Hur har EU:s digitala omnibus om AI förändrat AI-lagen?

By Christie Rae • 22 september 2026 • 8 minuters läsning

Europeiska kommissionen publicerade det digitala omnibuspaketet i slutet av 2025, med förslag som syftar till att förenkla och harmonisera delar av EU:s digitala lagstiftningsram, med förslag på ändringar av GDPR , NIS 2 och mer.

Medan den bredare digitala omnibusen fortfarande är under förhandling, påskyndades den separata digitala omnibusen om AI (AI Omnibus) eftersom den föreslog ändrade tidsfrister för skyldigheter gällande AI-system med hög risk enligt EU:s AI-lag. Dessa föreslagna ändringar behövde träda i kraft innan de första skyldigheterna gällande AI med hög risk enligt EU:s AI-lag skulle gälla den 2 augusti 2026.

Den 7 maj 2026 nådde Europaparlamentets och rådets förhandlare en preliminär överenskommelse om AI-omnibusen, som skjuter upp efterlevnadsfristerna för högrisk-AI-system till 2027 och 2028. Den slutliga förordningen trädde i kraft den 27 juli 2026.

Så, vad har förändrats? I den här bloggen ska vi utforska några av de viktigaste ändringarna som AI Omnibus gör i EU:s AI-lag och vad de innebär för organisationer.

Reviderade efterlevnadsfrister för högrisk-AI-system

Enligt AI Omnibus har leverantörer och driftsättare av högrisk-AI-system en förlängd tidsram för att säkerställa efterlevnad.

Från och med den 2 december 2027 måste AI-system som klassificeras som högrisk enligt artikel 6(2) och bilaga III , i den mån deras användning är tillåten enligt relevant EU-rätt eller nationell rätt, kunna visa överensstämmelse.

Detta omfattar AI-system som används inom områden som:

Biometri

Kritisk infrastruktur

Utbildning och yrkesutbildning

Anställning, arbetstagarledning och tillgång till egenföretagande

Tillgång till och åtnjutande av viktiga privata tjänster och viktiga offentliga tjänster och förmåner

Brottsbekämpning

Migrations-, asyl- och gränskontrollhantering

Rättskipning och demokratiska processer.

Att vara listad i bilaga III betyder inte automatiskt att alla AI-system som används inom ett av dessa områden kommer att kvalificeras som högrisk. Klassificeringsreglerna och undantagen i artikel 6 måste också beaktas.

Och från och med den 2 augusti 2028 kommer högriskskyldigheter att gälla för AI-system enligt artikel 6(1) och bilaga I. Detta inkluderar högrisk-AI-system som används som säkerhetskomponenter i vissa reglerade produkter, eller som själva är sådana produkter, där den relevanta produkten omfattas av ett krav på överensstämmelsebedömning av tredje part. Detta inkluderar:

Leksaker

Hissar

Medicinska apparater

Fordon.

AI-omnibusen begränsar också definitionen av vad som kvalificeras som säkerhetskomponenter. Produkter med AI-funktioner som endast hjälper användare eller optimerar prestanda kommer inte automatiskt att omfattas av högriskskyldigheter. Fokus ligger istället på om deras fel eller funktionsfel skapar säkerhets- eller hälsorisker.

En utökad rättslig grund för behandling av särskilda kategorier av personuppgifter

AI-omnibusen utvidgar den rättsliga grunden för behandling av känsliga uppgifter för att upptäcka och minska partiskhet till att även omfatta driftsättare av AI-system med hög risk samt leverantörer och driftsättare av andra AI-system och -modeller. Tidigare var denna rättsliga grund endast tillämplig på leverantörer av AI med hög risk.

Detta är inte ett generellt tillstånd att behandla känslig information. Behandlingen måste uppfylla villkoren i AI-lagen och, beroende på omständigheterna, vara nödvändig. Organisationer måste också implementera skyddsåtgärder, inklusive åtkomstkontroller, säkerhets- och integritetsskyddande åtgärder samt begränsningar för återanvändning och lämplig radering av data.

Begränsad respitperiod för AI-genererat innehållsmärkning

AI-omnibusen har generellt sett inte skjutit upp AI-lagens transparenskrav för AI-genererat innehåll.

Transparensskyldigheter enligt artikel 50 gäller generellt från och med den 2 augusti 2026. Detta inkluderar kravet på leverantörer av vissa AI-system som genererar syntetiskt ljud-, bild-, video- eller textinnehåll att säkerställa att utdata är markerade i ett maskinläsbart format och kan detekteras som artificiellt genererade eller manipulerade.

AI-omnibusen inför dock en begränsad övergångsperiod för system som redan finns på marknaden. Leverantörer av relevanta system som släpper ut dem på marknaden före den 2 augusti 2026 har fram till den 2 december 2026 på sig att uppfylla kraven på maskinläsbar märkning i artikel 50(2).

För organisationer är den viktiga skillnaden att den 2 december 2026 är en begränsad respitperiod för vissa befintliga system, inte det allmänna startdatumet för transparenskraven i AI-lagarna.

FRIA:er kan utnyttja DPIA:er

Enligt AI Omnibus kan konsekvensbedömningar av grundläggande rättigheter (FRIA) nu innehålla korshänvisningar till eller inkludera relevanta avsnitt i en konsekvensbedömning av dataskydd (DPIA) som utförs enligt den allmänna dataskyddsförordningen eller direktivet om brottsbekämpning.

