AI-transparensreglerna gäller nu, men ansvaret ligger oftast hos leverantören

Söndagen den 2 augusti 2026 började artikel 50 i EU:s AI-förordning tillämpas, den paragraf som reglerar transparens kring AI-system. Kommissionen hann anta sina officiella riktlinjer för hur artikeln ska tolkas bara några veckor tidigare, den 20 juli, i dokumentet C(2026) 5054 final. Sedan dess har flera svenska sammanfattningar dragit slutsatsen att i princip alla företag med en chattbot eller AI-genererade bilder på sajten nu måste märka detta tydligt.

Vi har läst kommissionens riktlinjer i original, och bilden är mer nyanserad än så. För de flesta svenska webbplatsägare, e-handlare och byråkunder gäller ingen egen skyldighet alls enligt artikel 50. Men det finns sätt att omfattas ändå, och ett andra datum som är värt att känna till.

Vem bär ansvaret, leverantör eller tillhandahållare

AI-förordningen skiljer mellan två roller, och hela frågan om vem som berörs hänger på vilken av dem du faller under. En leverantör (på engelska provider) är den som utvecklar ett AI-system och släpper det på marknaden under eget namn eller varumärke, enligt artikel 3.3. En tillhandahållare (deployer) är i stället den som använder ett redan existerande AI-system under egen ledning i sin yrkesverksamhet. PTS, som har regeringens uppdrag att vara gemensam kontaktpunkt och leda en nationell samordningsfunktion för AI-förordningen, använder båda termerna ordagrant när myndigheten skriver att förordningen ska öka rättssäkerheten för "leverantörer och tillhandahållare av AI-system".

Skillnaden avgör vem som faktiskt bär transparensskyldigheterna. Artikel 50.1, om att informera användaren att hen kommunicerar med en AI, och artikel 50.2, om märkning av AI-genererat innehåll, ligger båda på leverantören. Tillhandahållaren omfattas bara av artikel 50.3 (känsloigenkänning och biometrisk kategorisering) och 50.4 (deepfakes samt text om allmänintresse).

Exemplet med chattboten

Kommissionens riktlinjer ger ett konkret exempel i punkt 11. Ett företag som tillhandahåller en generativ eller interaktiv AI-tillämpning, till exempel en chattbot, bildgenerator eller AI-agent, på EU-marknaden under eget namn eller varumärke till konsumenter eller yrkesanvändare räknas som leverantör, "including by integrating the system into their existing processes and using it accordingly without the need for modifications or additional components". Företaget som släpper systemet under sitt namn bär ansvaret, inte den som bara kopplar in det i sin verksamhet.

Har du klickat in en färdig AI-driven chattfunktion från din webbplatsbyggare, är det leverantören, byggaren bakom funktionen, som ansvarar för att chatten informerar besökaren om att hen pratar med en AI. Inte du. Vi har tidigare granskat hur väl de här funktionerna faktiskt håller i praktiken i vår genomgång av AI-webbplatsbyggare 2026, och samma ansvarsfördelning gäller här.

Så kan du ändå räknas som leverantör

Undantaget har en gräns, och den är lätt att missa. Riktlinjerna beskriver i punkt 11 hur ett företag kan glida över från tillhandahållare till leverantör. Om ett företag tar ett redan existerande generativt AI-system som en annan leverantör släppt på marknaden och modifierar det, till exempel med ny träningsdata, och sedan sätter det i drift under sitt eget namn eller varumärke, blir företaget leverantör av det nya systemet. Det är kombinationen av modifiering och eget varumärke som avgör, inte det ena för sig.

Riktlinjerna beskriver också ett annat tydligt fall. Ett företag som byggt en chattbot helt i egen regi (in-house) och satt den i drift i unionen för eget bruk under sitt eget namn, räknas per definition som leverantör av just det systemet. Har din utvecklingsavdelning byggt en egen AI-lösning för e-handel och satt den i drift under ditt eget varumärke, snarare än att bara koppla in en färdig tjänst, är det du som är leverantör av den. Båda exemplen i riktlinjerna bygger på att företaget antingen utvecklat systemet självt eller ändrat det innan det sattes i drift. Mellanläget, där någon bara sätter sitt eget namn på en oförändrad inköpt tjänst, behandlas inte uttryckligen i riktlinjerna. Där finns alltså inget klart besked att luta sig mot åt något håll.

