmyndigheten. 

Användningen av AI-system för biometrisk identifiering i efterhand (identifiering av personer i tidigare insamlat material) av personer som är föremål för utredning är inte förbjuden, men kräver förhandstillstånd från en rättslig eller administrativ myndighet samt anmälan till den relevanta dataskydds- och marknadskontrollmyndigheten.

Det finns redan ett starkt skydd för grundläggande rättigheter och icke-diskriminering på EU-nivå och medlemsstatsnivå, men komplexiteten och ogenomskinligheten hos vissa AI-tillämpningar (svarta lådor) kan utgöra ett problem.

En människocentrerad strategi för AI innebär att säkerställa att AI-tillämpningar är förenliga med lagstiftningen om grundläggande rättigheter. Genom att integrera krav på ansvarsskyldighet och transparens i utvecklingen av AI-system med hög risk och förbättra verkställighetsförmågan kan vi säkerställa att dessa system är utformade med rättslig efterlevnad i åtanke redan från början. Om överträdelser inträffar kommer sådana krav att göra det möjligt för nationella myndigheter att få tillgång till den information som behövs för att undersöka om användningen av AI är förenlig med EU-lagstiftningen.

AI-akten kräver att vissa användare av AI-system med hög risk genomför en konsekvensbedömning avseende grundläggande rättigheter. 

Leverantörer av AI-system med hög risk måste göra en riskbedömning och utforma systemet på ett sätt som minimerar riskerna för hälsa, säkerhet och grundläggande rättigheter.

Vissa risker för de grundläggande rättigheterna kan dock endast identifieras fullt ut om man känner till sammanhanget för användningen av AI-systemet med hög risk. När AI-system med hög risk används i särskilt känsliga områden med möjlig maktasymmetri är det nödvändigt att ta ytterligare hänsyn till sådana risker.

Därför ska spridare som är offentligrättsliga organ eller privata aktörer som tillhandahåller offentliga tjänster, samt aktörer som tillhandahåller AI-system med hög risk som utför kreditprövningar eller pris- och riskbedömningar inom liv- och sjukförsäkring, göra en bedömning av inverkan på de grundläggande rättigheterna och underrätta den nationella myndigheten om resultaten.

I praktiken kommer många spridare också att behöva göra en konsekvensbedömning avseende dataskydd. För att undvika väsentliga överlappningar i sådana fall ska konsekvensbedömningen avseende grundläggande rättigheter genomföras i samband med konsekvensbedömningen avseende dataskydd.

AI-modeller för allmänna ändamål, inbegripet generativa AI-modeller, kan användas för en rad olika uppgifter. De kan integreras i ett stort antal AI-system.

En leverantör av ett AI-system som integrerar en AI-modell för allmänna ändamål måste ha tillgång till nödvändig information för att göra detta och säkerställa att systemet är förenligt med AI-akten. AI-akten ålägger leverantörer av sådana modeller att dokumentera teknisk information om modellerna och att lämna ut viss information till leverantörer av system i senare led. En sådan öppenhet möjliggör en bättre förståelse av dessa modeller.

Modellleverantörerna måste ha infört strategier för att säkerställa efterlevnad av EU:s lagstiftning om upphovsrätt och närstående rättigheter. I synnerhet för att identifiera och efterleva rättighetsreservationer enligt undantaget för text- och datautvinning. Leverantörerna måste också offentliggöra en sammanfattning av det innehåll som används för att utbilda modellen, på grundval av en mall från AI-byrån.

Den mest avancerade av dessa modeller skulle kunna medföra systemrisker. För närvarande antas AI-modeller för allmänna ändamål som tränas med hjälp av en total mängd beräkningsresurser som överstiger 10^25 FLOP (flytande punktoperationer) utgöra systemrisker. Kommissionen får uppdatera detta tröskelvärde mot bakgrund av den tekniska utvecklingen. På begäran av en leverantör får kommissionen också motbevisa antagandet att en modell över FLOP-tröskeln utgör en systemrisk, om modellen inte anses vara bland de mest avancerade. Kommissionen får också beteckna modeller under FLOP-tröskeln som AI-modeller för allmänna ändamål med systemrisk, på grundval av de kriterier som anges i bilaga XIII till AI-akten.

