Digital Omnibus börjar få konkreta konsekvenser för webb, AI och dataskydd.

Problemet är att begreppet just nu används om förändringar med helt olika juridisk status.

En del har redan blivit lag. Andra delar diskuteras fortfarande.

Det gör att två ganska dåliga strategier ligger nära till hands:

Att vänta med sådant som redan gäller.

Eller att börja bygga om cookiehantering och GDPR-rutiner efter regler som fortfarande kan ändras.

Det viktigaste just nu är därför kanske inte att kunna varje paragraf.

Det är att veta vad som faktiskt gäller, vad som är beslutat men ligger längre fram och vad som fortfarande bara är ett förslag.

Först: Digital Omnibus är inte en enda sak

Det finns framför allt två spår som är lätta att blanda ihop.

Digital Omnibus on AI är antagen. Förordning (EU) 2026/1744 publicerades i juli och är i kraft. Den ändrar bland annat tidsplanen för vissa delar av AI Act.

Det bredare Digital Omnibus-förslaget, COM(2025) 837, berör bland annat GDPR, cookies, ePrivacy och incidentrapportering.

Det är fortfarande under behandling.

Det innebär i praktiken:

  • AI-transparens enligt artikel 50 gäller redan
  • nya datum för högrisk-AI är beslutade
  • förändringarna för cookies är fortfarande förslag
  • förändringarna för rapportering av personuppgiftsincidenter är fortfarande förslag

Den skillnaden behöver finnas med innan man börjar ändra webbplats, CMP eller interna rutiner.

Nej, allt AI-genererat innehåll behöver inte märkas

Det här är nog den förenkling jag skulle vara mest försiktig med.

Artikel 50 i AI Act började tillämpas den 2 augusti 2026 och innehåller flera transparenskrav för AI-system och AI-genererat innehåll.

Men reglerna säger inte att varje text, illustration eller bild som någon gång har varit i kontakt med AI måste få etiketten “AI-genererat”.

Kraven beror på vilken typ av AI-system det handlar om, vilken typ av innehåll som produceras och hur innehållet används.

Det är också viktigt att skilja på leverantören av AI-systemet och organisationen som använder det.

Leverantörer av generativa AI-system har bland annat ansvar för att göra relevanta AI-genererade eller manipulerade output maskinellt identifierbara.

Organisationer som använder AI har andra transparenskrav i vissa situationer, till exempel vid deepfakes och viss text om frågor av allmänt intresse.

För en vanlig företagswebb betyder det att man behöver titta på användningsfallet, inte bara ställa frågan:

Har AI varit inblandad?

AI-chatbotar är en konkret sak att kontrollera nu

AI Act innehåller också transparenskrav när människor interagerar direkt med ett AI-system.

En person ska normalt informeras om att det är AI, om det inte redan är uppenbart.

Det gör AI-chatbotar, AI-agenter och liknande gränssnitt till en konkret webbfråga redan nu.

Om en webbplats använder en sådan lösning bör man kontrollera:

  • om det är tydligt från början att användaren interagerar med AI
  • om informationen är lätt att uppfatta
  • om gränssnittet fungerar även ur ett tillgänglighetsperspektiv
  • vem som ansvarar för lösningen och vilken leverantör som står bakom AI-systemet

Det är en betydligt mer konkret åtgärd än att börja märka hela bildbanken.

Deepfake är inte samma sak som AI-genererad bild

Även här finns en viktig skillnad.

AI Act definierar deepfake som AI-genererat eller manipulerat bild-, ljud- eller videoinnehåll som liknar verkliga personer, objekt, platser, organisationer eller händelser och som felaktigt kan uppfattas som autentiskt eller sant.

Det betyder att en uppenbart illustrativ AI-bild inte automatiskt är en deepfake.

Men om AI används för att skapa eller manipulera material så att en verklig person, plats eller händelse ser ut att vara något den inte är, blir transparensfrågan en annan.

För deepfakes krävs en tydlig upplysning till den som exponeras för innehållet.

Det är alltså sammanhanget och risken för att något framstår som äkta som är centralt.

För text är mänsklig granskning viktigare än många tror

Reglerna för text är särskilt intressanta för företag som använder AI i innehållsproduktion.

