EU:s nya produktansvarsreglering och vad den för med sig

Bakgrunden till uppdateringen är framför allt produkternas snabba teknologiska utveckling och de globala leveranskedjornas ökande komplexitet. Den tidigare regleringen ansågs inte längre motsvara dagens läge, till exempel när det gäller de ansvariga aktörerna eller produktdefinitionen. Dessutom har de sinsemellan avvikande produktansvarsbestämmelserna i olika länder orsakat praktiska utmaningar.

Direktivets viktigaste förnyelser gäller produktdefinitionen, en utvidgning av kretsen ansvariga aktörer samt vilka skador som kan ersättas.

Förändringar i produktansvarsregleringen

När det gäller digitala produkter jämställs den som utvecklar eller tillverkar programvara med tillverkaren. En digital tjänst som kopplats till en produkt kan betraktas som en komponent i produkten, om den kontrolleras eller godkänns av tillverkaren. Produktdefinitionen omfattar även fristående programvara och AI-system, oavsett om programvaran levereras exempelvis förinstallerad på en enhet, via nätet eller som molntjänst. Programvara med fri och öppen källkod som utvecklas eller tillhandahålls utanför kommersiell verksamhet faller i regel utanför tillämpningsområdet.

Direktivet beaktar även den cirkulära ekonomin. En väsentlig ändring av en produkt utanför den ursprungliga tillverkarens kontroll, och att produkten därefter på nytt släpps ut på marknaden, kan innebära att den aktör som gjort ändringen får tillverkaransvar.

När det gäller ersättningsgilla skador utvidgas definitionen av personskada, så att även medicinskt konstaterade psykiska skador i fortsättningen kan omfattas av ersättningen. Den nuvarande minimigränsen på 395 euro för sakskador slopas. Även förstörelse eller skadande av data som är avsedd för annat än yrkesmässigt bruk kan bli ersättningsgill.

Kretsen av ansvariga aktörer har utvidgats. Utöver tillverkaren kan under vissa förutsättningar även till exempel importören, det auktoriserade ombudet, distributören, leverantören av logistiktjänster eller tillhandahållaren av en onlineplattform bli produktansvariga.

Bevisbördan har lättats ur den skadelidandes synvinkel. Domstolen kan ålägga svaranden att lägga fram nödvändig och proportionell bevisning för att avgöra ärendet. Produktens bristande säkerhet eller orsakssambandet mellan denna och skadan kan dessutom, i de situationer som anges i direktivet, presumeras om det är orimligt svårt att visa detta, till exempel på grund av teknisk eller vetenskaplig komplexitet. Bevisbördan vänds dock inte automatiskt i samtliga fall.

Preskriptionstiden förlängs till 25 år från det att produkten släpptes ut på marknaden, i fall där symtomen på en personskada uppkommer långsamt. Sådana kan till exempel vara personskador som orsakas av långvarig användning av en beståndsdel i produkten. För övriga skador förblir den allmänna preskriptionstiden oförändrad.

Ändras produktansvarsförsäkringen?

Ur produktansvarsförsäkringen ersätts enligt försäkringsvillkoren i regel de person- och sakskador som produkten orsakat samt den ekonomiska skada som direkt hänför sig till dessa. Rena förmögenhetsskador faller vanligtvis utanför ersättningsbarheten. Ersättningsskyldigheten ska grunda sig på gällande lagstiftning.

Försäkringsvillkoren är i utgångsläget utformade för skador orsakade av fysiska produkter. Numera är dock allt fler produkter digitala eller innehåller programvara och AI som påverkar produktens säkerhet och användbarhet.

Det nya direktivet ändrar inte automatiskt omfattningen av befintliga försäkringar, utan skyddet bestäms fortfarande utifrån försäkringsvillkoren. Det är därför viktigt för företaget att utreda hur försäkringsvillkorens definitioner av produkt, skada och försäkrad verksamhet tillämpas på programvara och digitala produkter.

Ett programvaruföretags ansvarsrisker kan fördela sig mellan produktansvars-, ICT-konsultansvars- och cyberförsäkringar. Det lönar sig därför att granska försäkringsskyddet som en helhet och säkerställa att det inte finns väsentliga luckor mellan de olika försäkringarna.

AI- och cyberreglering medför skyldigheter

EU:s beredda förslag till AI-ansvarsdirektiv drogs officiellt tillbaka i oktober 2025. AI-system omfattas dock av produktdefinitionen i det nya produktansvarsdirektivet. Dessutom medför EU:s AI-förordning separata skyldigheter för leverantörer och användare av AI-system.

Programvaru- och teknikföretag måste även beakta EU:s cyberresiliensförordning. Rapporteringsskyldigheterna gällande aktivt utnyttjade sårbarheter och allvarliga informationssäkerhetsincidenter börjar tillämpas den 11.9.2026, och förordningens centrala produktkrav börjar tillämpas den 11.12.2027. Bristande cybersäkerhet eller försummelse av nödvändiga säkerhetsuppdateringar kan även påverka bedömningen av produktens säkerhet i en produktansvarssituation.