Leverantörer av modeller med systemrisk måste bedöma och minska dessa risker, bland annat genom att genomföra toppmoderna modellutvärderingar, rapportera allvarliga incidenter och säkerställa tillräcklig cybersäkerhet för sina modeller och sin fysiska infrastruktur.

För att hjälpa leverantörerna att uppfylla dessa skyldigheter har kommissionen underlättat utarbetandet av uppförandekoden för allmän AI (GPAI). GPAI:s uppförandekod är ett frivilligt verktyg som utarbetats av oberoende experter i en flerpartsprocess och som är utformat för att hjälpa industrin att uppfylla AI-aktens skyldigheter för leverantörer av AI-modeller för allmänna ändamål. Koden kompletteras av kommissionens riktlinjer om omfattningen av skyldigheterna för leverantörer av AI-modeller för allmänna ändamål enligt AI-akten.

I den första uppförandekoden för AI för allmänna ändamål beskrivs AI-aktens regler för leverantörer av AI-modeller för allmänna ändamål och AI-modeller för allmänna ändamål med systemrisker. GPAI:s uppförandekod är ett frivilligt verktyg som utarbetats av oberoende experter i en flerpartsprocess och som är utformat för att hjälpa industrin att uppfylla AI-aktens skyldigheter för leverantörer av AI-modeller för allmänna ändamål.

AI-byrån underlättade utarbetandet av koden. Processen leddes av oberoende experter som involverade nästan 1 000 berörda parter samt företrädare för EU:s medlemsstater, europeiska och internationella observatörer. Kommissionen och AI-styrelsen har bekräftat att koden är ett lämpligt frivilligt verktyg för leverantörer av GPAI-modeller för att visa överensstämmelse med AI-akten.

Efter godkännandet kan leverantörer av GPAI-modeller som frivilligt undertecknar den visa att de följer AI-akten genom att följa koden. Detta kommer att minska deras administrativa börda och ge dem större rättssäkerhet än om de bevisade efterlevnad genom andra metoder. Koden kompletteras av kommissionens riktlinjer om centrala begrepp som rör AI-modeller för allmänna ändamål.

AI-byrån kommer, när så är lämpligt, att uppmuntra och underlätta översynen och anpassningen av koden för att återspegla tekniska framsteg och den senaste tekniken. När en harmoniserad standard har offentliggjorts och bedömts vara lämplig för att täcka AI-byråns relevanta skyldigheter bör efterlevnad av en europeisk harmoniserad standard ge leverantörerna presumtion om överensstämmelse.

Leverantörer av AI-modeller för allmänna ändamål bör kunna visa överensstämmelse med hjälp av alternativa lämpliga metoder, om uppförandekoder eller harmoniserade standarder inte finns tillgängliga, eller om de väljer att inte förlita sig på dessa.

Genom AI-akten införs särskilda transparenskrav för leverantörer och spridare av vissa interaktiva eller generativa AI-system (inklusive chatbotar eller deepfake). Dessa transparenskrav syftar till att hantera riskerna för felaktig information och manipulation, bedrägeri, imitation och vilseledande av konsumenter:

1. Leverantörer av AI-system som direkt interagerar med fysiska personer behöver utforma och utveckla dessa system på ett sådant sätt att de berörda fysiska personerna informeras om att de interagerar med ett AI-system.
2. Leverantörer av generativa AI-system måste märka AI-utgångarna i ett maskinläsbart format och säkerställa att de kan upptäckas som artificiellt genererade eller manipulerade. De tekniska lösningarna måste vara effektiva, driftskompatibla, robusta och tillförlitliga i den mån det är tekniskt genomförbart, med beaktande av särdragen och begränsningarna hos olika typer av innehåll, genomförandekostnaderna och den allmänt erkända bästa tekniken, vilket kan återspeglas i relevanta tekniska standarder.
3. De som använder system för känsloigenkänning eller biometrisk kategorisering måste se till att personer som exponeras för dessa system informeras.
4. Tillhandahållare av generativa AI-system som genererar eller manipulerar bild-, ljud- eller videoinnehåll, som utgör en deepfake, måste tydligt visa att innehållet har genererats eller manipulerats på konstgjord väg . På samma sätt måste spridare av AI-system som genererar eller manipulerar text som publicerats i syfte att informera allmänheten om frågor av allmänt intresse också uppge att texten har genererats eller manipulerats på konstlad väg. 