AI-genererad eller manipulerad text som publiceras för att informera allmänheten om frågor av allmänt intresse ska i vissa fall märkas.

Men det finns ett viktigt undantag.

Text som har genomgått mänsklig granskning eller redaktionell kontroll, och där någon har redaktionellt ansvar för publiceringen, behöver inte märkas enligt den bestämmelsen.

EU-kommissionens vägledning är ganska tydlig med vad det innebär.

Det ska vara en faktisk granskning av innehållets substans.

Exempelvis:

  • faktakontroll
  • bedömning av källor
  • ändringar i innehållet
  • professionell bedömning av sakuppgifter
  • möjlighet att godkänna, ändra eller stoppa publiceringen

En ren stavningskontroll eller grammatisk puts räcker inte.

För företag som använder AI i redaktionella arbetsflöden tycker jag därför att en bättre fråga är:

Vem har faktiskt granskat innehållet och tagit ansvar för att det är korrekt?

Det är en processfråga, inte bara en märkningsfråga.

2 december är inte deadline för att märka allt gammalt AI-innehåll

Även datumet 2 december 2026 är lätt att tolka fel.

Det finns en övergångstid till 2 december för leverantörer av generativa AI-system som fanns på marknaden före 2 augusti 2026. Den gäller deras skyldigheter kring maskinell märkning och detektering enligt artikel 50.2.

Det betyder inte att företag generellt måste gå igenom alla gamla texter och bilder på sina webbplatser före 2 december.

EU-kommissionen säger uttryckligen att innehåll som genererades före 2 augusti 2026 inte behöver märkas retroaktivt.

Det är en ganska stor skillnad.

Om någon säger:

Allt gammalt AI-innehåll måste märkas senast 2 december.

så är det alltså för kategoriskt.

Högrisk-AI har fått nya datum

För högrisk-AI är läget tydligare.

Kraven för AI-system som klassificeras som högrisk enligt artikel 6.2 och Annex III börjar tillämpas den 2 december 2027.

Det omfattar bland annat vissa AI-system inom:

  • rekrytering och arbetsliv
  • kreditvärdighetsbedömning
  • utbildning
  • biometriska användningsområden
  • vissa offentliga och rättsliga processer

För högrisk-AI som omfattas av artikel 6.1 och Annex I är datumet i stället 2 augusti 2028.

De datumen är beslutade.

Men det betyder inte att organisationer som använder AI inom exempelvis rekrytering kan ignorera frågan fram till 2027.

Det rimliga arbetet nu är att inventera vilka AI-system som faktiskt används, vad de fattar eller påverkar för beslut och vilken roll organisationen har i förhållande till systemet.

Cookiebannern kan förändras, men inte i dag

Sedan kommer den andra delen av Digital Omnibus.

Här finns förslag som kan påverka nästan alla webbplatser.

Kommissionens förslag innehåller bland annat förändringar kring hur samtycke till lagring och åtkomst på användarens enhet skulle hanteras.

Förslaget innehåller bland annat:

  • möjlighet till vissa undantag från samtycke för begränsad first-party-mätning som bara används av den egna tjänsten
  • möjlighet att neka en samtyckesförfrågan med ett enkelt klick
  • minst sex månader innan samma samtycke får efterfrågas igen efter ett nej
  • maskinläsbara integritetspreferenser som webbplatser på sikt ska kunna ta emot och respektera

Det är potentiellt stora förändringar.

Särskilt idén om att en användares val kan förmedlas automatiskt från webbläsare eller andra verktyg kan förändra hur vi tänker kring cookie banners och CMP:er.

Men det viktiga ordet är fortfarande:

förslag.

Usercentrics, som ligger bakom bland annat Cookiebot, skriver också att företag inte behöver göra några ändringar på grund av förslaget i dag.

Så jag hade inte börjat bygga om Cookiebot efter Digital Omnibus ännu.

Däremot hade jag sett till att consentlösningen är väl implementerad, att val faktiskt förs vidare till tracking och att arkitekturen går att förändra när reglerna väl är klara.

Det är en mycket bättre investering.

72 timmar kan bli 96, men inte ännu

Samma försiktighet behövs kring personuppgiftsincidenter.

I dag säger GDPR att en personuppgiftsincident ska anmälas till tillsynsmyndigheten inom 72 timmar, om det inte är osannolikt att incidenten medför risk för människors rättigheter och friheter.

