EU AI Act för amerikanska mjukvaruleverantörer: vad som faktiskt gäller för dig

Senast uppdaterad: 28 juli 2026 · Av Deal Rescue team · Utbildningsinnehåll, inte juridisk rådgivning.

USA har fler AI-leverantörer än någon annan marknad - och producerar det mesta av "EU-lagen gäller inte för oss" svar på att europeiska lagar avvisar varje vecka. En EU-kund, eller en amerikansk kund vars europeiska lag använder din produkts produktion, och Regulation (EU) 2024/1689 når dig nästan säkert. Här är vad en amerikansk leverantör faktiskt är skyldig, vad den inte gör - och den andra frågan EU-köpare frågar i samma andetag: dataöverföringar.

når EU AI Act dig?

Två klausuler av Article 2(1) gör det extraterritoriella arbetet - varken bryr sig om en Delaware-inkorporation:

• Art. 2(1)(a) - marknaden utlöser. Leverantörer som släpper ut AI-system på marknaden eller sätter dem i bruk i unionen omfattas av oavsett om de är etablerade i unionen eller i ett tredjelandEn betalande kund i München eller Paris är tillräckligt, med dig som leverantör.
• Art. 2(1)(c) - utgången utlöser. Leverantörer och distributörer som är etablerade i ett tredjeland är i omfattning när den produktion som produceras av AI-systemet används i unionen. Att bara sälja till amerikanska företag håller dig inte: om deras EU-dotterbolag konsumerar dina AI rapporter, poäng eller innehåll, utlöser bränder utan EU-kontrakt alls.

Båda triggersna, med fungerande exempel, finns i Den fullständiga icke-EU-leverantörsguidenFör en US B2B SaaS med någon europeisk exponering, är "inte tillämpligt" svaret troligen fel på lagen.

Vad du är skyldig om det gör

Att omfattas inte av hela förordningen om dig. De flesta B2B SaaS-produkter är begränsade risksystem utanför Annex III, vilket lämnar Article 50 transparenstillämplig sedan 2 August 2026 ett datum Digital Omnibus gjorde Inte inte Postpone:

• Art. 50(1) AI som interagerar direkt med människor måste avslöja att det är en maskin. Tänk på leverantörsdefinitionen i Art. 3(3): den som placerar ett AI-system på marknaden eller sätter det i tjänst under eget namn eller varumärke är dess Leverantör En US SaaS inslag GPT eller Claude under eget varumärke äger denna plikt själv, inte dess modellleverantör.
• Art. 50(2) syntetiskt ljud, bild, video eller text måste bära maskinläsbar märkning; generativa system placerade på marknaden innan 2 augusti 2026 har till 2 December 2026.

Högriskuppgifter bifogas endast Annex III användningsfall och, efter Omnibus, tillämpas från 2 December 2027Article 50-böter kan nå €15,000,000 eller 3% av världsomspännande omsättning, beroende på vad som är högre (Art. 99(4)(g)); SMEs betalar lägre (Art. 99(6)). Unsure what lands on your product? och Article 50 checker tar två minuter.

Vad USA-baserade tillägg (och vad det inte gör)

För en amerikansk leverantör kommer AI-sektionen i ett EU-formulär sällan ensam. Det finns Inget allmänt EU-beslut om tillräcklighet för USAPersonuppgifter som flyter från din EU-kund till din amerikanska infrastruktur behöver en namngiven överföringsmekanism enligt GDPR kapitel V. Den adekvatitetsbaserade vägen är den EU-US Data Privacy Framework – Kommissionens beslut om tillräcklighet av 10 juli 2023 (C(2023) 4745), som vid första instans av EU:s tribunalen för 3 september 2025 (EU:s tribunalen Latombe utmaning) och fortfarande i kraft av denna guides senaste uppdatering, även om en överklagande väntar på domstolen (C-703/25 P) - och det täcker endast amerikanska organisationer som innehar en aktiv DPF-certifieringverifierbart företag genom företag på den offentliga DPF-listan. Inte täckt tillräcklighet för landet. Om du inte är certifierad är mekanismen Standard Contractual Clauses (Implementing Decision (EU) 2021/914) som införlivas i din DPA.

Vilken DPF-status gör Inte inte tillägg: det är en GDPR överföringsmekanism, full stopp. Certifiering säger ingenting om din EU AI Act position och vice versa. Köpare frågar båda och förväntar sig två separata svar.

Frågeformuläret verklighet

Direkt verkställighet mot en leverantör utan EU-anläggning är inte den närmaste risken - upphandling är. Dina EU-kunder är i omfattning själva, så AI-CAIQ och SIG 2026 frågeformulär och RFP AI sektioner ställa frågan till dig, vanligtvis som ett par: din EU AI Act position och din överföringsmekanism. Ett svar som ärligt omfattar Art. 2(1)(a) eller 2(1)(c), klassificerar systemet (begränsad risk, utanför Annex III), namn Art. 50-uppgifter med datum och anger överföringsmekanismen som verifierad fakta överlever rättslig granskning. En filt "kompatibel" - eller "inte tillämplig" - parkerar affären. Om man bara landade, börja med Första-24 timmars spelbok och modellen svarar på Är du EU AI Act kompatibel?.

Amerikanska leverantörer och EU AI Act: snabba svar

Gäller EU AI Act för ett amerikanskt företag utan EU-kontor?

Ja, om du antingen utlöser bränder: placerar ett AI-system på EU-marknaden (Art. 2(1)(a)) – räcker en EU-kund – eller systemets produktion som används i unionen (Art. 2(1)(c)). USA:s införlivande är uttryckligen irrelevant.

Är Data Privacy Framework-certifiering samma som EU AI Act-överensstämmelse?

Nej. DPF är en GDPR överföringsmekanism; AI Act är en separat reglering. Varken svar på den andra och köpare frågar om båda.

Vilka tidsfrister bör en amerikansk leverantör bry sig om?

2 August 2026 Art. 50-uppgifter gäller (inte skjuten). 2 December 2026 - slutet på Art. 50(2) markeringsövergången. 2 December 2027 skjuts upp Annex III högriskdatum, om det gäller dig alls.