Vad som inte kräver några åtgärder på en vanlig företagssajt

Den mest användbara delen av riktlinjerna för en vanlig webbplatsägare är listan över vad som uttryckligen faller utanför transparenskraven. Kommissionen har varit konkret här, och exemplen täcker en hel del av det som redan finns på en genomsnittlig företagssajt, inte minst om du just nu bygger eller uppdaterar en företagssajt med en webbplatsbyggare, ett sammanhang där chattbottar, produktbeskrivningar och genererade bilder ofta blandas på samma sida.

Undantaget för produktbeskrivningar har en gräns

En viktig reservation gäller just AI-skriven reklamtext och produktbeskrivningar. Riktlinjerna undantar sådan text uttryckligen, men bara "not including any claims related to e.g. health, consumer safety or sustainability". Skriver du produktbeskrivningar för kosttillskott eller skyddsutrustning, eller gör ett hållbarhetspåstående om ett material, till exempel att en förpackning är komposterbar, kan samma AI-genererade text alltså hamna innanför kraven i stället för utanför. Gränsen går vid ämnet texten handlar om, inte vid tekniken som producerat den.

Text om samhällsfrågor är ett annat läge

Driver du en bloggdel eller nyhetssida som rör det förordningen kallar frågor av allmänintresse, gäller delvis andra regler. Riktlinjerna definierar det som frågor relevanta för samhället i stort, sådant som förtjänar offentlig debatt eller granskning. Listan är bred. Den täcker politik och demokratiska processer, offentlig förvaltning, rättsväsende, grundläggande rättigheter, allmän säkerhet, folkhälsa, miljöskydd, konsumentsäkerhet samt ekonomisk, finansiell, politisk, vetenskaplig och kulturell utveckling.

Kommissionen ger två egna exempel på vad som konkret måste märkas. Det ena är en AI-genererad sammanfattning av en människoskriven artikel på en tidnings webbplats om ett beslut i en kommunfullmäktige. Det andra är AI-manipulerade delar av en livsstilsartikel som jämför olika dieters effekt på en sjukdom hos medelålders kvinnor. Båda exemplen ligger en bit från en vanlig produktsida, men driver du en innehållssajt med redaktionellt material om hälsa, ekonomi eller samhällsfrågor snarare än en ren produktkatalog, är det värt att läsa riktlinjerna själva. Det finns dock ett undantag när texten genomgått mänsklig granskning eller står under redaktionellt ansvar, vilket i praktiken skyddar traditionell journalistik och normal artikelredigering.

Övergångsregeln för befintliga system

AI Omnibus, det namn kommissionens egna riktlinjer använder för den översyn av AI-förordningen som EU antog i somras, gav en riktad övergångsregel för just märkningsskyldigheten. Enligt riktlinjernas punkt 153 gäller övergångsregeln bara skyldigheten att märka innehåll enligt artikel 50.2, och bara för generativa AI-system som redan fanns på marknaden eller togs i drift innan den 2 augusti 2026. Leverantörer av sådana befintliga system har fram till den 2 december 2026 på sig att anpassa märkningen.

Det andra datumet, 2 december

Det här datumet, 2 december, kommer sällan med i de svenska sammanfattningarna. Men det gäller bara märkningsdelen, inte informationsplikten vid direkt interaktion enligt artikel 50.1, som gällde redan från den 2 augusti. Riktlinjerna är dessutom tydliga med att ett system som är delvis interaktivt och delvis generativt bara får utnyttja övergångstiden för själva märkningsdelen, aldrig för informationsplikten.

Publicerar du gammalt material nu räknas det som nytt

Punkt 154 i riktlinjerna är värd att känna till om du sitter med ett lager AI-skrivet material i utkast. Innehåll som genererats eller manipulerats innan den 2 augusti 2026 behöver inte märkas retroaktivt bara för att förordningen börjat gälla. Publicerar du det på eller efter den 2 augusti räknas det däremot som nytt. Riktlinjerna säger uttryckligen att sådana texter "need to be labelled" om de publiceras från och med det datumet. En hög av färdigskrivna men ännu opublicerade AI-texter om samhällsfrågor blir inte automatiskt gamla bara för att de skrevs i våras.

Böterna, och det lägre taket för mindre företag

När den här typen av regler sammanfattas är det ofta bötesbeloppet som får agera skrämseleffekt. Riktlinjernas punkt 152 anger böter på upp till 15 000 000 euro eller, för företag, upp till 3 procent av den globala årsomsättningen, det som är högst av de två. Det låter kännbart, och för ett stort bolag är det tänkt att vara det.

