Vad är EU AI Act?
EU AI Act är EU:s förordning för artificiell intelligens. Den är riskbaserad: ju större risk ett AI-system innebär för människors säkerhet och rättigheter, desto hårdare krav ställs. Systemen delas in i fyra nivåer, från förbjudna till minimal risk, och både de som utvecklar och de som använder AI får skyldigheter.
EU AI Act är EU:s förordning för artificiell intelligens, det första samlade regelverket i sitt slag. Grundidén är enkel: reglerna ska stå i proportion till risken. Ett AI-system som kan påverka människors säkerhet eller rättigheter möter hårda krav, medan ett ofarligt system knappt berörs alls. Förordningen är riskbaserad, inte teknikbaserad, vilket gör den lättare att förstå än den kanske låter.
De fyra risknivåerna
AI Act delar in system i fyra nivåer efter hur stor risk de innebär. Ju högre upp, desto tyngre krav.
- Oacceptabel risk (förbjuden). System som anses hota grundläggande rättigheter är helt otillåtna. Ett exempel är social poängsättning där myndigheter betygsätter medborgare utifrån deras beteende.
- Hög risk. System som används i känsliga sammanhang och kan påverka människors liv, till exempel AI i rekrytering eller kreditbedömning. Tillåtna, men bara med omfattande krav.
- Begränsad risk. System där den främsta risken är att användaren luras om vad den möter, som chatbotar. Här gäller transparenskrav: det ska framgå att du pratar med en AI.
- Minimal risk. De allra flesta AI-system, som skräppostfilter eller AI i ett spel. I princip inga särskilda krav utöver befintlig lagstiftning.
| Risknivå | Exempel |
|---|---|
| Oacceptabel (förbjuden) | Social poängsättning av medborgare |
| Hög | AI i rekrytering och kreditbedömning |
| Begränsad | Chatbotar och AI-genererat innehåll |
| Minimal | Skräppostfilter och AI i spel |
Det mesta ett vanligt företag använder hamnar långt ner på skalan. Det är först när AI:n fattar eller förbereder beslut om människor, som anställning eller lån, som den tunga delen av regelverket slår till. Nyckeln är alltså inte hur avancerad tekniken är, utan vad den används till. Samma språkmodell kan vara minimal risk i en intern textassistent och hög risk om den sätts att sålla jobbansökningar. Det är användningen, inte modellen, som avgör vilken nivå du hamnar på.
Tidslinjen i korthet
Förordningen träder inte i kraft på en enda dag utan fasas in stegvis. Förbuden mot de mest riskfyllda systemen börjar gälla först, medan de fulla kraven på högrisksystem kommer senare, med tillämpning som rullar ut under 2026 och 2027. Den stegvisa infasningen ger organisationer tid att anpassa sig, men den som väntar tills sista datumet riskerar att stå oförberedd inför krav som tar tid att uppfylla. Att kartlägga vilka AI-system man redan använder, och var de landar på riskskalan, är ett rimligt första steg oavsett var i tidslinjen man befinner sig.
Både leverantörer och användare får skyldigheter
En vanlig missuppfattning är att AI Act bara gäller de som bygger AI. Så är det inte. Förordningen lägger ansvar på både leverantörer, som utvecklar och sätter system på marknaden, och användare (som i regelverket kallas verksamhetsutövare), som tar in AI i sin egen verksamhet.
För dig som köper in ett AI-verktyg betyder det att du inte kan skjuta hela ansvaret på leverantören. Använder du ett högrisksystem har du egna skyldigheter kring hur det används, att det finns mänsklig tillsyn och att det tillämpas som avsett. Även bolag utanför EU omfattas om deras system används inom unionen, så räckvidden är bred.
Ett konkret scenario
Säg att ett företag vill införa ett AI-stöd i rekryteringen som rangordnar sökande. Det är ett högrisksystem. Innan det tas i bruk behöver bolaget säkerställa att leverantören uppfyller kraven på dokumentation och datakvalitet, att en människa fattar det slutliga beslutet, och att processen går att följa i efterhand. Vill företaget i stället bara lägga en chatbot på sin webb för vanliga frågor räcker det i praktiken med att vara tydlig med att besökaren pratar med en AI. Samma teknik, helt olika krav, beroende på risken.
Det är kärnan i AI Act: låt användningen avgöra kraven. Planerar ni AI där regelefterlevnad och datahantering är centralt, tar våra tjänster inom AI med det i bilden redan från start, så att lösningen byggs rätt från början i stället för att repareras i efterhand. Har ni en konkret idé är ni välkomna att höra av er.
Vanliga frågor
Vilka omfattas av EU AI Act?
Både leverantörer som utvecklar AI-system och organisationer som använder dem i sin verksamhet. Även bolag utanför EU omfattas om deras AI-system används inom unionen. Det innebär att också du som köper in och tillämpar ett AI-verktyg får ett ansvar, inte bara den som byggt det.
Vad räknas som ett förbjudet AI-system?
System som anses innebära en oacceptabel risk för människors rättigheter. Exempel är social poängsättning av medborgare och vissa former av manipulativ påverkan som utnyttjar sårbarheter. Sådan användning är helt otillåten inom EU, oavsett hur väl systemet i övrigt fungerar eller vem som står bakom det.
När börjar reglerna gälla?
Förordningen fasas in stegvis snarare än att träda i kraft på en gång. Förbuden mot de mest riskfyllda systemen gäller tidigast, och kraven på högrisksystem fasas in senare, med full tillämpning under 2026 och 2027. Tidslinjen ger organisationer tid att anpassa sig, men förberedelserna behöver börja i god tid.
Vad krävs för ett högrisksystem?
För högrisksystem, exempelvis AI i rekrytering eller kreditbedömning, ställs krav på bland annat riskhantering, dokumentation, datakvalitet, mänsklig tillsyn och spårbarhet. Kraven ska visa att systemet är säkert och rättvist innan det tas i bruk, och de gäller genom hela systemets livslängd, inte bara vid lanseringen.
Gäller AI Act även enkla chatbotar och genererat innehåll?
Ja, men lindrigare. System med begränsad risk, som chatbotar och AI som skapar bilder eller text, omfattas främst av transparenskrav: användaren ska få veta att den interagerar med AI eller att innehållet är AI-genererat. Det är en betydligt lättare börda än den som gäller högrisksystem.