AI-förordningen – en översikt

AI-förordningen gäller för offentliga och privata aktörer, både inom och utanför EU, om AI-systemet tillhandahålls på EU-marknaden eller påverkar personer inom EU. Enligt tidigare tidsplan skulle majoriteten av reglerna tillämpas från augusti 2026, men tidsplanen är inte helt fastställd till följd av EU-kommissionens nya förslag. Organisationer bör i detta skede förbereda sig i förhållande till det omfattande regelverket.

När är AI-förordningen tillämplig?
AI-förordningen är tillämplig på (i) AI-system, inbegripande AI-system för allmänna ändamål, och (ii) AI-modeller för allmänna ändamål, med eller utan systemrisk. Ett AI-system definieras i AI-förordningen som ”Ett maskinbaserat system som är utformat för att fungera med varierande grad av autonomi och som kan uppvisa anpassningsförmåga efter införande och som, för uttryckliga eller underförstådda mål, drar slutsatser härledda från den indata det tar emot, om hur utdata såsom förutsägelser, innehåll, rekommendationer eller beslut som kan påverka fysiska eller virtuella miljöer ska genereras.” Att AI-system är utformade för att fungera med varierande grad av autonomi innebär att de i viss mån är oberoende av mänsklig kontroll och har förmåga att fungera utan mänskligt ingripande. I detta sammanhang kan begreppet anpassningsförmåga också lyftas fram, vilket ofta kallas för självinlärningskapacitet. Det avser ett AI-systems förmåga att självlära efter införandet och därigenom förändras och utvecklas under sin användning. Vidare är en AI-modell för allmänna ändamål definierat som ”En AI-modell, även när en sådan AI-modell tränas med en stor mängd data med hjälp av självövervakning i stor skala, som uppvisar betydande generalitet och på ett kompetent sätt kan utföra ett brett spektrum av distinkta uppgifter oavsett hur modellen släppts ut på marknaden och som kan integreras i en rad system eller tillämpningar i efterföljande led, utom AI-modeller som används för forsknings-, utvecklings- eller prototypverksamhet innan de släpps ut på marknaden.” Systemrisk är en risk som är specifikt kopplad till den kapacitet för hög påverkansgrad som finns hos AI-modeller för allmänna ändamål och som påverkar marknaden i betydande grad genom sin räckvidd eller negativa effekter på bl.a. folkhälsa och säkerhet.

När det gäller vilka aktörer som omfattas av AI-förordningen berör reglerna flera olika roller, som träffas på olika sätt. Dessa kategoriseras som (i) leverantörer, (ii) tillhandahållare, (iii) importörer och (iv) distributörer. Förenklat innebär det att förordningen omfattar organisationer som utvecklar eller använder AI-system i sin verksamhet, liksom aktörer som släpper ut eller tillhandahåller AI-system på marknaden. Det mest omfattande ansvaret faller på leverantörer, det vill säga aktörer som utvecklar AI-system och gör dem tillgängliga på marknaden inom EU.

Vilka skyldigheter föreligger enligt AI-förordningen?
AI-förordningen bygger på en riskbaserad ansats klassificerad utifrån fyra nivåer, nämligen (i) oacceptabel risk, (ii) hög risk, (iii) begränsad risk och (iv) minimal risk. AI-system som anses innebära en oacceptabel risk förbjuds, medan system som klassas som hög risk omfattas av omfattande och detaljerade krav enligt AI-förordningen. AI-system med begränsad risk träffas endast av mer begränsade skyldigheter och för AI-system med minimal risk ställs inga obligatoriska krav alls.

Sedan den 2 februari 2025 är AI som innebär oacceptabel risk förbjuden. Dit hör bland annat AI-system som använder subliminala tekniker, utnyttjar särskilda sårbarheter hos individer, utför brottsriskbedömningar baserade enbart på profilering av en fysisk person eller dennes personlighetsdrag, tolkar känslor på arbetsplatser eller vid utbildningsinstitutioner samt AI-system som används för social poängsättning.

AI-system innebär hög risk om de omfattas av harmoniseringslagstiftningen i bilaga I och uppfyller kriterierna i artikel 6 eller om de listas i bilaga III i AI-förordningen. AI-System innebär hög risk omfattar verksamhetsområden såsom kritisk infrastruktur, utbildning eller yrkesutbildning (t.ex. poängsättning av prov), vissa produkters säkerhetskomponenter (t.ex. AI-tillämpningar vid robotassisterad kirurgi), anställning och ledning av arbetstagare (t.ex. programvara för sortering av CV:n vid rekrytering), viktiga privata och offentliga tjänster (t.ex. kreditvärdering som kan neka medborgare lån) samt gränskontroll (t.ex. automatisk prövning av viseringsansökningar ). För AI-system med hög risk ställer AI-förordningen de mest långtgående kraven, bland annat avseende riskhanteringssystem, dataanvändning och datakvalitet, teknisk dokumentation, mänsklig översyn, loggning, registrering, transparens och informationskrav, korrekthet, robusthet och informationssäkerhet samt CE-märkning. EU-kommissionen har dock i november 2025 föreslagit förenklade krav för små och medelstora företag i vissa avseenden samt en generell minskning av registreringsbördan för AI-system inom högriskområden när de utför uppgifter som inte bedöms utgöra hög risk.

Utöver förbudet mot oacceptabel AI började kravet på AI-kunnighet att tillämpas den 2 februari 2025, vilket gäller för alla AI-system. Det innebär att organisationer som tillhandahåller AI-system – eller använder dem i sin egen verksamhet – måste säkerställa att deras personal har den nödvändiga kompetensen för att använda och hantera systemen på ett ansvarsfullt sätt samt förstår riskerna med AI och den potentiella skada den kan vålla.

Finns det några sanktioner om AI-förordningen inte efterlevs?
Det finns enligt AI-förordningen administrativa sanktionsavgifter för överträdelser som fastställs genom en procentandel av årsomsättningen (likt till exempel GDPR). Det kommer även att inrättas möjligheter att lämna in klagomål till den nationella myndighet som får i uppdrag att utöva tillsyn över AI-förordningen, vilken i Sverige föreslås vara Post- och telestyrelsen.

Vad bör en organisation tänka på?
Organisationer bör inledningsvis kartlägga hur AI-förordningen kan påverka verksamheten genom att identifiera vilka AI-system som används eller planeras att användas samt bedöma om dessa omfattas av AI-förordningens definitioner. Om så är fallet bör AI-tillämpningen klassificeras enligt förordningens risknivåer och organisationen fastställa sin roll, exempelvis som leverantör eller tillhandahållare. Vid behov kan en fördjupad analys genomföras, och vid bekräftad tillämplighet bör arbetet med regelefterlevnad inledas. Generellt kan interna processer behöva anpassas, exempelvis införande av konsekvensbedömningar och kontrollprocesser, upprättande och uppdatering av dokumentation, översyn av rutiner och checklistor samt löpande bevakning av utvecklingen hos tillsynsmyndigheter m.m.

Slutligen är det viktigt att säkerställa att relevant personal, inklusive ledning och styrelse, är AI-kunniga och får utbildning för att hantera AI på ett adekvat sätt, både sett ur riskhanterings- och strategiskt perspektiv. Sammanfattningsvis när det kommer till AI-förordningen – identifiera tillämplighet, analysera risker och säkerställ efterlevnad.