Det är alltså redan i dag fel att säga att alla personuppgiftsincidenter måste anmälas.

Digital Omnibus föreslår däremot två konkreta förändringar:

  • tröskeln för rapportering skulle höjas till incidenter som sannolikt innebär hög risk
  • tidsfristen skulle förlängas från 72 till 96 timmar

Det kan innebära en ganska stor förenkling för organisationer som hanterar incidenter.

Men även detta är fortfarande ett förslag.

En incident som inträffar nu ska hanteras efter dagens GDPR, inte efter den regel som kanske kommer senare.

Jag hade alltså inte ändrat incidentrutinen från 72 till 96 timmar ännu.

Det här hade jag gjort på en företagswebb nu

Det går ändå att förbereda sig utan att implementera lagförslag i förtid.

1. Inventera AI på webbplatsen

Vilka funktioner interagerar användaren med?

Finns AI-chatbot, AI-agent, rekommendationsmotor eller annan AI som möter människor direkt?

2. Kartlägg hur AI används i innehåll

Används AI till:

  • första utkast
  • bilder och illustrationer
  • video eller ljud
  • redigering
  • publicering utan mänsklig granskning

Det är olika situationer och bör inte behandlas som samma sak.

3. Sätt ett riktigt redaktionellt ansvar

Om AI används för innehåll behöver det vara tydligt vem som:

  • granskar fakta
  • kontrollerar källor
  • gör redaktionella ändringar
  • godkänner publiceringen

Det är bra kvalitetssäkring även utan juridiken.

4. Inventera potentiell högrisk-AI

Särskilt om organisationen använder AI inom HR, rekrytering, kredit, biometrik eller andra känsliga beslut.

Det är betydligt enklare att börja med en systemkarta nu än att upptäcka systemen när kraven börjar gälla.

5. Låt cookiehanteringen vara korrekt enligt dagens regler

Riv inte ut CMP:n för att en ny cookieframtid diskuteras.

Kontrollera hellre att dagens setup faktiskt fungerar:

  • blockerar rätt saker före samtycke
  • skickar vidare användarens val
  • har en tydlig möjlighet att neka
  • går att ändra när regelverket förändras

Det är sådant jag också tittar på i arbete med webb och digitala lösningar.

6. Behåll 72-timmarsrutinen

Följ förslaget om 96 timmar, men ändra inte incidentprocessen innan reglerna faktiskt har ändrats.

Det intressanta är egentligen inte en ny cookieknapp

Det jag tycker är mest intressant med Digital Omnibus är hur tydligt juridik, innehåll, UX och teknik börjar flyta ihop.

AI-transparens är inte bara en juridisk fråga.

Det är också en fråga om:

  • gränssnitt
  • innehållsprocess
  • metadata
  • ansvar
  • tillgänglighet

Cookie consent är inte bara juridik heller.

Det handlar om UX, tracking, analys, taggar och hur användarens val faktiskt respekteras genom hela den tekniska lösningen.

Samma sak gäller incidenthantering. En tidsgräns betyder ganska lite om organisationen inte vet vem som ska upptäcka, bedöma, dokumentera och eskalera en incident.

Det är därför jag tror att det är farligt att hantera Digital Omnibus som ännu en compliance-checklista.

Det behöver hänga ihop med hur webbplatsen och den digitala organisationen faktiskt fungerar.

Jag har tidigare skrivit om samma gränsland mellan AI, webb och dataskydd i Offentligt betyder inte fritt fram när AI skrapar webben.

Min slutsats just nu

Det finns tre ganska enkla saker att hålla isär.

AI-transparens gäller redan.

Det betyder inte att allt AI-genererat innehåll måste märkas, men vissa användningsfall behöver hanteras nu.

Högrisk-AI har fått nya beslutade datum.

Det ger mer tid, men inte ett skäl att vänta med inventeringen.

Cookie- och GDPR-förändringarna är fortfarande förslag.

De är värda att följa och förbereda sig för, men inte något man ska implementera som om de redan vore lag.

Det är ungefär så jag hade hanterat Digital Omnibus hösten 2026:

agera på det som gäller, förbered för det som är beslutat och följ det som fortfarande förhandlas.

Källor