AI-lagen blir skarp om fyra dagar. Ni är redan berörda.

Om fyra dagar, den 2 augusti 2026, börjar EU:s AI-förordning gälla på riktigt. Då blir skyldigheterna för högrisksystem bindande — artikel 9–17 för leverantörer, artikel 26 för er som använder systemen. Böterna har egentligen funnits sedan augusti 2025: upp till 35 miljoner euro eller 7 procent av global omsättning för förbjudna tillämpningar, 15 miljoner eller 3 procent för övriga överträdelser. Skillnaden nu är att kraven för första gången får något verkligt att pröva sig mot.

EU-kommissionen har föreslagit att skjuta upp delar av tillämpningen till 2027, det så kallade Digital Omnibus-förslaget. Men förslaget är inte beslutat. Tills det är det gäller den 2 augusti.

Så här ser de fyra risknivåerna ut, och var era system sannolikt hamnar:

De flesta ledningsgrupper vi möter är övertygade om att det här är någon annans problem. I själva verket är det ert — av ett av tre skäl.

Ni tror att ni knappt använder AI.

Organisationen har Copilot i Microsoft 365-licensen, kanske någon enstaka pilot, i övrigt inget beslutat. Problemet ligger i det ni inte har bestämt: 93 procent av all ChatGPT-användning på företag sker via privata konton, helt utanför er styrning, era personuppgiftsbiträdesavtal och er loggning. Nästan hälften av medarbetarna skulle fortsätta använda sina egna AI-konton även efter ett uttryckligt förbud. Copilot i sig klassas normalt som lågrisk för vardagsuppgifter, men klassningen ändras så fort verktyget används i HR-beslut eller kundbeslut — och er faktiska riskexponering avgörs av vad medarbetarna gör, inte av vad ni har godkänt. En ofullständig bild av vad som faktiskt används är i sig ett regelbrott från den 2 augusti. "Vi visste inte" är inget försvar — det är precis det som är felet.

Ni tror att ni är förskonade eftersom ni själva inte "kör AI".

Ni har istället lagt ut rekrytering, marknadsföring, ekonomi eller IT-utveckling på leverantörer som använder AI för att hantera er data. Det här är den mest underskattade av de tre riskerna. Rekrytering och andra anställningsbeslut är uttryckligen klassade som högrisk i förordningens bilaga III. Artikel 26 lägger ansvaret på den som använder utfallet av ett högrisksystem i sin verksamhet — och det är ofta ni, inte er leverantör, som räknas som användare ("deployer") i lagens mening när ni agerar på en AI-driven rekryteringsbedömning. Ansvaret omfattar att informera berörda medarbetare, spara loggar i minst sex månader och säkerställa mänsklig tillsyn — sådant ni inte kan göra utan information som bara er leverantör har. Workday har sedan 2024 en pågående grupptalan mot sig (Mobley v. Workday) där kärandena hävdar att bolagets rekryteringsverktyg diskriminerade sökande på ålder, ras och funktionsnedsättning. Inget är avgjort, men fallet visar exakt den mekanik som gör att kundföretagen — inte bara leverantören — riskerar att stå som ansvarig part. Har ni avtal med era leverantörer som tydligt fördelar det ansvaret och innehåller skadeslöshetsklausuler? Om ni inte vet, är svaret nej.

Ni anser er redan ligga i den övre tredjedelen av AI-mogna bolag.

Det är ingen trygg position — snarare tvärtom. Ju mer AI ni faktiskt använder, desto fler blir de luckor artikel 26 kräver att ni täcker: tilldelad mänsklig tillsyn, loggning, konsekvensbedömning, information till berörda. IMY trappar medvetet upp sin AI-tillsyn under 2026, och tillsynsmyndigheter söker sig av naturliga skäl först till de bolag som syns mest — de som redan ligger längst fram. Samma finans- och säljfunktioner som enligt McKinsey levererar högst avkastning på AI är också de där den stora användningsvolymen skapar störst exponering om styrningen inte hängt med. Att ligga före i adoption utan att ligga före i styrning är det dyraste läget att befinna sig i, inte det säkraste.

Poängen är inte att skrämmas. Poängen är att alla tre grupper delar samma grundproblem: ingen av dem vet med säkerhet vad som faktiskt pågår i den egna organisationen. Det är den luckan tillsynsmyndigheter, domstolar och — på sikt — konkurrenter kommer att hitta först.

Tre saker att göra den här veckan, en per grupp: inventera den faktiska AI-användningen, inklusive den ni inte godkänt. Begär skriftlig ansvarsfördelning och dokumentation från varje leverantör som hanterar HR-, marknads-, ekonomi- eller utvecklingsdata med AI. Och om ni redan är AI-mogna — granska er loggning, tillsyn och konsekvensbedömning innan tillsynsmyndigheten gör det åt er.

Nästa vecka: Varför "vilka avdelningar kan vi skära bort med AI" är fel fråga att ställa — och var avkastningen på fem års sikt faktiskt finns.