EU AI Act, förordning (EU) 2024/1689, diskuteras ofta som om den vore en enda framtida deadline. Det är den inte. Den börjar tillämpas i etapper, och två av dem har redan inträffat. För ett europeiskt SaaS-företag är de delar som spelar roll i dag artikel 4 om AI-kunnighet och artikel 50 om transparens.
Båda är praktiska snarare än tekniska. Båda behöver någon som äger dem, och båda är lätta att missa, helt enkelt för att ingen har märkt hur mycket AI som redan används i företaget.
En kommentar före detaljerna: den här artikeln förklarar vad reglerna säger och hur företag brukar hantera dem. Det är inte juridisk rådgivning. Tala med en jurist om beslut som gäller just ditt företag.
Vad kräver artikel 4 och 50 i EU AI Act av ett SaaS-företag?
Artikel 4, som gäller sedan den 2 februari 2025, kräver att företag vidtar åtgärder så att de som använder AI har tillräcklig AI-kunnighet; intern dokumentation av utbildningen räcker. Artikel 50, som gäller sedan augusti 2026, kräver att AI som interagerar med människor talar om att den är AI om det inte är uppenbart, och att deepfakes redovisas.
Inget av dem kräver ett certifikat eller en ny avdelning. I praktiken kräver de medvetenhet, dokumentation och ärlig märkning.
Artikel 4: AI-kunnighet i praktiken
Artikel 4 gäller sedan den 2 februari 2025, och nationella myndigheter har utövat tillsyn enligt AI Act sedan augusti 2026. Den kräver att företag vidtar åtgärder så att de som arbetar med AI för deras räkning förstår den tillräckligt väl för att använda den på rätt sätt: vad den är bra på, var den brister och vilken data som aldrig får matas in i den.
Två saker missförstås ofta. För det första krävs inget certifikat. Det finns ingen officiell kurs att köpa och inget prov att klara. För det andra räcker intern dokumentation: vilken utbildning och vägledning som gavs, till vem och när.
För ett SaaS-företag är det svåra inte utbildningen. Det är att veta var AI faktiskt används. Microsoft och LinkedIn Work Trend Index 2024 visade att 75% av kunskapsarbetarna använder generativ AI i arbetet och att 78% av AI-användarna tar med sina egna verktyg. I ett typiskt SaaS-företag innebär det supportmedarbetare som skriver utkast till svar, säljare som skriver prospekteringsmejl, utvecklare som använder kodassistenter och ekonomipersonal som klistrar in siffror i ett chattfönster, ofta utan godkänt verktyg och utan vägledning.
Ett fungerande arbetssätt har tre steg:
- Inventering. Lista de AI-verktyg som används, godkända eller inte, vem som använder dem och vilken företags- eller kunddata som går in i dem.
- Vägledning per roll. Kort, konkret vägledning för varje team: vad verktygen får användas till, vilken data som måste hållas utanför och hur resultatet ska kontrolleras. Ett supportteam och ett ekonomiteam behöver olika regler.
- Dokumentation. En daterad förteckning över vem som har fått vilken vägledning eller utbildning, som uppdateras när verktyg eller roller ändras.
Det här är också god verksamhetsstyrning, lag eller inte. Ett företag som vet vart dess data tar vägen är ett företag som ärligt kan besvara en kunds säkerhetsenkät.
Artikel 50: att tala om för människor att de pratar med AI
Artikel 50 gäller sedan augusti 2026. Kärnan är enkel: ett AI-system som interagerar med människor måste tydliggöra att det är AI, om det inte är uppenbart av sammanhanget. Deepfakes, det vill säga AI-genererade bilder, ljud eller video som skulle kunna tas för äkta, måste redovisas.
För ett SaaS-företag är det här de ställen som brukar behöva kontrolleras:
- Assistenten i produkten. En hjälpfunktion i appen som svarar användare bör tala om att den är AI.
- Chatt på webbplatsen, i sälj och i support. En chatt som svarar kunder eller potentiella kunder behöver tydligt ange att svaren kommer från AI.
- Röst och video. En AI-röst i ett samtal, eller en AI-genererad presentatör i en produktvideo eller en annons, behöver redovisas.
Redovisningen är mer en designuppgift än en juridisk uppgift: en rad i chattfönstret, en etikett i gränssnittet, en mening i början av ett samtal. Den är billigast när den är en del av designen från början. Samma tänkande gäller interna agenter: NordOps AI Agent är byggd för europeiska regler, och varje fråga och åtgärd loggas.
Vad som inte gäller ännu
Mycket av uppmärksamheten kring förordningen går till AI med hög risk, och för de flesta SaaS-företag ligger den delen fortfarande framför oss:
- 2 december 2027: reglerna för de högriskområden som anges i bilaga III, till exempel AI som används vid rekrytering, börjar gälla.
- 2 augusti 2028: reglerna för AI som är inbyggd i reglerade produkter börjar gälla.
Datumen följer 2026 års ändring av förordningen, som trädde i kraft den 27 juli 2026. Ett SaaS-företag vars produkt används vid rekrytering, eller inom ett annat område i bilaga III, bör använda tiden till att förbereda sig i stället för att vänta. För alla andra är prioriteten de två artiklar som redan gäller.
En praktisk checklista för det här kvartalet
- Utse en ägare för AI i företaget, med tid att göra jobbet.
- Gör en fullständig inventering av den AI som används, inklusive verktyg som medarbetarna själva har tagit in.
- Skriv kort vägledning för varje team och dokumentera vem som har fått den.
- Kontrollera alla ställen där AI pratar med kunder, potentiella kunder eller allmänheten, och lägg till en tydlig upplysning där den saknas.
- Gå igenom marknadsföringsinnehåll efter AI-genererade personer eller röster, och märk det.
- Om din produkt används vid rekrytering eller inom ett annat område i bilaga III, börja planera för december 2027.
Inget av detta gör en Chief AI Officer till ett lagkrav; det är en roll, inte en skyldighet. Men arbetet behöver en ägare, och i de flesta växande företag har det ingen ännu. Det är en del av vad en Fractional Chief AI Officer tar sig an, och vår AI Snapshot börjar med just den här inventeringen och genomgången av AI-kunnighet och transparens.
Källa: förordning (EU) 2024/1689, artiklarna 4, 50 och 113, i dess lydelse efter ändringen 2026. Den här artikeln informerar; den är inte juridisk rådgivning.