Checklista · oktober 2026

AI-förordningens artikel 50 och GDPR: en checklista för små företag

Fem steg att gå igenom innan ni låter människor möta en chattbot, en AI-agent eller AI-genererat innehåll. Skriven för små produktteam i Sverige. Den täcker transparensreglerna i artikel 50 i EU:s AI-förordning, som gäller sedan den 2 augusti 2026, och GDPR-frågorna som följer med dem.

Det här är teknisk förberedelse, inte juridisk rådgivning. Kontrollera de gällande rättsakterna, inklusive ändringar, och myndigheternas vägledning, och låt en jurist granska era slutsatser.

Steg 1

Kartlägg alla AI-system ni bygger eller använder

Börja med en enkel lista. De flesta små företag använder mer AI än de tror.

Chattbotar och AI-agenter som möter kunder (support, försäljning, bokning)
Funktioner som genererar text, bild, ljud eller video åt användare
Interna verktyg som poängsätter, rangordnar eller profilerar människor (sökande, kunder, anställda)
AI-tjänster från tredje part i er produkt, och företaget bakom var och en
För varje system: vilka personuppgifter som går in, vad som kommer ut och var loggarna lagras
Kontrollera varje system mot de förbjudna AI-användningsområdena i artikel 5 och högriskområdena i bilaga III, till exempel rekrytering eller kreditprövning av privatpersoner. Checklistan täcker inte de reglerna; om någon av dem kan bli aktuell, rådgör med en jurist.

Steg 2

Avgör om ni är leverantör eller tillhandahållare

Era skyldigheter enligt AI-förordningen beror på er roll. Ni kan ha olika roller för olika system, och båda rollerna för samma system.

Har ni utvecklat systemet, eller låtit utveckla det, och släppt ut det på marknaden eller tagit det i bruk i eget namn eller under eget varumärke? Då är ni sannolikt leverantör.
Har ni byggt en egen chattbot eller agent på någon annans modell, till exempel via ett API? Då är ni normalt leverantör av det systemet (artikel 3.3 och 3.68).
Använder ni ett färdigt AI-system från någon annan under eget överinseende i verksamheten? Då är ni sannolikt tillhandahållare.
För AI-system med hög risk (artikel 25): ni kan bli leverantör om ni sätter ert namn eller varumärke på systemet, ändrar det väsentligt eller ändrar ett systems avsedda ändamål så att det blir ett högrisksystem.
Båda rollerna: vidta åtgärder för att främja AI-kunnigheten hos personal och andra som använder AI-systemen för er räkning (artikel 4, i lydelsen enligt förordning (EU) 2026/1744). Förordningen kräver ingen viss nivå hos varje person.
Skriv ner er slutsats och resonemanget för varje system.

Steg 3

Gå igenom transparenskraven i artikel 50

Artikel 50 gäller sedan den 2 augusti 2026, även för system som redan används, med en övergångsperiod som anges nedan. Sanktionsavgifterna kan uppgå till 15 miljoner euro eller 3 procent av den globala årsomsättningen, beroende på vilket belopp som är högst; för små och medelstora företag, inklusive uppstartsföretag, gäller det lägre beloppet (artikel 99). I Sverige bestäms sanktionerna i en kompletterande lag som regeringen förbereder. Till och med den 31 december 2026 är PTS, IMY, Finansinspektionen, Läkemedelsverket och Swedac behöriga myndigheter enligt AI-förordningen, med PTS som gemensam kontaktpunkt.

