Sanktionerna är det som citeras oftast när AI Act kommer på tal, och nästan alltid utan sammanhang. Trettiofem miljoner euro låter som något som kan utplåna ett litet företag.
Siffran stämmer. Men den är ett tak för de grövsta överträdelserna hos de största aktörerna, och för små och medelstora företag gäller dessutom en särskild regel som sällan nämns.
De tre nivåerna
| Överträdelse | Tak | Exempel |
|---|---|---|
| Förbjudna AI-praktiker | 35 milj. EUR eller 7 % av global omsättning | Social poängsättning, känsloigenkänning på arbetsplatsen |
| Brott mot högriskreglerna | 15 milj. EUR eller 3 % | Ett rekryteringssystem utan mänsklig tillsyn eller loggar |
| Bristande eller felaktig information | 7,5 milj. EUR eller 1 % | Att lämna vilseledande uppgifter till en myndighet |
Regeln som gäller er
För stora bolag gäller det högre av beloppet och procentsatsen. För små och medelstora företag gäller enligt artikel 99.6 i stället det lägre.
Skillnaden är avgörande. Ett företag som omsätter tio miljoner kronor har inte 35 miljoner euro som tak, utan en procentsats av sin egen omsättning. Lagstiftaren har med flit byggt in att en böter ska stå i proportion till verksamheten.
Sanktionerna är byggda för att stoppa den som medvetet skadar människor, inte för att knäcka ett företag som glömt en pärm.
När börjar det gälla?
Tillsynen och sanktionerna börjar 2 augusti 2026. Då får marknadskontrollmyndigheterna sina befogenheter, och skyldigheter som redan gällt en tid blir möjliga att beivra. Det gäller till exempel AI-kunnighet, som varit ett krav sedan 2 februari 2025.
De förbjudna användningarna är däremot redan olagliga, sedan februari 2025. Det är den enda punkten där ett företag kan ligga fel i dag.
Vad som faktiskt händer först
Tillsyn börjar sällan med böter. Den börjar med en fråga: vilka AI-system använder ni, och hur har ni bedömt dem? Ett företag som kan svara med en förteckning och några dokument befinner sig i ett helt annat läge än ett som börjar leta samma dag.
Det är också därför dokumentationen är värd mer än den känns. Den är inte till för att imponera på någon. Den är till för att ni ska kunna svara lugnt.
Den rimliga slutsatsen
Ett litet företag som använder ChatGPT, ett CRM och ett bokföringsprogram med automatiska förslag löper ingen realistisk risk för miljonböter. Risken ligger i de förbjudna användningarna och i högrisksystem som används utan tillsyn.
Kontrollera de två sakerna, så är sanktionsfrågan i praktiken avklarad för er del. Resten handlar om ordning och reda, inte om att undvika straff.
Texten är allmän vägledning, inte juridisk rådgivning. Varje AI-system bedöms för sig.