GDPR: grunden som redan gäller
Behandlar ni personuppgifter, och det gör nästan alla, måste ni kunna svara på fyra saker: vilken laglig grund ni har, vad ni faktiskt samlar in, hur länge ni sparar det, och hur någon får sina uppgifter rättade eller raderade. För ett företag som köper in eller berikar kontaktuppgifter är den lagliga grunden den känsligaste punkten. Berättigat intresse är försvarbart för företagskontakter, men det behöver vara dokumenterat, inte förutsatt.
Använder ni underleverantörer som ser personuppgifter, till exempel en molntjänst eller en AI-leverantör, ska det finnas ett personuppgiftsbiträdesavtal med var och en. Böterna kan gå upp till fyra procent av omsättningen.
AI Act: transparensplikten träffar varje chatbot
Från den 2 augusti 2026 gäller EU:s AI Act i sina delar om transparens. I praktiken betyder det två saker som rör de flesta: en chatbot måste tala om att man pratar med en AI och inte en människa, och innehåll som AI genererat, text, bild eller ljud, ska gå att känna igen som AI-skapat.
Det här är inte frivilligt och inte något ni väljer att certifiera er för. Det är ett krav med ett datum. Böterna under AI Act är högre än under GDPR, upp till sju procent av omsättningen.
När blir det mer krävande?
AI Act delar in system efter risk. Det mesta ett litet företag använder, en chatbot eller ett assistansverktyg, hamnar i den lägre kategorin med bara transparenskravet. Men AI som används för att välja ut eller rangordna människor, till exempel i rekrytering, kan räknas som högrisk och då gälla helt andra krav. Reglerna för högrisksystem börjar tillämpas senare, den 2 december 2027, men om ni bygger något åt det hållet är det värt att utreda tidigt.
Vad vi tycker att ni ska göra först
Börja med lagen, inte med certifikaten. Se till att den lagliga grunden för era personuppgifter är dokumenterad, och att era chattbottar och AI-funktioner är märkta innan augusti 2026. Det är billigt att göra och dyrt att strunta i.
Detta är en översikt och inte juridisk rådgivning. En jurist bör bekräfta den lagliga grunden och en eventuell högriskklassning innan de blir åtaganden mot en kund.