EU-kommissionen presenterade den 19 november 2025 ett lagstiftningspaket som kallas Digital Omnibus. Det består av två delar: en som rör AI-förordningen och en som rör dataskydd, framför allt GDPR. Syftet som kommissionen anger är förenkling – att minska den administrativa bördan för företag.

AI-delen är färdigförhandlad och publicerades i EU:s officiella tidning den 24 juli 2026. Dataskyddsdelen är det inte. Den ligger kvar hos parlamentet och rådet, och ingen har beslutat när den ska antas.

Vad föreslås ändras i GDPR?

Förslaget rör flera delar av dataskyddsförordningen samtidigt. Det här är de förändringar som diskuterats mest – men inget av dem gäller ännu.

| Område | Vad som gäller i dag | Vad som föreslås |
|---|---|---|
| Dataintrång | Anmälan till IMY vid risk för de registrerade, inom 72 timmar | Anmälan bara vid hög risk, inom högst 96 timmar |
| Definitionen av personuppgift | Bred definition enligt EU-domstolens praxis | Uppgifter räknas som personuppgifter bara om den som har dem själv kan identifiera personen |
| AI-utveckling | Ingen uttrycklig grund i lagtexten | Berättigat intresse skrivs in som möjlig rättslig grund för att träna AI |
| Kakor | Regleras i e-privacydirektivet | Flyttas in i GDPR som en ny artikel 88a, med automatiserade samtyckessignaler som ska kunna tas emot |
| Registerutdrag | Gratis, svar inom en månad | Den ansvarige får neka eller ta betalt vid missbruk av rättigheten |

Den mest omdiskuterade punkten är definitionen av personuppgift. I ministerrådets kompromissförslag, som är daterat den 20 februari 2026, är kommissionens omskrivning av definitionen helt borttagen. Det är ett tecken på att just den delen har svårt att gå igenom.

Vad säger IMY om förslaget?

Europeiska dataskyddsstyrelsen och Europeiska datatillsynsmannen lämnade ett gemensamt yttrande den 11 februari 2026. Integritetsskyddsmyndigheten, IMY, har kommenterat det i sin roll som svensk dataskyddsmyndighet.

Myndigheterna välkomnar delar av förslaget: enklare regler för biometrisk verifiering, en högre tröskel för när dataintrång måste anmälas, och tydligare förutsättningar för att behandla personuppgifter vid AI-utveckling.

Kritiken riktas mot omdefinitionen av personuppgift. Enligt yttrandet skulle den undanta behandling av personuppgifter från förordningens tillämpningsområde och avvika från EU-domstolens praxis. IMY:s generaldirektör Eric Leijonram har beskrivit myndighetens hållning som riskbaserad och pragmatisk, men med kravet att skyddet ska vara kvar.

När kan de nya reglerna börja gälla?

Det går inte att säga. Förslaget befinner sig i första behandling i parlamentet, där ITRE- och LIBE-utskotten delar på ansvaret. Rättsliga utskottet lämnade ett utkast till yttrande den 5 juni 2026.

Efter ett eventuellt antagande tillkommer övergångstider. Den föreslagna kakregeln i artikel 88a ska enligt förslaget börja gälla sex månader efter ikraftträdandet, medan kravet på att kunna ta emot automatiserade samtyckessignaler föreslås gälla efter 24 månader för personuppgiftsansvariga och 48 månader för webbläsarleverantörer. Även om paketet skulle klubbas under 2026 dröjer det alltså innan förändringarna märks i praktiken.

Vad gäller för dig fram till dess?

Dina rättigheter är oförändrade. Du har rätt att begära ut de personuppgifter ett företag har om dig, att få felaktiga uppgifter rättade, att i vissa fall få uppgifter raderade, att invända mot viss behandling, att flytta dina uppgifter till en annan leverantör och att slippa beslut som fattas helt automatiskt.

För den som driver verksamhet gäller samma sak åt andra hållet: 72-timmarsregeln vid personuppgiftsincidenter står kvar, och en månad är fortfarande svarstiden på ett registerutdrag.

Vad hände med AI-delen av paketet?

Där är läget ett annat. Den 24 juli 2026 publicerades förordning (EU) 2026/1744 i EU:s officiella tidning, efter att Europaparlamentet antagit den den 16 juni och rådet godkänt den den 29 juni. Förordningen trädde i kraft den 27 juli 2026 och ändrar AI-förordningen på flera punkter.

Flera tillämpningsdatum flyttas fram:

- 2 december 2027 – fristående högrisksystem enligt bilaga III
- 2 augusti 2028 – AI som byggs in i redan reglerade produkter enligt bilaga I

Märkningskraven i artikel 50 börjar däremot gälla som planerat den 2 augusti 2026. Det som ändrats är övergångsfristen: system som släpptes på marknaden före det datumet har fram till den 2 december 2026 på sig att uppfylla kraven.

Samtidigt infördes två nya förbud i artikel 5: mot AI-system som utan samtycke skapar eller manipulerar realistiskt intimt material av identifierbara personer, och mot system som genererar övergreppsmaterial med barn.

Så avgör du om en GDPR-nyhet faktiskt gäller

Rubriker om "nya GDPR-regler" handlar ofta om förslag, inte om gällande rätt. Fyra steg skiljer det ena från det andra:

1. Förslag – kommissionen lägger fram en text. Ingenting gäller.
2. Förhandling – parlamentet och rådet tar fram varsin position. Innehållet kan ändras kraftigt, som med definitionen av personuppgift.
3. Antagande och publicering – texten antas av båda och publiceras i EU:s officiella tidning. Först då är den lag.
4. Tillämpningsdatum – det datum reglerna faktiskt börjar tillämpas, ofta ett eller flera år senare.

Dataskyddsdelen av Digital Omnibus befinner sig i steg två. AI-delen har passerat steg tre och har tillämpningsdatum framför sig.

Vad betyder det för dig som driver verksamhet?

Ingen behöver bygga om sina rutiner efter ett förslag. Rutinerna för incidenthantering, registerförteckning och svar på registerutdrag ska följa nuvarande regler.

Däremot är två av de föreslagna ändringarna värda att hålla ögonen på i planeringen: en central rapporteringsplattform för incidenter, som enligt förslaget ska samla anmälningar enligt flera regelverk på ett ställe, och kakreglerna som föreslås flyttas in i GDPR tillsammans med maskinläsbara samtyckessignaler. Båda skulle påverka arbetssätt snarare än ambitionsnivå.

Vad du bör hålla ögonen på

Tre saker avgör hur mycket som faktiskt förändras: om definitionen av personuppgift överlever förhandlingen, om berättigat intresse blir en uttrycklig grund för AI-träning, och om kakreglerna flyttas in i GDPR. De två sista är de som märks mest i vardagen – den ena avgör vad som får göras med uppgifter om dig, den andra hur ofta du möts av en samtyckesruta.