AI Act, NIS2, DORA och GDPR – vilka krav påverkar er AI-lösning?

AI Act, NIS2 och DORA nämns ofta tillsammans, men de reglerar olika saker. AI-förordningen fokuserar på risker och ansvar i AI-system. NIS2 och den svenska cybersäkerhetslagen gäller cybersäkerhet i berörda verksamheter. DORA ställer krav på digital operativ motståndskraft i finanssektorn. GDPR gäller när personuppgifter behandlas.

En plattform kan ge tekniskt stöd för behörighet, loggning och datakontroll, men det innebär inte automatiskt att kunden uppfyller regelverken. Den konkreta användningen, organisationens roll och ansvarsfördelningen måste bedömas.

Observera: Artikeln ger en översikt och är inte juridisk rådgivning. Regelverk och vägledning förändras. Senast sakgranskad den 16 september 2026, efter att EU:s digitala omnibusförordning om AI trätt i kraft.

Fyra regelverk med olika syften

AI Act

AI Act är riskbaserad och skiljer bland annat mellan förbjudna användningar, högrisksystem, transparenskrav och system med låg eller minimal risk.[1][2]

NIS2 och cybersäkerhetslagen

NIS2 och cybersäkerhetslagen fokuserar på riskhantering, säkerhetsåtgärder, ledningens ansvar och incidentrapportering i samhällsviktiga och andra berörda sektorer.[5]

DORA

DORA harmoniserar krav på digital operativ motståndskraft för finansiella aktörer, inklusive IKT-risk, incidenter, tester och tredjepartsrisk.[7]

GDPR

GDPR reglerar behandling av personuppgifter och kräver bland annat rättslig grund, ändamålsbegränsning, dataminimering och lämplig säkerhet.[9]

Samma lösning kan omfattas av flera regelverk, men av olika skäl.

Att stödja ett krav är inte samma sak som att en kund automatiskt uppfyller regelverket.

AI Act: risk, transparens och ansvar

AI-förordningen, förordning (EU) 2024/1689, trädde i kraft den 1 augusti 2024 och börjar tillämpas stegvis.[2] Tidslinjen ändrades i juli 2026 genom den digitala omnibusförordningen om AI, förordning (EU) 2026/1744, som trädde i kraft den 27 juli 2026. Ändringen skjuter bland annat upp kraven för högrisksystem.[3][4]

Så ser tidslinjen ut efter ändringen:[1][3][4]

• 2 februari 2025: Förbuden mot vissa AI-användningar och bestämmelsen om AI-kunnighet började gälla.

• 2 augusti 2025: Reglerna för AI-modeller för allmänna ändamål (GPAI) och för styrning började gälla.

• 2 augusti 2026: Förordningen började tillämpas generellt, bland annat transparensreglerna i artikel 50.

• 2 december 2026: Nya förbud börjar gälla mot AI som genererar intima bilder utan samtycke eller material som visar sexuella övergrepp mot barn. Samma datum löper övergångstiden ut för maskinläsbar märkning av AI-genererat innehåll i generativa system som fanns på marknaden före den 2 augusti 2026.

• 2 december 2027: Kraven på högrisksystem enligt bilaga III börjar gälla, till exempel system för rekrytering, utbildning, kritisk infrastruktur och tillgång till väsentliga tjänster. Tidigare datum var 2 augusti 2026.

• 2 augusti 2028: Kraven på högrisksystem som ingår i produkter som omfattas av EU:s produktlagstiftning enligt bilaga I börjar gälla. Tidigare datum var 2 augusti 2027.

Uppskjutningen ger mer tid, men tar inte bort kraven. Riskhantering, dokumentation och datakvalitet tar tid att bygga upp, så organisationer som planerar system som kan bli högrisk bör börja förbereda sig redan nu. Kontrollera alltid den aktuella tidslinjen och den rättsliga texten.

Först behöver organisationen fastställa om lösningen är ett AI-system enligt förordningen och vilken roll organisationen har, exempelvis leverantör eller tillhandahållare (deployer). Därefter bedöms användningen.

