EU AI Act.
AI-förordningen för företag: roller, användningsfall, gällande skyldigheter och vägen till lämpliga underlag.
- Förordning (EU) 2024/1689 · ändringsläge 27.07.2026
- Av Derya Altinay
- Aktuellt per: 2026-10-22
- Lästid: 7 min.
Kort svar.
EU AI Act reglerar artificiell intelligens utifrån användningsfall, risk och roll. AI-förordningen skiljer bland annat mellan leverantörer och tillhandahållare, förbjuder vissa metoder och kräver särskilda skyddsåtgärder och underlag för högrisk-AI. Transparens, AI-kunnighet och modellleverantörers skyldigheter ska prövas separat. Art. 113 fastställer den stegvisa tillämpningen.
AI-förordningen och dess aktuella läge.
EU AI Act är en direkt tillämplig EU-förordning och ingen frivillig säkerhetsstandard. Förordning (EU) 2024/1689 fastställer skyldigheter för AI-system och AI-modeller för allmänna ändamål. Den välkända översikten över AI Act-riskklasser hjälper vid starten. Ett konkret beslut behöver dessutom beakta företagets roll och den avsedda användningen.
Förordning (EU) 2026/1744 har ändrat AI-förordningen och gäller sedan den 27 juli 2026. Dess art. 1 Nr. 40 ändrar tidsplanen i art. 113 AI-förordningen: för högrisksystem enligt art. 6 Abs. 2 och bilaga III gäller kapitel III avsnitt 1–3 i princip från den 2 december 2027, och för produktvägen enligt art. 6 Abs. 1 och bilaga I från den 2 augusti 2028. Art. 6 Abs. 5 är undantagen.
Den allmänna tillämpningen börjar fortsatt den 2 augusti 2026. Förbud och AI-kunnighet samt regler för modeller för allmänna ändamål har egna tidigare datum. Vissa nytillkomna förbud gäller först från den 2 december 2026. Förlängningen av vissa högriskfrister skjuter därför inte upp AI-förordningen som helhet. För redan tillhandahållna system och modeller ska dessutom övergångsreglerna i art. 111 prövas.
Vem EU AI Act gäller för.
Enligt art. 2 gäller EU AI Act särskilt leverantörer som släpper ut AI-system på EU-marknaden eller tar dem i bruk och tillhandahållare med säte eller etablering i EU. Även vissa aktörer utanför EU omfattas om systemens utdata används inom EU. Importörer, distributörer och produkttillverkare har egna roller. Rent privat, icke yrkesmässig användning ska behandlas annorlunda än användning i företag.
Ett företag bör klargöra sin roll för varje användningsfall. Inköp av en extern tjänst fastställer inte slutligt rollen för varje tillämpning som bygger på den. Modell och färdigt system är också olika bedömningsobjekt. Syfte, tillhandahållande och faktisk användning hör därför till prövningen. En företagsövergripande klassificering enbart utifrån modellnamnet är för oprecis.
AI Act-skyldigheter beror på roll och användning.
AI Act-skyldigheterna utgör inget enhetligt åtgärdspaket för all AI-användning. Följande områden ger orientering. Tillämpliga artiklar och datum måste fastställas för respektive system och roll.
Pröva förbud och högriskklassificering.
Art. 5 beskriver förbjudna metoder och art. 6 högriskklassificeringen. Produktvägen kopplar anknytningen till bilaga I till den obligatoriska tredjepartsbedömningen. Den andra vägen gäller förtecknade användningsfall enligt bilaga III. Inte varje tillämpning i en nämnd bransch innebär automatiskt hög risk. Undantag kräver en motiverad prövning av den konkreta funktionen.
Utveckla AI-kunnighet.
Art. 4 kräver i sin ändrade lydelse åtgärder som stöder utvecklingen av AI-kunnighet. Förkunskaper, erfarenhet, uppgifter och användningssammanhang ska beaktas. Leverantörer och tillhandahållare behöver inte garantera en bestämd individuell kompetensnivå. Ett allmänt kursintyg ersätter därför varken valet av lämpliga åtgärder eller arbetet med att förstå de använda systemen.
Utforma säker och spårbar högrisk-AI.
Högriskkraven i art. 9–15 gäller bland annat riskhantering, data, dokumentation, loggning, information, mänsklig kontroll samt noggrannhet, robusthet och cybersäkerhet. Leverantörsskyldigheter och kvalitetsledningen enligt art. 17 organiserar arbetet. Vilka krav som gäller när följer av det konkreta regelverket och tillämpningstidsplanen.
Ta ansvar i driften.
Tillhandahållarnas skyldigheter enligt art. 26 skiljer sig från leverantörernas uppgifter. När högriskregler gäller ingår särskilt drift enligt instruktioner, lämplig mänsklig kontroll och övervakning av användningen. Kontroll kräver kompetenta personer med faktisk handlingsmöjlighet. Att enbart utse en ansvarig funktion visar inte att effektiva ingripanden är möjliga i arbetsflödet.
Genomför transparens där den krävs.
Art. 50 innehåller särskilda informations- och märkningsskyldigheter för vissa system och utdata. Dessa gäller exempelvis tydlig kontakt med AI och hantering av visst artificiellt genererat innehåll. Vem som måste informera eller märka beror på bestämmelse och roll. Någon generell regel för varje dokument som bearbetats internt med AI kan inte härledas ur detta.
Bedöm modellskyldigheter separat.
Kapitel V innehåller särskilda skyldigheter för leverantörer av AI-modeller för allmänna ändamål, på engelska General-Purpose AI eller GPAI. Ytterligare krav gäller modeller med systemrisk. Användning av en sådan modell gör inte automatiskt ett företag till modellleverantör. Samtidigt klargör modelldokumentationen inte alla skyldigheter för det system som bygger på modellen.
