Delar av AI-lagen kommer att skjutas upp
Den 20 november 2025 presenterade Europeiska kommissionen ett efterlängtat paket som syftar till att förenkla den digitala regleringen, allmänt känt som Digital Omnibus. Syftet är att effektivisera den växande mängden EU-regler inom det digitala och datarelaterade området, minska dubbelarbete och stärka Europas konkurrenskraft. För IT-beslutsfattare, CTO:er, CISO:er och säkerhetschefer är detta långt ifrån en teoretisk övning i Bryssel. Det representerar en konkret förändring i regelverket som kommer att påverka roadmaps, budgetar och efterlevnadsprocesser direkt.
I grunden berör paketet flera viktiga regelverk samtidigt: EU:s AI-lag, GDPR, NIS2-direktivet och DORA. Det innehåller också justeringar av reglerna för kakor och en konsolidering av datarelaterade system kopplade till datalagen. Parallellt med detta lanserar kommissionen en strategi för en dataunion och ytterligare initiativ som syftar till att förbättra tillgången till högkvalitativa data för AI.
Detta väcker viktiga frågor: Vad driver dessa förändringar, vad kommer faktiskt att förändras i praktiken och hur bör företagen reagera?
Varför kommissionen förenklar nu
EU:s digitala regelverk har expanderat snabbt under de senaste åren. Nya lagar och förordningar syftar till att göra innovation säkrare, skydda grundläggande rättigheter och stärka cyberresiliensen. Samtidigt ställs företagen inför överlappande krav, inkonsekventa definitioner och parallella rapporteringsskyldigheter. Kommissionen svarar på en allmänt uttryckt oro över att komplexa och delvis överflödiga regler hindrar investeringar och försvagar Europas konkurrenskraft. Denna åsikt framhölls tydligt i Draghi-rapporten om EU:s konkurrenskraft och är en viktig drivkraft bakom förenklingsagendan.
Digital Omnibus är ett av flera initiativ som granskar olika regleringsområden med syfte att effektivisera dem. Inom den digitala sfären är debatten särskilt känslig eftersom spänningen mellan skydd och innovation är mer uttalad än inom många andra sektorer.
I praktiken innebär detta inte att EU avskaffar digitala regler, utan att de blir mer kompatibla, mer enhetliga och i vissa fall mer realistiska när det gäller tidsfrister. Detta kommer att minska trycket på många organisationer, men det kräver också anpassningar av interna styrnings- och efterlevnadsstrukturer.
Vad Digital Omnibus innehåller
Kommissionen lyfter fram flera långtgående förändringar, bland annat följande:
- En försening av bestämmelserna om högrisk-AI i AI-lagen
- En enhetlig rapporteringskanal för cybersäkerhetsincidenter
- En reform av GDPR för att skapa ett mer innovationsvänligt regelverk
- Moderniserade regler för kakor
- Konsolidering av flera dataregimer enligt datalagen
Dessa åtgärder är sammankopplade och påverkar hela kedjan, från databehandling och säkerhetshantering till AI-utveckling och operativa arbetsflöden.
AI-lagen: Försening av högriskbestämmelser och konsekvenser för AI-program
Det mest synliga steget är den planerade uppskjutningen av AI-lagens krav på högrisk-system – med upp till 16 månader. Kommissionen hävdar att de harmoniserade standarder, riktlinjer och stödverktyg som behövs för genomförandet ännu inte är tillräckligt tillgängliga.
För många organisationer innebär detta en kortsiktig lättnad – särskilt inom områden som identitetsprocesser, bedrägeriupptäckt, HR-screening, OT-övervakning eller medicinska och finansiella tillämpningar. Den extra tiden hjälper företagen att utvärdera modellerna mer grundligt, stabilisera datapipelines, skapa dokumentation och granska leveranskedjorna för att säkerställa att de uppfyller kraven för AI.
Detta är dock inte en uppmaning att ta en paus. Företag som utökar sin användning av AI bör utnyttja buffertperioden för att förbereda sig för högriskförpliktelser, bland annat:
- Tydlig systemklassificering
- Risk- och konsekvensbedömningar
- Utbildning i datastyrning
- Loggning och övervakning
- Mänskliga övervakningsprocesser
De som lägger grunden nu kommer att möta betydligt mindre motstånd när skyldigheterna börjar gälla fullt ut.
Strategiskt sett visar förseningen också att EU är ambitiöst men pragmatiskt. Man är villig att justera tidsplanerna om ekosystemet och standarderna inte är färdiga. Detta gör regelplaneringen mer flexibel, men ökar också behovet av scenariebaserad planering snarare än rigida, tidsbegränsade tillvägagångssätt.
GDPR, NIS2 och DORA: Mindre friktion inom dataskydd och rapportering
GDPR-reform för ökad flexibilitet inom innovation
Kommissionen planerar att uppdatera GDPR för att skapa en mer innovationsvänlig dataskyddsmiljö. Detta innefattar att justera tröskelvärden och tidsfrister i systemet för anmälan av personuppgiftsincidenter, förtydliga definitioner såsom ”personuppgifter” och införa nya undantag och förtydliganden för att stödja utvecklingen och driften av AI-system.
För integritets- och säkerhetsteam innebär detta större operativ flexibilitet. Rapporteringsskyldigheterna skulle bli mindre mekaniska och mer riskbaserade, vilket gör det möjligt att fokusera resurserna på incidenter med verklig påverkan. Företagen kommer dock att behöva dokumentera kriterierna för överträdelser och interna beslut noggrant för att säkerställa transparens och ansvarsskyldighet.