System inom bland annat rekrytering, utbildning, kritisk infrastruktur och tillgång till vissa väsentliga tjänster kan vara högrisk beroende på funktion och sammanhang. Kraven kan omfatta riskhantering, datakvalitet, dokumentation, loggning, information till användare, mänsklig kontroll, robusthet och cybersäkerhet.

Transparensreglerna gäller sedan den 2 augusti 2026. De kan kräva att personer informeras när de interagerar med vissa AI-system eller när visst innehåll är genererat eller manipulerat.

AI-kunnighet är fortfarande en organisatorisk fråga. Efter ändringen ska leverantörer och tillhandahållare vidta åtgärder för att stödja utvecklingen av AI-kunnighet hos sin personal. Tidigare formulering var att de så långt som möjligt skulle säkerställa en tillräcklig nivå.[3] Personalen behöver fortfarande relevant kompetens för sin roll.

AI-assistent eller AI-agent – vad är skillnaden?

NIS2 och den svenska cybersäkerhetslagen

NIS2 har genomförts i Sverige genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), som gäller sedan den 15 januari 2026. Verksamheter i 18 sektorer kan omfattas. Den exakta omfattningen beror bland annat på sektor och verksamhetens storlek. NCSC:s vägledning beskriver vilka verksamheter som berörs och vilka krav som gäller för bland annat anmälan, riskhantering och incidentrapportering.[5]

En AI-lösning blir en del av organisationens informations- och systemlandskap. Relevanta frågor är därför:

• Ingår lösningen i en samhällsviktig eller kritisk process?

• Vilka leverantörs- och molnberoenden finns?

• Hur hanteras identitet, sårbarheter, kontinuitet och backup?

• Kan incidenter upptäckas, bedömas och rapporteras i tid?

• Är ledningens ansvar och uppföljning tydliga?

ENISA publicerade sin tekniska vägledning för NIS2 i juni 2025. Den riktar sig främst till digital infrastruktur, IKT-tjänstehantering och digitala leverantörer, men kan även hjälpa andra verksamheter att omsätta krav till konkreta kontroller. Organisationen behöver anpassa kontrollerna till sin egen riskbild.[6]

DORA för finansiella verksamheter

DORA, förordning (EU) 2022/2554, började tillämpas den 17 januari 2025 och gäller de finansiella entiteter som omfattas av förordningen. Fokus ligger på styrning av IKT-risk, incidenthantering, tester, informationsdelning och tredjepartsrisk. DORA innehåller också en tillsynsmekanism för IKT-tredjepartsleverantörer som är kritiska för finanssektorn, till exempel stora molnleverantörer.[7][8]

För en AI-lösning behöver en finansiell verksamhet bedöma om den stödjer en kritisk eller viktig funktion, vilka IKT-tredjeparter som ingår och hur kontinuitet och exit kan säkerställas. En leverantör av en modell via API kan vara en del av en längre kedja tillsammans med plattform, moln och loggtjänster.

Avtal behöver ge tillräcklig information, åtkomst, säkerhetskrav och stöd för incidenter och avslut. DORA är inte ett AI-regelverk, men AI-tjänster som används i verksamheten omfattas av organisationens IKT-riskhantering.

Säker dokumentanalys med AI i reglerade verksamheter

GDPR gäller när personuppgifter behandlas

Om promptar, dokument, loggar eller utdata innehåller personuppgifter gäller GDPR. Organisationen behöver definiera ändamål och rättslig grund, minimera data, säkerställa transparens och hantera de registrerades rättigheter.

Automatiserade beslut med rättsliga eller liknande betydande effekter kan aktualisera särskilda regler. En konsekvensbedömning (DPIA) kan krävas när behandlingen sannolikt leder till hög risk. IMY:s vägledning betonar att dataskydd ska integreras i hela livscykeln.[9]

GDPR-bedömningen är separat från AI-förordningens riskklassning. Ett system kan vara lågrisk enligt AI Act men ändå behandla känsliga personuppgifter.

