Vad som förändrades i Bryssel den 2 augusti

Den 2 augusti 2026 övergick ett år av frivilliga uppförandekoder och dialoger om efterlevnad i Bryssel till ett bötfällande regelverk. Transparenskraven i artikel 50 - som kräver att chattbottar avslöjar sin automatiserade status, att deepfakes bär märkning och att maskingenererat innehåll bär maskinläsbara markeringar - trädde i kraft samtidigt som tillsynsbefogenheterna över AI-modeller för allmänna ändamål. Europeiska kommissionens AI Office och 24 nationella behöriga myndigheter i medlemsstaterna kan nu begära teknisk dokumentation, genomföra egna utvärderingar, kräva korrigerande åtgärder och utfärda böter direkt, i stället för att förhandla om efterlevnad informellt.

Europeiska kommissionens verkställande vice ordförande Henna Virkkunen beskrev förändringen som skyddande, inte konfrontativ, och sade att reglerna ger 'innovatörer rättssäkerhet samtidigt som de skyddar allmänintresset' och kallade ögonblicket 'ett viktigt steg mot en AI som människor och företag kan förstå och lita på'. Hon kallade också artificiell intelligens för 'en transformativ teknik', samtidigt som hon varnade för att de mest avancerade modellerna 'skapar risker i en helt ny skala' - en distinktion som signalerar var tillsynens uppmärksamhet sannolikt kommer att koncentreras först.

CNIL:s första drag: 14 banker, noll beviljade förlängningar

Det första verkliga testet av det nya regelverket kom inom 48 timmar. Den 4 augusti 2026 utfärdade Frankrikes dataskyddsmyndighet, CNIL, formella krav på teknisk dokumentation enligt artikel 11 till 14 finansinstitut som driver AI-baserade kreditvärderingsalgoritmer, och krävde den dokumentation enligt bilaga IV som högriskbaserade AI-system är skyldiga att föra. Tre av de fjorton instituten bad om mer tid att svara.

CNIL avslog samtliga tre ansökningar om förlängd frist, med hänvisning till de två år företagen har haft på sig att förbereda sig sedan AI Act antogs 2024. Det är detaljen värd att dröja vid: en tillsynsmyndighets första drag under de nya, direkt gällande tillsynsbefogenheterna var varken ett varningsbrev eller en informell förfrågan, utan ett formellt dokumentationskrav med ett tydligt nej till extra tid. Varje EU-företag i en högriskkategori - kreditgivning, rekrytering eller ett annat användningsfall enligt bilaga III - har nu ett konkret prejudikat för hur en första granskning faktiskt ser ut, inte längre ett hypotetiskt.

Så fungerar böterna i praktiken

Sanktionsstrukturen är trappad efter typ av överträdelse, inte en enda fast summa. Brott mot transparenskraven i artikel 50 - reglerna om deepfake-märkning och AI-upplysning - medför böter på upp till EUR 15 miljoner eller 3% av ett företags globala årsomsättning, beroende på vilket belopp som är högst. Förbjudna AI-metoder, den lilla grupp användningar som lagen förbjuder helt, har ett strängare tak: upp till EUR 35 miljoner eller 7% av den globala omsättningen.

Strukturen baserad på procent av omsättningen betyder mer än eurobeloppen för alla större företag, eftersom den skalar med intäkterna i stället för att begränsa exponeringen till en fast siffra. Förelägganden om korrigerande åtgärder lägger till ytterligare ett tryck: så snart en nationell myndighet bedömer att ett system inte uppfyller kraven kan den sätta ett efterlevnadsfönster på så lite som 15 arbetsdagar för att åtgärda, dra tillbaka eller återkalla det, vilket ger ont om tid för ett företag som inte redan har förberett sin tekniska dokumentation i förväg.

Frågan varje EU-företag nu måste besvara

Under ett år har den avgörande frågan för varje EU-företag som använder eller driftsätter AI varit om det i stort sett uppfyller AI Act, besvarad i god tro genom interna granskningar och frivilliga koder. Från och med denna vecka har den frågan förändrats. Den avgörande frågan är nu om ett företag kan uppvisa teknisk dokumentation enligt bilaga IV på begäran, inom den tidsram som tillsynsmyndigheten själv sätter, eftersom CNIL just har visat att myndigheten inte förlänger den tidsramen på begäran.

CNIL:s granskning av kreditvärdering är en användbar förhandstitt särskilt för företag inom kreditgivning, rekrytering och andra högriskkategorier enligt bilaga III, eftersom det är det första konkreta exemplet på hur en högriskgranskning av dokumentation ser ut i praktiken, snarare än bara i lagtexten. Varje företag i dessa kategorier som ännu inte har sammanställt sin tekniska dokumentation bör betrakta den här månaden, inte någon framtida efterlevnadsdeadline, som den tidpunkt då underlaget redan måste finnas.

Läs vidare: Den 2 augusti blir EU:s AI-böter verkliga  |  Den amerikanska tröskeln för frontier-AI är nu hemlig