Direkt efter den siffran följer dock en viktig reservation. För små och medelstora företag, inklusive nystartade företag, gäller i stället det lägre av de två beloppen, inte det högre. Det är en rimlig konstruktion, taket ska stå i proportion till verksamhetens storlek, men det är också den avgränsning som ofta faller bort när 15-miljonerssiffran återges som en generell varning.

Vad AI Omnibus faktiskt sköt upp

AI Omnibus nådde en politisk överenskommelse den 7 maj 2026, Europaparlamentet ställde sig bakom den 16 juni, och rådet antog den formellt den 29 juni. Ändringen sköt upp högriskreglerna i bilaga III från den 2 augusti 2026 till den 2 december 2027. För AI-system som redan omfattas av annan sektoriell produktsäkerhetslagstiftning blev det ny tidpunkt först den 2 augusti 2028.

Artikel 50 rördes inte alls i den processen. Transparensreglerna för chattbottar, AI-genererat innehåll och deepfakes låg utanför omnibusens uppskjutning och trädde i kraft som ursprungligen planerat. Uppskjutningen av högriskreglerna verkar helt enkelt ha smittat av sig på bilden av transparensreglerna i flera svenska sammanfattningar, trots att de två aldrig var kopplade till varandra i förordningstexten.

Svensk tillsyn är fortfarande under uppbyggnad

Vem som i praktiken kontrollerar att artikel 50 följs i Sverige är inte helt klarlagt i det material vi har haft tillgång till, och det är värt att vara tydlig med det snarare än att gissa. PTS har regeringens uppdrag att vara gemensam kontaktpunkt och leda en nationell samordningsfunktion, samt att agera marknadskontrollmyndighet för vissa förbjudna användningsområden och vissa högriskklassade system. Det uppdraget löper, enligt myndigheten själv, till den 31 december 2026. IMY är i sin tur marknadskontrollmyndighet med ansvar som enligt myndighetens egen formulering "bland annat gäller AI-system inom brottsbekämpning och kreditvärdering".

Ingen av de två formuleringarna pekar uttryckligen ut vem som ska granska att en vanlig chattbot på en företagssajt faktiskt informerar om att den är en AI. Vad som däremot är belagt är att IMY var huvudrapportör, alltså den myndighet som ledde framtagandet, för EDPB:s riktlinjer om webbskrapning för AI-träning, som antogs den 7 juli 2026. Du kan läsa mer om de riktlinjerna i vår genomgång av EDPB:s riktlinjer om AI-skrapning och robots.txt.

Vad du faktiskt bör göra nu

Det som faktiskt spelar roll för en svensk webbplatsägare får plats i en kort lista, inte en juridisk utredning.

• Kontrollera om chattfunktionen, bildgeneratorn eller AI-agenten på din sajt kommer från en extern leverantör under dess eget namn. Då är det leverantörens skyldighet att informera om att det är en AI, inte din.
• Har du byggt eller modifierat ett AI-system i egen regi och satt det i drift under ditt eget namn, är du själv leverantör och omfattas direkt av artikel 50.1 och 50.2.
• Granska om dina AI-skrivna produktbeskrivningar innehåller påståenden om hälsa, säkerhet eller hållbarhet. I så fall faller de utanför undantaget för reklamtext.
• Publicerar du redan färdigskrivet AI-material om samhällsfrågor efter den 2 augusti 2026 räknas det som nytt och ska märkas, oavsett när det skrevs.
• Har du ett generativt AI-system som fanns på marknaden före den 2 augusti är märkningsdelen, men inte informationsplikten, framflyttad till den 2 december 2026.

Den skarpaste konsekvensen av allt det här är också den enklaste. För de flesta svenska webbplatsägare med en färdig chattbot från sin webbplatsbyggare, AI-genererade produktbilder eller AI-skrivna produktbeskrivningar utan hälso- eller hållbarhetspåståenden förändrar den 2 augusti 2026 ingenting i praktiken. Skyldigheten ligger hos leverantören av verktyget. Den situation som faktiskt kräver ett aktivt beslut är den där du själv byggt, modifierat eller satt eget namn på ett AI-system. Då är det du som blivit leverantör, direkt skyldig enligt artikel 50.1 och 50.2.