AI-förordningen: handlingsplan för svenska företag

AI-förordningen har diskuterats så länge att många slutat lyssna. Det är fel läge för det: pilotfasen är slut. Delar av regelverket gäller sedan 2025, och den 2 augusti 2026 inträder full tillämplighet. Här är tidslinjen, kraven som inte går att delegera och en prioritetsordning för företag utan egen complianceavdelning.

Tidslinjen: det mesta gäller redan

Läsningen av tabellen är viktigare än tabellen själv: kompetenskravet och förbuden är inte något som ”kommer” – de har gällt sedan februari 2025. Ett företag som börjar arbetet nu bygger inte marginal, det hämtar ikapp.

Punkterna ni inte kan delegera

Oavsett hur mycket som köps in från leverantörer och konsulter stannar en kärna av skyldigheter hos er:

• Kompetensplan – personal som använder AI ska ha tillräcklig kunskap, dokumenterat.
• Mänsklig tillsyn – högriskanvändning kräver utsedd, utbildad och behörig mänsklig kontroll.
• Loggar – automatiskt genererade loggar från högrisksystem ska sparas, som huvudregel i minst sex månader.
• Information till anställda – berörd personal ska informeras när högrisksystem används i arbetslivet.
• Öppenhet mot berörda – människor ska förstå när de interagerar med AI eller påverkas av dess beslut.
• FRIA – en konsekvensbedömning för grundläggande rättigheter, där Bilaga III-användning träffar er verksamhet.

Leverantörens dokumentation är underlag för punkterna – aldrig en ersättning. Gemensamt för listan är att den kräver organisation snarare än teknik: varje punkt behöver en ägare, och ägarskapet ska överleva personalomsättning.

Sanktionsramen: två tak, det högre gäller

Sanktionsavgifterna är konstruerade med två tak per överträdelse – ett fast belopp eller en andel av den globala omsättningen, där det högre gäller. Nivån beror på överträdelsens art: förbjudna metoder ligger högst, bristande efterlevnad av övriga krav i mitten och felaktiga uppgifter till myndigheter lägst.

Ett räkneexempel ur ett beslutsunderlag: för ett bolag med 800 miljoner kronor i omsättning kan taket per överträdelse landa på 8, 24 eller 141 miljoner kronor beroende på vilken nivå överträdelsen sorterar under. Den exakta siffran spelar mindre roll än insikten: det här är inte en avgift som försvinner i en resultatrapport, och styrelsen behöver se riskbilden innan tillsynen gör det. Sanktioner är dessutom inte den enda risken – kundavtal och upphandlingar börjar redan ställa AI Act-frågor, så efterlevnaden blir en affärsförutsättning snarare än en juridisk fotnot.

Prioritetsordning för ett SME utan complianceavdelning

För ett svenskt företag utan egen jurist på plats är ordningen viktigare än ambitionen. Fyra steg, i tur och ordning:

1. Inventera all AI-användning – även skugg-AI i SaaS-verktyg där AI-funktioner följt med på köpet.
2. Klassa varje användning mot Bilaga III: träffar den rekrytering, kreditbedömning, utbildning eller andra listade områden är den högrisk.
3. Dokumentera – tillsyn, loggning, information till berörda och era bedömningar, daterat.
4. Utbilda – kompetenskravet gäller redan, och en genomförd utbildning är den billigaste efterlevnadspoäng som finns.

Ett exempel på hur det ser ut i praktiken: ett tillverkande bolag med 120 anställda inventerar och hittar elva AI-användningar. Nio är låg risk – textstöd, översättning, mötesanteckningar. Två är kandidater för högrisk: ett CV-screeningverktyg i rekryteringen och en AI-funktion i kvalitetskontrollen. Bolaget dokumenterar klassningen, inför mänsklig granskning av alla rekryteringsutslag och utbildar de berörda teamen. Det arbetet – kanske några veckors insats – är skillnaden mellan en hanterad risk och en oupptäckt. Räkna också med att inventeringen förändrar bilden: de flesta hittar fler AI-användningar än de trodde, och andra än de oroade sig för.

Börja i rätt ände

AI-förordningen belönar samma sak som god arkitektur: att veta vad man har, varför man har det och vem som ansvarar. Inventeringen är därför inte bara ett compliancesteg utan en karta över var AI faktiskt skapar värde hos er. Vi på Weapp bygger AI-lösningar där förordningens krav är en del av designen från start – hör av dig om ni vill ha hjälp att gå från tidslinje till handlingsplan.