Särskilda undantag gäller för alla de transparenskrav som nämns.

AI-byrån kommer att utfärda riktlinjer för att ge leverantörer och spridare ytterligare vägledning om skyldigheterna i artikel 50, som kommer att börja tillämpas den 2 augusti 2026.

För att bidra till efterlevnaden av vissa av dessa transparensskyldigheter har AI-byrån inlett processen med att utarbeta en uppförandekod om transparens för AI-genererat innehåll. Uppförandekoden kommer att utarbetas av oberoende experter som utses av AI-byrån, på grundval av en inkluderande process. Mer än 200 intressenter från olika sektorer bidrar till utarbetandet av uppförandekoden. Om den slutliga uppförandekoden godkänns av kommissionen kommer den att fungera som ett frivilligt verktyg för leverantörer och spridare av generativa AI-system för att visa att de fullgör sina respektive skyldigheter. 

AI-akten kommer att tillämpas två år efter ikraftträdandet den 2 augusti 2026, med undantag för följande särskilda bestämmelser:

• Förbuden, definitionerna och bestämmelserna om AI-kompetens gäller sedan den 2 februari 2025. Kommissionen har offentliggjort riktlinjer om förbud ochdefinitioner samt en levande databas över praxis för AI-kompetens och en särskild FAQ.
• Reglerna om styrning och skyldigheterna för AI för allmänna ändamål blev tillämpliga den 2 augusti 2025.
• Reglerna för AI-system med hög risk börjar gälla den 2 december 2027. Regler om AI i fysiska produkter (medicintekniska produkter, leksaker, hissar osv.) kommer att gälla från och med den 2 augusti 2028.

Den 19 november 2025 föreslog kommissionen, som en del av förslaget till den digitala samlingsförordningen, att tidsplanen för tillämpningen av högriskregler skulle anpassas genom att tillämpningsdatumet kopplas till tillgången till stödåtgärder såsom harmoniserade standarder, gemensamma specifikationer eller kommissionens riktlinjer.

Den digitala samlingsförordningen trädde i kraft den 27 juli 2026, vilket möjliggjorde en förlängning av dessa tidsfrister och därmed mer tid för att utarbeta standarder och inrätta behöriga myndigheter i EU:s medlemsstater för att övervaka genomförandet. 

Genom AI-akten inrättas ett styrningssystem i två nivåer, där nationella behöriga myndigheter ansvarar för att övervaka och verkställa regler för AI-system, medan AI-byrån ansvarar för att styra och verkställa skyldigheterna för leverantörer av AI-modeller för allmänna ändamål och för en delmängd av vissa AI-system. 

Europeiska nämnden för artificiell intelligens (AI-styrelsen) inrättades för att säkerställa samstämmighet och samarbete i hela EU. Den består av företrädare på hög nivå från medlemsstaterna och specialiserade undergrupper för nationella tillsynsmyndigheter och andra behöriga myndigheter. 

Genom AI-akten inrättas två rådgivande organ som ska bidra med expertutlåtanden: den vetenskapliga panelen och den rådgivande gruppen. Dessa organ kommer att erbjuda värdefulla insikter från berörda parter och tvärvetenskapliga forskarsamhällen, informera beslutsfattandet och säkerställa en balanserad strategi för AI-utveckling. 

Europeiska styrelsen för artificiell intelligens består av företrädare på hög nivå för medlemsstaterna och Europeiska datatillsynsmannen. Som en viktig rådgivare ger AI-styrelsen vägledning i alla frågor som rör AI-politiken, särskilt AI-reglering, politik för innovation och spetskompetens och internationellt samarbete om AI. 

