Vad är driftansvarig (deployer) enligt AI-förordningen?

De flesta företag som inför AI ser sig som användare, inte som reglerade aktörer. Men AI-förordningen (AI Act) pekar ut just användaren med ett eget namn – driftansvarig, på engelska deployer – och kopplar skyldigheter till rollen. Att förstå när ni blir driftansvariga är första steget till att göra rätt.

Definitionen – och gränsen mot leverantören

Driftansvarig är den som använder ett AI-system i sin verksamhet. Leverantören (provider) är den som utvecklar systemet och släpper det på marknaden. Ni behöver alltså inte ha byggt någon modell för att omfattas: så fort en modell tas i bruk i verksamheten är ert företag driftansvarigt.

Det gäller även när AI:n köpts som ett färdigt produktivitetsverktyg. Att verktyget är inköpt och “bara” används för att skriva utkast eller sammanfatta ändrar inte saken – användningen är det som utlöser rollen. Många missar detta och tror att ansvaret ligger helt hos leverantören.

Skyldigheter som inte kan delegeras

Som driftansvarig finns ett antal skyldigheter som ligger på er, oavsett vad leverantören åtar sig i sitt avtal. De går inte att skriva bort:

• AI-kompetens hos personalen som använder systemet.
• Mänsklig tillsyn av högrisksystem, så att en människa kan förstå och ingripa.
• Loggar i minst sex månader över systemets användning.
• Information till anställda innan systemet tas i drift.
• Öppenhet mot berörda – de som påverkas av systemets utdata ska kunna få veta det.

Poängen är att ansvaret för hur AI:n används i just er verksamhet är ert, inte leverantörens. Leverantören kan bistå, men skyldigheterna följer med rollen som driftansvarig.

Flera av punkterna är mer konkreta än de först låter. AI-kompetens betyder inte en formell certifiering, utan att de som faktiskt använder systemet förstår vad det kan och inte kan – att en språkmodell kan låta säker och ändå ha fel, och när ett svar behöver kontrolleras. Mänsklig tillsyn handlar om att en människa ska kunna följa, ifrågasätta och vid behov åsidosätta systemets utdata i ett högrisksammanhang, inte bara nominellt “ha en människa i loopen”. Och loggkravet förutsätter att ni över huvud taget samlar in loggar – något som behöver lösas tekniskt innan systemet tas i drift, inte i efterhand.

Tumregeln: när blir det högrisk?

Alla AI-system är inte lika hårt reglerade, och här hjälper en tumregel. En intern produktivitetschattbot – för att skriva utkast, sammanfatta möten eller söka i dokument – är i regel inte ett högrisksystem.

Den blir det först när utdatan används i en process som förordningen pekar ut som högrisk i sin Bilaga III. Två klassiska exempel är rekrytering och kreditbedömning. När chattbotens svar börjar styra vem som kallas till intervju eller vem som beviljas kredit, slår artikel 26 in med sina striktare krav.

Ett konkret scenario gör skillnaden tydlig: samma AI-assistent som lågriskverktyg när HR använder den för att formulera annonser, men högrisk i förordningens mening om den används för att ranka och sålla kandidater. Det är alltså användningen av utdatan, inte verktyget i sig, som avgör vilken kravnivå som gäller.

Vad det betyder i praktiken

För de flesta företag innebär det här att en bred, intern AI-användning kan hanteras med rimliga rutiner: kompetens, information till personalen och grundläggande loggning. Men så snart AI:n kopplas in i ett Bilaga III-område måste ni höja ambitionen och uppfylla högriskkraven.

Att kartlägga var i verksamheten AI:ns utdata faktiskt används är därför den viktigaste övningen. Det är där gränsen mellan lågrisk och högrisk går – och där artikel 26 antingen är irrelevant eller helt central.

En sak till är värd att hålla i minnet: AI-förordningen fasas in stegvis, och olika delar börjar gälla vid olika tidpunkter. Exakt vilka krav som är i kraft när förändras därför över tid, och detsamma gäller den vägledning som tillsynsmyndigheter och EU-organ tar fram. Bygg er efterlevnad på förordningens roller och principer – vem som är driftansvarig, var utdatan används, vad som inte kan delegeras – snarare än på en ögonblicksbild av vilka datum som gäller, och stäm av det aktuella läget när ni planerar en införandeplan. Rollen som driftansvarig är den fasta punkten; kravnivån och tidslinjen är det ni behöver hålla uppdaterade.

Vill du se hur rollen driftansvarig hänger ihop med dataskydd, residens och leverantörsval i ett helt AI-projekt finns mer på vår AI-sida. Behöver du hjälp att avgöra var er AI-användning landar i förordningen? Hör av dig.