För AI-projekt skulle tydligare definitioner av laglig AI-relaterad databehandling ge den rättsliga säkerhet som behövs för att förhindra att användningsfall fastnar eller förblir i pilotstadiet på grund av otydliga tolkningar.
Enhetlig incidentrapportering
En enda kontaktpunkt för rapportering av cybersäkerhetsincidenter planeras också. Istället för att skicka separata anmälningar enligt NIS2, GDPR och DORA kommer organisationer att använda en enhetlig mekanism – eventuellt byggd på den plattform som utvecklats för Cyber Resilience Act.
Detta kan öka effektiviteten avsevärt. Alla som har hanterat incidentrapportering under tidspress känner till utmaningen med att hantera flera deadlines och format. En enda rapporteringskanal minskar komplexiteten och kan förbättra datakvaliteten genom standardiserade fält och taxonomier.
Detta kräver dock att organisationerna omarbetar sina rapporteringsrutiner. Många har separerat NIS2, GDPR och DORA i olika efterlevnadsflöden. Omnibus kommer att kräva en integrerad modell med centraliserade register, harmoniserade allvarlighetskriterier och samordnade kommunikationsprocesser.
Dataskyddslagstiftning, cookies och Data Union Strategy
Konsolidering enligt datalagen
EU avser att slå samman flera dataregleringar i datalagen, däribland förordningen om fritt flöde av data, datastyrningslagen och direktivet om öppna data. När dessa regler har slagits samman kommer de att vara bättre anpassade och rationaliserade.
För företag påverkar detta främst styrningen. Idag måste olika rättskällor konsulteras beroende på datatyp, sektor och syfte. Konsolidering förenklar utvecklingen av datastrategier, särskilt för organisationer som använder gränsöverskridande data för AI, analys eller plattformsmodeller.
Moderniserade regler för kakor
Kommissionen planerar också att minska antalet cookie-banners och flytta preferenshanteringen i större utsträckning till webbläsarnivå.
Detta är ett praktiskt steg för digitala team: färre banners förbättrar användarupplevelsen, höjer konverteringsgraden och minskar den operativa bördan för samtyckeshantering. Ansvaret för korrekt spårning och ändamålsbegränsning förblir dock oförändrat.
Strategi för datauppkoppling: Mer högkvalitativa data för AI
Parallellt med förenklingen lanserar kommissionen en strategi för en datounion för att göra mer högkvalitativa data tillgängliga för AI. Detta omfattar en juridisk helpdesk för datalagen och åtgärder för att stärka den europeiska datasuveräniteten, till exempel genom att skydda känsliga icke-personuppgifter och fastställa regler för rättvis användning av EU-data utomlands.
Detta signalerar ett tydligt engagemang för att bygga ett starkt europeiskt ekosystem för AI. Regleringen ska inte bara vara säker, utan data ska också vara lättanvända. För industrin, kritisk infrastruktur och små och medelstora företag kan bättre tillgång till datarum vara avgörande för att AI-projekt ska kunna gå från pilotprojekt till produktion.
Vad företag bör göra nu
Även om paketet fortfarande måste behandlas och godkännas av parlamentet och rådet är det lämpligt att påbörja förberedelserna i god tid.
- Genomför en analys av regelverksmässiga luckor.
Granska AI Act, GDPR, NIS2 och DORA tillsammans, inte var för sig. Identifiera inkonsekvenser i definitioner, dubbla beviskrav och processer som senare kan komma att konvergera. - Integrera incidentrapportering.
Om en enda ingångspunkt uppstår kommer integration att vara avgörande. Skapa ett centralt incidentregister, harmonisera allvarlighetsgrader och definiera ansvar för konsoliderad rapportering. - Påskynda AI-styrningen.
Förseningen av AI-lagen ger tid, men innebär inte något uppskov. Utveckla modellinventeringar, klassificeringsmetoder, övervakningsramverk och dokumentationsrutiner redan nu. - Anpassa din datastrategi.
När datareglerna konvergerar, kartlägg dataflöden, datatyper och åtkomsträttigheter på nytt. Detta kan minska de långsiktiga kostnaderna för regelefterlevnad, särskilt i hybridmoln- och edge-miljöer. - Förbered marknadsförings- och produktteam för nya cookie-regler.
Granska dina samtyckesverktyg, utvärdera beredskapen för webbläsarbaserade preferensmodeller och säkerställ att spårningsmetoderna är kompatibla.
Slutsats
Det digitala omnibuspaketet och de försenade bestämmelserna i AI-lagen markerar en tydlig politisk förändring: färre parallella regler, större konsekvens och mer realistiska tidsplaner för genomförandet. Detta innebär inte att kraven försvinner, utan att de närmar sig varandra och blir mer riskbaserade. Det skapar utrymme för innovation, särskilt inom AI och datadrivna applikationer, samtidigt som det kräver anpassningar av styrning, integrerad rapportering, AI-riskhantering och datastrategi.
Damovo kan stödja organisationer genom hela denna övergång: från att utvärdera berörda regler till att integrera befintliga efterlevnadsprogram, skapa enhetliga processer för incidentrapportering och implementera åtgärder för AI-styrning och dataskydd. Detta hjälper företag att uppnå rättssäkerhet och påskynda sina digitala och AI-initiativ, utan onödig byråkrati, men med gedigen efterlevnad.