AI-nämnden spelar en avgörande roll för att säkerställa ett smidigt, effektivt och harmoniserat genomförande av AI-akten. Den har specialiserade arbetsgrupper bestående av tekniska experter, nationella tillsynsmyndigheter och andra behöriga myndigheter. Nämnden är ett forum där AI-tillsynsmyndigheterna kan samordna en konsekvent tillämpning av AI-akten. 

Medlemsstaterna måste fastställa effektiva, proportionella och avskräckande sanktioner för överträdelser av reglerna för AI-system. I förordningen fastställs tröskelvärden som måste beaktas:

• Upp till 35 miljoner euro eller 7 % av den totala globala årsomsättningen under det föregående räkenskapsåret (beroende på vilket som är högst) för överträdelser av förbjudna metoder eller bristande efterlevnad i samband med uppgiftskrav
• Upp till 15 miljoner euro eller 3 % av den totala globala årsomsättningen under det föregående räkenskapsåret för bristande efterlevnad av något av de andra kraven eller skyldigheterna i förordningen
• Upp till 7,5 miljoner euro eller 1 % av den totala globala årsomsättningen under det föregående räkenskapsåret för tillhandahållande av oriktig, ofullständig eller vilseledande information till anmälda organ och nationella behöriga myndigheter som svar på en begäran
• För varje överträdelsekategori skulle tröskelvärdet vara det lägre av de två beloppen för små och medelstora företag och det högre för andra företag.

Kommissionen kan också genomdriva reglerna för leverantörer av AI-modeller för allmänna ändamål genom böter, med beaktande av tröskelvärdet:

• Upp till 15 miljoner euro eller 3 % av den totala globala årsomsättningen under det föregående räkenskapsåret för bristande efterlevnad av någon av de skyldigheter eller åtgärder som kommissionen begärt enligt förordningen.

EU:s institutioner, byråer eller organ förväntas föregå med gott exempel, och därför kommer de också att omfattas av reglerna och eventuella påföljder. Europeiska datatillsynsmannen (EDPS) kommer att ha befogenhet att ålägga dem böter vid bristande efterlevnad. 

AI-pakten, som inleddes i maj 2023, främjar samarbete mellan AI-byrån och organisationer (pelare I) och uppmuntrar industrin att frivilligt åta sig att börja genomföra AI-aktens krav före den lagstadgade tidsfristen (pelare II).

Inom den första pelaren bidrar deltagarna till att skapa en samarbetsgemenskap där de delar med sig av sina erfarenheter och kunskaper. Detta inbegriper webbseminarier som anordnas av AI-byrån och som ger deltagarna en bättre förståelse av AI-akten, deras ansvarsområden och hur de kan förbereda sig för dess genomförande. Dessa webbseminarier gör det i sin tur möjligt för AI-kontoret att samla in insikter om bästa praxis och de utmaningar som deltagarna står inför.

Inom ramen för pelare II uppmuntras organisationer att proaktivt offentliggöra de processer och den praxis som de genomför för att förutse efterlevnad, genom frivilliga utfästelser (.PDF). Utfästelser är avsedda som ”engagemangförklaringar” och kommer att innehålla åtgärder (planerade eller pågående) för att uppfylla vissa av AI-aktens krav.

De flesta regler i AI-akten (t.ex. vissa krav på AI-system med hög risk) kommer att gälla i slutet av en övergångsperiod (dvs. tiden mellan ikraftträdandet och tillämpningsdatumet). I detta sammanhang och inom ramen för AI-pakten har AI-byrån uppmanat alla organisationer att proaktivt förutse och genomföra några av de viktigaste bestämmelserna i AI-akten, i syfte att minska riskerna för hälsa, säkerhet och grundläggande rättigheter så snart som möjligt.

Mer än 3 000 organisationer har redan uttryckt sitt intresse för att ansluta sig till AI-pakten, efter en ansökningsomgång som inleddes i november 2023. Ett första informationsmöte hölls online den 6 maj med 300 deltagare. De frivilliga åtagandena undertecknades officiellt hösten 2024 och hittills har över 230 företag undertecknat utfästelserna. Den 15 december 2025 samlade AI-byrån AI-paktens utfästelser för att utvärdera de framsteg som gjorts.