Chattbotar och agenter som interagerar med människor: utforma dem så att människor får veta att de interagerar med ett AI-system, om det inte är uppenbart av sammanhanget (leverantörens skyldighet).
Genererat ljud, bild, video eller text: märk resultatet i maskinläsbart format så att det går att upptäcka som AI-genererat (leverantörens skyldighet). Det gäller inte system som bara hjälper till med vanlig redigering eller inte väsentligt ändrar indata. System som släpptes ut på marknaden före den 2 augusti 2026 har till den 2 december 2026 på sig att uppfylla märkningskravet (förordning (EU) 2026/1744).
Känsloigenkänning eller biometrisk kategorisering: informera de personer som utsätts för det (tillhandahållarens skyldighet). Kontrollera artikel 5 först: känsloigenkänning på arbetsplatser och inom utbildning är förbjuden, utom av medicinska skäl eller säkerhetsskäl, och detsamma gäller kategorisering som drar slutsatser om till exempel ras, religion eller sexuell läggning. Annan användning räknas ofta som hög risk (bilaga III), så rådgör med en jurist innan ni går vidare.
Deepfakes: upplys om att innehållet har genererats eller manipulerats artificiellt (tillhandahållarens skyldighet). För uppenbart konstnärliga, kreativa, satiriska eller fiktiva verk räcker en lämplig upplysning som inte hindrar visningen eller upplevelsen av verket. Från den 2 december 2026 förbjuds också AI-system som är avsedda för, eller saknar rimliga skydd mot, att ta fram realistiska intima eller sexuellt explicita bilder, videor eller ljud av en identifierbar person utan dennes uttryckliga samtycke, liksom AI-genererat material med sexuella övergrepp mot barn (artikel 5.1 ba och bb, införda genom förordning (EU) 2026/1744).
AI-genererad text som publiceras för att informera allmänheten i frågor av allmänt intresse: upplys om det, om inte texten har genomgått mänsklig granskning eller redaktionell kontroll och en fysisk eller juridisk person har det redaktionella ansvaret för publiceringen (tillhandahållarens skyldighet).
För all information ovan: lämna den på ett tydligt och urskiljbart sätt senast vid den första interaktionen eller exponeringen, och se till att den uppfyller tillämpliga tillgänglighetskrav (artikel 50.5).

Steg 4

Besvara GDPR-frågorna

En AI-funktion innebär oftast en ny behandling av personuppgifter. Det här är typiska första frågor från en granskare eller från IMY.

Vilken rättslig grund har varje behandling, inklusive konversationsloggarna?
Har ni personuppgiftsbiträdesavtal med varje biträde, även företaget bakom AI-tjänsten?
Använder företaget bakom AI-tjänsten era uppgifter för att träna sina egna modeller? Då blir det personuppgiftsansvarigt för den användningen, inte bara ert biträde, och utlämnandet behöver en egen rättslig grund. Kontrollera villkor och inställningar.
Lämnar personuppgifter EU/EES, och med vilken grund för överföringen?
Innehåller promptar och loggar bara de personuppgifter ni faktiskt behöver, och hur länge sparas de?
Står det i er integritetspolicy att AI används, till vad och vilka företag som tar emot uppgifterna?
Kan ni hantera begäranden om tillgång och radering som omfattar AI-loggar och sparade konversationer?

Steg 5

Kontrollera om ni behöver en konsekvensbedömning

En konsekvensbedömning avseende dataskydd (artikel 35 i GDPR) krävs när behandlingen sannolikt leder till en hög risk för människors rättigheter och friheter. Enligt IMY:s vägledning ska ni som huvudregel göra en före lansering om minst två av kriterierna stämmer, och ibland räcker ett.

Ny teknik eller nya organisatoriska lösningar, till exempel generativ AI eller autonoma agenter
Utvärdering eller poängsättning av människor, inklusive profilering
Automatiserade beslut med rättsliga eller liknande betydande följder
Systematisk övervakning av människor
Känsliga eller mycket personliga uppgifter, till exempel hälsouppgifter, biometriska uppgifter, ekonomiska uppgifter eller platsuppgifter
Behandling i stor omfattning
Samkörning av datamängder på sätt som de registrerade inte rimligen kan förvänta sig
Personer i utsatt läge, till exempel barn, anställda eller andra i beroendeställning
Behandling som kan hindra personer från att använda en tjänst, ingå ett avtal eller utöva en rättighet

Källor

Vill ni ha hjälp att kartlägga det här i er kodbas?

Granskningen kartlägger vilka skyldigheter i artikel 50 som gäller för er produkt och letar efter GDPR-brister i er kod och era dataflöden. Ni får en skriftlig teknisk rapport att ta med till er jurist eller ert dataskyddsombud. Börja med ett kostnadsfritt introsamtal på 30 minuter.

Boka introsamtal