De två bedömningarna förblir separata, men organisationer som redan utför DPIA:er kan eventuellt återanvända relevant analys snarare än att i onödan duplicera den.

Förbud mot skadliga AI-system

Omnibus inför ett förbud mot AI-system som genererar icke-samtyckande intimt material eller material med sexuella övergrepp mot barn (CSAM) från och med den 2 december 2026.

Förbudet gäller utsläppande av AI-system på EU-marknaden i syfte att skapa eller manipulera detta material. Det kan också gälla när detta är ett rimligen förutsebart och reproducerbart resultat av systemet och systemet inte har rimliga och tillräckliga tekniska säkerhetsåtgärder för att förhindra sådan användning.

För distributionsföretag gäller förbudet när de använder ett AI-system i syfte att generera eller manipulera det förbjudna materialet.

Små och medelstora företags flexibilitet utökad till små medelstora företag

AI Omnibus introducerar en ny kategori av små medelstora företag (SMC) och utökar flera regleringsflexibiliteter som tidigare var tillgängliga för små och medelstora företag till dessa företag.

Dessa inkluderar:

Möjligheten att använda förenklad teknisk dokumentation för AI-system med hög risk

Proportionellt genomförande av vissa krav på kvalitetsledningssystem

Sänkt maximal bötesbelopp, med relevanta böter för SMC:er begränsade till det lägsta av den tillämpliga procentsatsen eller det fasta monetära beloppet.

Dessa ändringar innebär inte att alla undantag för små och medelstora företag automatiskt gäller för små och medelstora företag. Snarare utvidgar AI Omnibus specifika förenklings- och proportionalitetsåtgärder till denna nya företagskategori.

andra överväganden

Ändringar för tillsynsmyndigheter: AI-omnibusen utökar och förtydligar EU:s AI-byrås exklusiva tillsyns- och verkställighetsroll. Den har exklusiv behörighet för vissa AI-system som bygger på generella AI-modeller där modellen och systemet utvecklas av samma leverantör eller inom samma företag, med förbehåll för vissa angivna undantag.

Dess exklusiva behörighet omfattar även AI-system som utgör eller är integrerade i mycket stora onlineplattformar eller sökmotorer som regleras enligt lagen om digitala tjänster (DSA). Detta är snävare än att tillämpas på AI-system som omfattas av DSA:s tillämpningsområde.

AI-kunskap: AI Omnibus reviderar också AI-lagens krav på AI-kunskap. Leverantörer och distributionsföretag måste vidta åtgärder för att stödja utvecklingen av AI-kunskap bland personal och andra som driver eller använder AI-system för deras räkning. Den reviderade bestämmelsen klargör att organisationer inte behöver garantera en viss nivå av AI-kunskap för varje individ.

Förlängd tidsfrist för regleringssandlådor: Tidsfristen för medlemsstaterna att säkerställa att deras behöriga myndigheter har minst en nationell regleringssandlåda för AI i drift förlängs från den 2 augusti 2026 till den 2 augusti 2027. AI-kontoret kan också inrätta en regleringssandlåda på EU-nivå för AI-system som inte uppfyller dess behörighet.

Vad detta innebär för organisationer

Ändringarna i EU:s AI-lag i AI-omnibusförordningen effektiviserar eller förtydligar i stort sett befintliga krav. Avgörande är att de inte skjuter upp AI-lagen som helhet.

Som ett första steg föreslår vi att ni granskar ert nuvarande AI-styrningsprogram, mappar det till ändringarna i AI Omnibus och identifierar eventuella områden som behöver revideras. Se till att ni har överblick över vilka AI-system ert företag använder och var de används.

Transparensmärkning är ett område som kräver särskild uppmärksamhet nu. Transparenskraven enligt artikel 50 har generellt gällt sedan den 2 augusti 2026. Om din organisation tillhandahåller eller driftsätter system för att generera innehåll som omfattas av informationskraven, identifiera vilka leverantörs- eller driftsättarskyldigheter som gäller. Leverantörer av relevanta system som redan fanns på marknaden före den 2 augusti 2026 bör också avgöra om de omfattas av den begränsade övergångsperioden som slutar den 2 december 2026.

Organisationer som använder AI bör också se över sin strategi för AI-kunskap efter den ändrade artikel 4 och säkerställa att lämpliga åtgärder finns på plats för att stödja personal som driver eller använder AI-system.

För organisationer som ansvarar för högrisksystem enligt bilaga III ger de reviderade tidsfristerna ytterligare implementeringstid, men de tar inte bort de underliggande kraven. Organisationer kan redan ha arbetat för att uppfylla den ursprungliga tidsfristen den 2 augusti 2026, medan organisationer som ansvarar för system enligt bilaga I arbetade mot AI-lagens senare produktrelaterade tidsplan.

Avgörande är att de reviderade tidsfristerna inte innebär någon uppskov från efterlevnadskraven, och den extra tiden bör användas till att stärka efterlevnadsprogram, bekräfta klassificeringar av AI-system, etablera styrnings- och dokumentationsprocesser, testa kontroller och åtgärda brister i god tid före de nya tidsfristerna den 2 december 2027 och 2 augusti 2028.