Kommissionen har inrättat en servicedesk för AI-akten och en gemensam informationsplattform. Båda lanserades tillsammans med strategin för tillämpad AI och de hade redan aviserats i handlingsplanen för AI-kontinenten. SIP innehåller all relevant information, verktyg för efterlevnad och skräddarsydd vägledning om AI-akten. Den erbjuder följande:

• Vanliga frågor och resurser om AI-akten
• en regelefterlevnadskontroll, ett verktyg som utformats för att hjälpa berörda parter att avgöra om de omfattas av rättsliga skyldigheter och förstå vilka åtgärder de måste vidta för att uppfylla dem.
• AI Act Explorer, ett onlineverktyg som är utformat för att hjälpa användarna att bläddra igenom olika kapitel, bilagor och skäl i AI-akten på ett intuitivt sätt.
• Ett onlineformulär gör det möjligt för berörda parter att skicka in frågor till AI Act Service Desk – ett team av sakkunniga som arbetar i nära samarbete med AI-byrån.

AI-akten kan öka användningen av AI på två sätt:

1. Öka användarnas förtroende kommer att öka efterfrågan på AI som används av företag och offentliga myndigheter
2. Genom att harmonisera reglerna i EU:s medlemsstater kommer AI-leverantörer att få tillgång till större marknader med produkter som användare och konsumenter uppskattar och köper.

AI-akten är innovationsvänlig. Reglerna kommer endast att tillämpas när det är absolut nödvändigt och på ett sätt som minimerar bördan för de ekonomiska aktörerna, med en lätt styrningsstruktur. För små och medelstora företag föreskriver AI-akten förenklade efterlevnadsvägar för vissa betungande skyldigheter, såsom teknisk dokumentation. För att lämna utrymme för innovatörer planeras undantag för forsknings- och utvecklingsverksamhet.

AI-akten gör det dessutom möjligt att skapa regulatoriska sandlådor och  tester i verkligheten, som ger en kontrollerad miljö för att testa innovativ teknik under en begränsad tid. Dessa åtgärder främjar innovation hos företag, små och medelstora företag och nystartade företag och kommer att bidra till att skapa de rätta ramvillkoren för utveckling och spridning av AI. Ytterligare initiativ till stöd för innovation är bland annat följande:

• Nätverk av spetsforskningscentrum för AI
• Offentlig-privat partnerskap om artificiell intelligens, data och robotteknik
• Europeiska digitala innovationsknutpunkter
• Provnings- och experimentanläggningar

Syftet med AI-akten är att hantera risker för säkerhet och grundläggande rättigheter, inbegripet den grundläggande rätten till ett miljöskydd på hög nivå. Miljön är också ett av de uttryckligen nämnda och skyddade rättsliga intressena.

Under 2026 planerar kommissionen att begära att europeiska standardiseringsorganisationer tar fram ett standardiseringsresultat om rapporterings- och dokumentationsprocesserna för att förbättra AI-systemens resursprestanda. Detta inbegriper en minskning av energiförbrukningen och förbrukningen av andra resurser i AI-systemet med hög risk under dess livscykel och en energieffektiv utveckling av AI-modeller för allmänna ändamål.

Kommissionen uppmanas att lägga fram en lägesrapport om utvecklingen av standardiseringsprodukter för energieffektiv utveckling av modeller för allmänna ändamål och bedöma behovet av ytterligare åtgärder (inklusive bindande sådana). Denna skyldighet börjar två år efter den dag då AI-akten börjar tillämpas och äger rum vart fjärde år därefter.

Leverantörer av AI-modeller för allmänna ändamål, som är utbildade på stora datamängder och därför är benägna att ha hög energiförbrukning, är skyldiga att offentliggöra energiförbrukningen. När det gäller AI-modeller för allmänna ändamål med systemrisker måste energieffektiviteten bedömas.

Kommissionen ges befogenhet att utveckla en metod med lämplig och jämförbar mätning för dessa upplysningskrav.