Kommissionen föreslog i november 2025 ändringar i GDPR i ett separat digitalt omnibuspaket, bland annat om definitionen av personuppgifter och om användning av data för AI-utveckling. Förslaget är ännu inte antaget, och tills vidare gäller GDPR i sin nuvarande form.[10]

Vad händer med företagets data när ni använder AI?

Vilka krav bör ställas på plattform och leverantör?

• Dokumenterat dataflöde, regioner, lagringstider och underleverantörer.

• Federerad identitet, minsta behörighet och separerade administratörsroller.

• Loggning och spårbarhet som stödjer revision utan onödiga personuppgifter.

• Versionshantering för modell, prompt, datakällor och agentverktyg.

• Testning av kvalitet, robusthet, cybersäkerhet och korrekta avslag.

• Rutiner för incidenthantering med kontaktvägar, tidslinje och kundinformation.

• Plan för kontinuitet, backup och exit.

• Dokumentation av ansvarsfördelningen mellan kund, plattform och modelleverantör.

Begär bevis i form av arkitektur, avtal och processer. Certifieringar kan vara relevanta, men de ersätter inte en bedömning av den faktiska lösningen.

Behörighetsstyrd AI med Microsoft Entra ID – så fungerar åtkomsten

Lokala språkmodeller eller molnmodeller – hur väljer man?

Läs mer om säkerheten i Violet AI Plattform

Dokumentation och ansvar

Skapa ett register över användningsfall med ändamål, ägare, data, modell, användare, riskbedömning och beslut. Dokumentera ändringar och testresultat. För högrisksystem kan mer omfattande dokumentation krävas.

Ledningen ska förstå risk och ansvar. Verksamheten äger användningen, IT äger systemlandskapet, informationsägare ansvarar för data och säkerhet och juridik ställer krav och följer upp. Leverantören ansvarar för de delar som anges i avtalet.

AI i ledningsgruppen: 10 frågor som tar er från idé till affärsvärde

När behövs juridisk bedömning?

Involvera juridisk expertis och dataskyddskompetens när lösningen påverkar individer, behandlar känsliga personuppgifter, används inom en reglerad sektor eller kan omfattas av reglerna för AI-system med hög risk.

Gör bedömningen före en pilot med verkliga data, inte efter utvecklingen.

Kontrollfrågor:

• Vilka lagar och sektorsregler gäller för organisationen och processen?

• Vilken roll har vi enligt AI Act?

• Kan systemet vara högrisk eller omfattas av transparenskrav, och från vilket datum gäller kraven i så fall?

• Behandlas personuppgifter och krävs en DPIA?

• Omfattas verksamheten av cybersäkerhetslagen eller DORA?

• Vilka risker finns kopplade till tredjeparter och överföringar?

• Vem fattar beslut om godkännande och förändring?

Från idé till pilot: vad är PoC, prototyp och pilot?

Källor

1. Europeiska kommissionen, AI Act – regelverket för AI (uppdaterad 3 augusti 2026): https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

2. Förordning (EU) 2024/1689 (AI-förordningen), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/swe

3. Förordning (EU) 2026/1744 (digital omnibusförordning om AI), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/swe

4. Europeiska unionens råd, Artificial Intelligence: Council gives final green light to simplify and streamline rules (29 juni 2026): https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/

5. Nationellt cybersäkerhetscenter, Det här är cybersäkerhetslagen: https://www.ncsc.se/sv/radgivning-och-stod/cybersakerhetslagen-nis2/det-har-ar-cybersakerhetslagen/

6. ENISA, NIS2 Technical Implementation Guidance (juni 2025): https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance

7. Förordning (EU) 2022/2554 (DORA), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/swe

8. Europeiska kommissionen, Digital operational resilience – DORA: https://finance.ec.europa.eu/digital-finance/cyber-resilience_en

9. IMY, Vägledning om GDPR och AI: https://www.imy.se/verksamhet/dataskydd/innovationsportalen/vagledning-om-gdpr-och-ai/

10. Europaparlamentet, Legislative Train Schedule – Digital Omnibus Regulation Proposal: https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-digital-package