Kort förklarat: vad är EU:s AI-förordning?
EU:s AI-förordning, förordning (EU) 2024/1689, är ett gemensamt regelverk för utveckling och användning av AI inom EU. Reglerna gäller både privata och offentliga aktörer och bygger på en riskbaserad modell.
Kraven beror därför inte enbart på vilken teknik som används. Det avgörande är bland annat vilket syfte systemet har, hur det påverkar människor och vilken roll organisationen har i AI-systemets värdekedja.
När började reglerna gälla?
1 augusti 2024
AI-förordningen trädde i kraft.
2 februari 2025
Förbud mot vissa AI-användningar och kravet på AI-kunnighet började tillämpas.
2 augusti 2025
Regler om styrning och skyldigheter för leverantörer av AI-modeller för allmänna ändamål började tillämpas.
2 augusti 2026
Förordningen började tillämpas generellt. Transparensregler för bland annat vissa interaktiva AI-system började gälla.
2 december 2027
Regler för vissa AI-system med hög risk inom känsliga användningsområden ska börja tillämpas enligt den nuvarande EU-tidplanen.
2 augusti 2028
Förlängd övergångstid gäller för vissa AI-system med hög risk som är inbyggda i reglerade produkter.
Tidplanen har förändrats genom senare EU-beslut och kan ändras igen. Kontrollera därför alltid aktuell information hos EU-kommissionen eller ansvarig myndighet.
Vilken roll har företaget?
Leverantör
Den aktör som utvecklar ett AI-system eller låter utveckla det och tillhandahåller systemet under eget namn eller varumärke.
Tillhandahållare eller användande organisation
Den organisation som använder ett AI-system under eget ansvar i verksamheten. I den svenska språkversionen av regelverket används särskilda juridiska begrepp, men i denna artikel beskriver vi rollen även som den verksamhet som använder AI.
Importör eller distributör
Aktörer som för in eller distribuerar AI-system på EU-marknaden kan omfattas av egna skyldigheter.
Ett företag kan ha mer än en roll. Rollen kan också förändras om verksamheten modifierar ett system eller använder det för ett nytt syfte.
Den riskbaserade modellen
Förbjuden användning
Ett begränsat antal användningar bedöms medföra oacceptabla risker och är förbjudna. Det gäller bland annat vissa former av skadlig manipulation, social poängsättning och vissa biometriska tillämpningar.
Hög risk
AI-system kan klassas som högrisk när de används inom särskilt känsliga områden, exempelvis rekrytering, utbildning, kritisk infrastruktur och vissa viktiga privata eller offentliga tjänster. Sådana system kan omfattas av omfattande krav på bland annat riskhantering, dokumentation, loggning, datakvalitet och mänsklig kontroll.
Särskilda transparenskrav
Vissa AI-system behöver tydligt informera människor om att de interagerar med AI. Det kan exempelvis gälla chattbotar och röstbaserade AI-agenter när det inte redan är uppenbart.
Minimal eller begränsad risk
Många vanliga AI-system omfattas inte av högriskkraven. Verksamheten behöver ändå följa annan lagstiftning och arbeta ansvarsfullt med exempelvis personuppgifter, information och säkerhet.
Vad betyder detta för en AI-receptionist eller chattbot?
En AI-receptionist eller extern chattbot som svarar på vanliga frågor är inte automatiskt ett högrisksystem. Klassningen beror på vad agenten används till och vilka konsekvenser dialogen kan få.
- 1
Informera om att det är AI
Personen ska förstå att dialogen sker med ett AI-system när det inte är uppenbart.
- 2
Avgränsa uppdraget
Agenten bör inte fatta beslut som ligger utanför dess definierade och godkända roll.
- 3
Skapa mänsklig överlämning
Det ska finnas en tydlig väg vidare när en människa behöver bedöma, besluta eller hantera en känslig situation.
Exempel: En chattbot som visar öppettider innebär normalt en annan risk än ett system som påverkar om en person får tillgång till en viktig offentlig tjänst.
Vad innebär kravet på AI-kunnighet?
Organisationer som tillhandahåller eller använder AI-system behöver vidta åtgärder för att personal och andra berörda ska ha tillräcklig AI-kunnighet.
Det handlar inte nödvändigtvis om en viss kurs eller certifiering. Kunskapen behöver anpassas efter:
- personens roll
- hur AI-systemet används
- vilken risk användningen medför
- vilka människor som kan påverkas
- vilka instruktioner och kontroller som behövs
Praktiska exempel:
- personalen vet vad agenten får och inte får göra
- någon ansvarar för kunskapskällorna
- medarbetare kan upptäcka och rapportera fel
- människor vet när de ska ta över
- ändringar i agenten dokumenteras och testas
AI-förordningen ersätter inte GDPR
Om ett AI-system behandlar personuppgifter gäller dataskyddsreglerna parallellt. AI-förordningen ersätter inte GDPR och gör inte behandlingen laglig automatiskt.
En organisation behöver fortfarande bedöma bland annat:
- rättslig grund
- vilka uppgifter som verkligen behövs
- information till den registrerade
- lagringstid
- åtkomst och behörigheter
- personuppgiftsbiträden och underleverantörer
- överföring av uppgifter utanför EU och EES
- behov av konsekvensbedömning
Även regler om arbetsrätt, diskriminering, konsumentskydd, sekretess och branschspecifika krav kan vara relevanta.
Vad bör företag göra nu?
- 1
Inventera AI-användningen
Lista AI-agenter, chattbotar, analysverktyg och inbyggda AI-funktioner som används.
- 2
Dokumentera syftet
Beskriv vilket problem varje system ska lösa och vilka människor som påverkas.
- 3
Fastställ organisationens roll
Klargör om ni är användare, leverantör eller har flera roller.
- 4
Gör en första riskbedömning
Bedöm om användningen kan omfattas av förbud, högriskregler eller transparenskrav.
- 5
Bestäm ansvar och mänsklig kontroll
Vem följer upp systemet, uppdaterar innehållet och fattar beslut vid avvikelser?
- 6
Utbilda berörd personal
Anpassa kunskapen efter rollerna och den faktiska användningen.
- 7
Följ förändringar
Dokumentera uppdateringar och kontrollera ny vägledning från EU och svenska myndigheter.
Vanliga frågor
Börja med användningen – inte etiketten AI.
Det viktigaste är att förstå vad systemet faktiskt gör, vilka personer det påverkar och var ansvaret ligger. Två tekniskt liknande lösningar kan omfattas av helt olika krav beroende på hur de används.
En tydlig inventering, dokumenterade gränser och mänsklig kontroll ger en bättre grund för både efterlevnad och fungerande AI.
Källor
Kontrollerat den 12 september 2026