Genomförandet börjar med användningsfallet.
Kartlägg syfte och användning.
Börja praktiskt med att beskriva vilken uppgift ett AI-system utför, vem som använder det och vilka personer eller beslut dess utdata berör.
Klargör roll och tillämpningsområde.
Dokumentera vilken aktörsroll organisationen har och vilken prövning av EU-anknytning och möjliga undantag som ligger till grund för beslutet.
Pröva klassificeringen sakkunnigt.
Pröva förbud, högriskvägar och transparensfrågor med verksamhetsansvariga, tekniskt ansvariga och juridiskt ansvariga och dokumentera motiveringen.
Fastställ skyldigheter och datum.
Koppla konkreta ansvariga och respektive gällande tillämpningsdatum till relevanta krav, inklusive särskilda övergångsregler.
Koppla samman underlag och drift.
Planera nödvändiga handlingar, granskningar och kontroll så att de återspeglar systemets faktiska användning och det tillämpliga sättet att styrka efterlevnaden.
Bedöm förändringar på nytt.
Som praktisk rekommendation bör ni ompröva besluten vid ändrat syfte, funktionsomfång, användningsmiljö eller ansvar och dokumentera det nya läget.
Underlagen följer respektive förfarande.
AI-förordningen föreskriver inget enhetligt certifikatköp för alla företag. För högrisk-AI avgör art. 43 det tillämpliga förfarandet för bedömning av överensstämmelse. Beroende på system föreskrivs intern kontroll eller medverkan av ett anmält organ. Produktregler kan medbestämma förfarandet. Dokumentation, eventuell EU-försäkran om överensstämmelse, CE-märkning och registrering ska bedömas i rätt rättsligt sammanhang.
Ett intyg från ett anmält organ ska skiljas från ett frivilligt ledningssystemcertifikat. Art. 44 Abs. 2 begränsar den där reglerade giltigheten till högst fem år för system enligt bilaga I och fyra år för system enligt bilaga III. Avgörande är angiven period och förfarandets villkor. Dessa gränser är ingen allmän giltighetstid för alla AI Act-underlag. Driftsskyldigheterna måste dessutom följas.
Andra ramverk stöder olika uppgifter.
För AI-produkter kan även Cyber Resilience Acts produktskyldigheter vara relevanta och ska prövas självständigt.
ISO 42001 strukturerar ett ledningssystem för AI, medan NIST AI RMF erbjuder ett frivilligt ramverk för AI-risker. Båda kan stödja arbetets organisering men styrker ingen automatisk överensstämmelse med EU AI Act. GDPR fortsätter att gälla självständigt vid personuppgiftsbehandling. En AI Act-klassificering ersätter ingen dataskyddsrättslig prövning.
I Secani.
Secani innehåller en redaktionell företagskatalog för EU AI Act med roll- och profiluppgifter, genomförandeanvisningar och exempel på underlag. Leverantörer, tillhandahållare och övriga roller dokumenteras separat. Hjälpmedlet stöder strukturerat arbete men ersätter varken sakkunnig klassificering eller ett lagstadgat bedömningsförfarande. Katalogen är inget myndighetsintyg om överensstämmelse.
Nästa steg.
Välj ett konkret AI-användningsfall som är i drift eller planeras och för samman dess verksamhetsansvariga och tekniskt ansvariga med den juridiska prövningen. Det första resultatet bör vara ett motiverat beslut om roll, användning och relevanta skyldigheter. Därifrån växer en hanterbar underlagsplan fram. En oprövad lista över alla förordningsartiklar hjälper mindre.
Källor.
- Europeiska kommissionen: Cyber Resilience Act
- AI-förordningen: konsoliderad lydelse den 27 juli 2026
- Förordning (EU) 2026/1744: Digital Omnibus on AI, särskilt art. 1 Nr. 5 och 40
- Europeiska kommissionen: AI Act och tillämpningstidsplan
- Officiell AI Act Service Desk: art. 2, tillämpningsområde
- Officiell AI Act Service Desk: art. 4, AI-kunnighet
- Officiell AI Act Service Desk: art. 6, högriskklassificering
- Officiell AI Act Service Desk: art. 17, kvalitetsledning
- Officiell AI Act Service Desk: art. 26, tillhandahållares skyldigheter
- Officiell AI Act Service Desk: art. 43, bedömning av överensstämmelse
- Officiell AI Act Service Desk: art. 44, intyg
- Officiell AI Act Service Desk: art. 50, transparensskyldigheter
- Officiell AI Act Service Desk: art. 113, tillämpning
Vanliga frågor.
Nej. Art. 6 knyter klassificeringen till vissa produktsituationer eller förtecknade användningsfall med deras förutsättningar och undantag. Användning av en kraftfull modell avgör inte ensam klassificeringen.
Nej. Rollen beror på tillhandahållande, egen tillämpning och möjliga förändringar. Avtalet med en modell- eller tjänsteleverantör klargör inte automatiskt ansvaret för det färdiga systemet.
Nej. Ett ledningssystem för AI kan ordna ansvar och rutiner, medan lagstadgade skyldigheter för respektive användning ska prövas separat. Ett ledningssystemcertifikat är inget generellt underlag för alla krav i EU AI Act.
Nej. Nödvändiga underlag följer av roll, system och tillämpliga bestämmelser. Art. 43 skiljer mellan flera förfaranden för bedömning av överensstämmelse. Alla förfaranden kräver inte medverkan av en extern instans.
Arbeta konkret med AI-ansvar.
Koppla samman krav, ansvar och underlag för era prövade användningsfall i Secani.
Denna sida beskriver AI-förordningen övergripande. Gällande rättsakter och prövningen av det konkreta användningsfallet är avgörande.