EU:s AI-förordning mot USA:s presidentorder om AI: en tidslinje för inköpare

IT-inköpare, MSP:er och compliance-ansvariga som följer AI-regleringen på båda sidor Atlanten har att göra med två system som varken delar tidsplan, omfattning eller grundläggande upplägg. Att blanda ihop dem kan innebära att man stoppar ett projekt som fortfarande är lagligt, eller accepterar en leverantörs efterlevnadspåstående som inte håller. Den här guiden går igenom var EU:s AI-förordning och den amerikanska presidentordern om AI egentligen står i september 2026, vad som ändrats och vad som bör kontrolleras innan man skriver på.

Vad som redan gäller i EU

AI-förordningens transparenskrav enligt artikel 50 — informationsplikt för chattbottar och märkning av AI-genererat innehåll — har gällt sedan den 2 augusti 2026, och EU-kommissionens AI-kontor har redan tillsynsbefogenheter över kraven för AI-modeller för allmänna ändamål, som trädde i kraft ett år tidigare. De förbjudna metoderna i artikel 5 och kraven på AI-kompetens i artikel 4 har gällt ännu längre, sedan februari 2025. Inget av detta ändrades av 2026 års Digital Omnibus.

Vad som ändrades 2026

Det som ändrades var tidsplanen för högrisksystem. EU:s Digital Omnibus om AI, som godkändes av Europaparlamentet den 16 juni 2026 och av rådet den 29 juni 2026, sköt upp de materiella kraven för högrisksystem. Fristående system enligt bilaga III — som täcker användningsområden som anställning, utbildning och biometri — gäller från den 2 december 2027 i stället för augusti 2026, och produktintegrerade system enligt bilaga I flyttas till augusti 2028.

Den angivna orsaken är att de harmoniserade tekniska standarder som skulle ge högrisksystem en presumtion om överensstämmelse inte var klara. Innehållet i reglerna har inte ändrats, bara datumet då de börjar gälla.

Vad den amerikanska presidentordern faktiskt gör

USA valde en annan väg. President Trump undertecknade Executive Order 14409, ”Promoting Advanced Artificial Intelligence Innovation and Security”, den 2 juni 2026. Den gäller federala myndigheter och inte direkt privata företag, och den beskriver AI framför allt som en fråga om cybersäkerhet och innovation snarare än ett riskbaserat regelverk.

Ordern kräver att myndigheterna prioriterar cyberförsvaret av civila federala system inom 30 dagar efter undertecknandet, där CISA utfärdar riktlinjer för att påskynda arbetet, och den inrättar ett center för utbyte av AI-cybersäkerhetsinformation — samordnat av finansdepartementet, NSA och CISA — för att dela information om sårbarheter och åtgärder kopplade till AI-system. Separat skapas ett frivilligt ramverk där utvecklare kan dela ”berörda frontlinjemodeller” med regeringen för granskning innan offentlig lansering.

Ordern utesluter uttryckligen obligatorisk licensiering: avsnitt 3(c) slår fast att inget i den ger stöd för ett obligatoriskt statligt krav på licens, förhandsgodkännande eller tillstånd för att utveckla, publicera eller distribuera nya AI-modeller. Det är ett politiskt åtagande i den här ordern, inte ett permanent rättsligt förbud, eftersom en framtida order eller lagstiftning ändå skulle kunna införa ett sådant krav. Den saknar också ett klassificeringssystem likt bilaga III och en motsvarighet till EU:s krav för aktörer som driftsätter högrisksystem.

Vad detta betyder för inköpare

En leverantörs amerikanska position enligt EO 14409 säger ingenting om dess beredskap för EU:s AI-förordning, och tvärtom: de två regelverken täcker olika frågor, olika aktörer och olika tidsplaner. För europeiska IT-ansvariga har ordern ingen direkt rättslig verkan, men den visar vilken miljö amerikanska AI-leverantörer verkar i — frivillig snarare än obligatorisk granskning före lansering, där cybersäkerhetskraven vilar på federala myndigheter och inte på leverantörernas kommersiella produkter.

Leta efter bevis på att en leverantör deltar i det frivilliga ramverket för frontlinjemodeller, i stället för att anta att det motsvarar en granskning enligt EU:s AI-förordning. Den som redan samlar bevis för NIS2 och DORA kan tillämpa samma disciplin på AI-förordningens tidsfrister: Auris Comply ger stöd för NIS2/DORA-efterlevnad och granskningsspår för den typen av dokumentation.

Vad du bör göra

Innan en leverantörs AI-efterlevnadspåstående godtas rakt av är det värt att gå igenom en kort checklista:

• Fråga vilken specifik artikel eller bilaga leverantören säger sig uppfylla, och kontrollera vilket datum den bestämmelsen faktiskt började gälla — vissa EU-tidsfrister har flyttats, andra inte.
• Behandla uppskjutandet av bilaga III till december 2027 som extra tid, inte som ett undantag: transparenskraven i artikel 50 gäller redan, oavsett när bilaga III börjar gälla.
• Fråga amerikanska leverantörer om de har delat modeller genom EO 14409:s frivilliga ramverk, i stället för att anta att en formell statlig granskning har ägt rum.
• Tolka inte avsaknaden av obligatorisk licensiering i den amerikanska ordern som bevis på beredskap för EU:s AI-förordning: de två texterna reglerar helt olika frågor.
• Håll EU:s och USA:s tidsplaner separata i avtal och revisionsunderlag, eftersom ett uppskov på ena sidan inte flyttar tidsfristerna på den andra.

Källor: artificialintelligenceact.eu, Vita huset, Congressional Research Service.