Vi är en juridisk rådgivningsbyrå från Estland som har gått igenom kryptovalutareglering i praktiken: licenser, tillsyn, skärpta krav och att delar av marknaden lämnat jurisdiktionen. Parallellt arbetar vi dagligen med AI-verktyg och bistår AI-projekt. Därför uttalar vi oss inte utifrån teori, utan utifrån erfarenhet.
Reglering för regleringens skull bromsar utvecklingen
Reglering är meningsfull endast när den hanterar en objektiv, mätbar risk. Sådana områden finns, men de är få: AI vid styrning av transporter, i medicintekniska produkter, i kritisk infrastruktur och i system som fysiskt eller juridiskt kan skada en människa — genom att fatta beslut om frihet, tillgång till arbete eller kredit.
Det handlar om ett fåtal områden. Allt annat — en modell som skriver kod, analyserar dokument, genererar texter och bilder, hjälper forskare — medför inte en risk som skulle kräva en separat tillståndsordning. Särskilt eftersom ledande modeller redan i dag släpps med inbyggda säkerhetsmekanismer och utvecklarna konkurrerar även på denna parameter.
När en tillsynsmyndighet vill ”begränsa något” utan att ännu förstå vad det är eller vilken skada som ska förebyggas, är det inte ett skydd för samhället. Det är rädsla för det man inte förstår, formaliserad i en rättsakt. Priset för sådan rädsla är förlorade företag, förlorade arbetstillfällen och förlorat ledarskap.
Vad som faktiskt gäller i EU i dag
För att diskussionen ska vara saklig fastställer vi vad som faktiskt är i kraft i september 2026.
AI-förordningen (AI Act, förordning (EU) 2024/1689). Världens första heltäckande horisontella AI-lag trädde i kraft den 1 augusti 2024 och tillämpas stegvis utifrån fyra risknivåer: ju högre den potentiella skadan är, desto strängare är kraven.
Det som redan tillämpas:
- Förbjudna metoder (artikel 5) — sedan februari 2025. Social poängsättning, manipulativa system och vissa typer av biometrisk identifiering. Från 2 december 2026 tillkommer förbud mot system för att skapa intima bilder utan samtycke och material med sexuella övergrepp mot barn.
- Skyldigheter för leverantörer av AI-modeller för allmänna ändamål (GPAI) — artiklarna 51–55 gäller sedan augusti 2025. Det omfattar dokumentation, efterlevnad av upphovsrätt och, för modeller med systemrisk, riskbedömning och riskreducering.
- Transparensskyldigheter (artikel 50) — från 2 augusti 2026. Information till användaren om interaktion med AI, märkning av genererat innehåll och deepfakes. För system som redan fanns på marknaden har märkning av syntetiskt innehåll skjutits upp till 2 december 2026.
Det som har skjutits upp — och det är talande. Den 27 juli 2026 trädde Digital Omnibus on AI (förordning (EU) 2026/1744) i kraft, vilket flyttade fram de mest betungande skyldigheterna:
- för fristående högrisksystem (bilaga III — HR, kreditgivning, utbildning, brottsbekämpning osv.) — från 2 augusti 2026 till 2 december 2027;
- för AI som är inbyggd i produkter som omfattas av sektorsspecifik reglering (bilaga I — medicintekniska produkter, maskiner, transporter) — från 2 augusti 2027 till 2 augusti 2028;
- nationella regulatoriska ”sandlådor” ska vara i drift senast 2 augusti 2027.
Skälet till uppskjutandet som Europeiska kommissionen själv angav var att varken näringslivet, standardiseringsorganen (CEN/CENELEC) eller infrastrukturen för bedömning av överensstämmelse var redo. Med andra ord skrevs lagen innan man förstod hur den skulle tillämpas. Det är den bästa illustrationen av vår tes: reglering som går före förståelsen fungerar inte ens för tillsynsmyndigheten själv.
Nationell nivå. Medlemsstaterna skulle ha utsett tillsynsmyndigheter och fastställt sanktioner senast i augusti 2025. Fram till våren 2026 hade endast ett fåtal länder gjort detta. I Estland har någon särskild genomförandelag ännu inte antagits; arbetet bedrivs av justitie- och digitaliseringsministeriet, medan Dataskyddsinspektionen (AKI) behåller sitt rykte som en pragmatisk och proportionerlig tillsynsmyndighet.
Vår hållning
-
Vi stöder AI-projekt. I Estland, Europa och utanför Europa. Vi anser att AI:s utveckling är mänsklighetens utveckling och vill att företag som skapar den ska arbeta här, i stället för att flytta till jurisdiktioner med tydligare regler.
-
Vi förespråkar reglering av objektiva risker — och endast dessa. Transporter, medicin, kritisk infrastruktur och beslut som påverkar mänskliga rättigheter. Här är kraven motiverade, och vi hjälper till att uppfylla dem.
-
Vi motsätter oss drakonisk reglering. Förbud ”för säkerhets skull”, tillståndsordningar för sådant som inte medför skada och regler skrivna utan förståelse för tekniken.
-
Om reglering finns hjälper vi dig att uppfylla den. Klassificering av systemet efter risknivå, skyldigheter för leverantör och deployer, dokumentation, transparens, kontakter med tillsynsmyndigheter, förberedelser inför tidsfristerna 2027–2028 och regulatoriska sandlådor. Vår erfarenhet av kryptovalutareglering har lärt oss det viktigaste: efterlevnad är inte ett hinder för verksamheten, utan ett sätt att fortsätta arbeta när reglerna förändras.
Reglering ska skydda människor, inte skydda tillsynsmyndigheten från behovet att sätta sig in i det nya. Vi kommer att arbeta på de byggandes sida.
