EU:s AI-förordning (AI Act) för svenska företag – vad gäller 2026?

EU:s AI-förordning, AI Act, trädde i kraft 2024 och rullas ut i faser fram till 2027 – flera av de mest konkreta skyldigheterna för företag som använder AI-system i sin verksamhet gäller redan nu. Till skillnad från GDPR, som reglerar hur personuppgifter hanteras, reglerar AI Act själva AI-systemet: vilken risknivå det tillhör och vilka krav som följer av den klassningen. För ett företag som använder AI i rekrytering, kundtjänst eller beslutsstöd är den första och viktigaste frågan därför inte "är vi compliant?" utan "vilka av våra AI-system omfattas, och i vilken riskklass hamnar de?".

De fyra riskklasserna i korthet

AI Act delar in AI-system i fyra nivåer: oacceptabel risk (förbjudna system, till exempel social scoring), hög risk (bland annat AI i rekrytering, kreditbedömning och vissa säkerhetskritiska funktioner), begränsad risk (system med transparenskrav, som chatbotar som måste avslöja att de är AI) och minimal risk (de flesta interna produktivitetsverktyg). De flesta SME-företag har ingen AI i den högsta riskklassen, men det är lätt att missa att ett CV-screeningverktyg eller en AI-driven bedömning av kreditvärdighet faktiskt räknas som högrisk och medför betydligt tyngre krav – dokumentation, mänsklig tillsyn och riskhantering.

Vad innebär det praktiskt för ett SME?

För de flesta företag med begränsad-risk-system, som en kundtjänstchatbot eller ett AI-verktyg för att sammanfatta möten, handlar kraven främst om transparens: användare ska kunna förstå att de interagerar med eller påverkas av AI. Företag som använder eller utvecklar högrisksystem möter betydligt mer omfattande krav: riskhanteringssystem, teknisk dokumentation, loggning och mänsklig tillsyn av besluten. Oavsett riskklass är en grundläggande skyldighet redan i kraft för alla organisationer: den som använder AI-system måste säkerställa tillräcklig AI-kompetens hos personalen som arbetar med systemen.

Skillnaden mot GDPR och skuggtjänster

AI Act och GDPR överlappar men reglerar olika saker – GDPR styr hur personuppgifter får behandlas, AI Act styr hur AI-systemet i sig får byggas och användas, oavsett om det behandlar personuppgifter eller inte. Det är också en annan fråga än den om skuggtjänster och okontrollerad AI-användning, som handlar om att anställda använder AI-verktyg utanför företagets kontroll och godkännande. AI Act gäller även de AI-system företaget medvetet och sanktionerat har infört – ett godkänt, väl inköpt AI-verktyg kan fortfarande sakna den dokumentation och riskhantering förordningen kräver.

Så börjar ni: en inventering av era AI-system

Det första praktiska steget är att kartlägga vilka AI-system som faktiskt används i verksamheten – inte bara de uppenbara, som ett dedikerat AI-verktyg, utan även AI-funktioner inbyggda i befintliga system, som automatiserad ansökningssortering i ett rekryteringsverktyg eller AI-baserad bedrägerikontroll i ett betalsystem. För varje system behöver ni sedan bedöma vilken riskklass det faller under och vilken dokumentation som redan finns hos leverantören respektive behöver tas fram internt. Den kartläggningen är i grunden en IT-inventeringsfråga lika mycket som en juridisk fråga.

Så hjälper Smartify er med den tekniska grunden

Smartify hjälper företag att kartlägga vilka system och tjänster som faktiskt är i drift, vilket är en förutsättning för att kunna bedöma vilka AI-funktioner som omfattas av förordningen.

Vanliga frågor om AI Act för företag

Gäller AI Act även om vi bara köper in ett färdigt AI-verktyg, inte utvecklar eget?

Ja. Både den som utvecklar AI-system (leverantören) och den som använder dem i sin verksamhet (er som företag) har skyldigheter enligt förordningen, om än olika omfattande beroende på roll och riskklass.

Räcker det att vår leverantör säger att deras verktyg är compliant?

Leverantörens dokumentation är en viktig utgångspunkt, men ni som användare har ett eget ansvar att förstå vilken riskklass systemet tillhör och att uppfylla de krav som riktar sig specifikt till användare, till exempel mänsklig tillsyn av högriskbeslut.

Är en vanlig kundtjänstchatbot högrisk?

Nej, en chatbot som svarar på kundfrågor räknas normalt som begränsad risk, med krav på att tydliggöra att det är AI. Högriskklassningen träffar framför allt AI som används i beslut som påverkar människors rättigheter, som rekrytering eller kreditgivning.

Vad är det första vi bör göra som företag?

Inventera vilka AI-system och AI-funktioner som faktiskt används i verksamheten, kartlägg vilken riskklass respektive system tillhör, och säkerställ att personalen som arbetar med systemen har tillräcklig kunskap om hur de fungerar och deras begränsningar.

Smartify hjälper ert företag med teknikgrunden

En korrekt inventering av era system och tjänster är grunden för att kunna bedöma vad AI-förordningen faktiskt kräver av er. Smartify hjälper svenska SME-företag att få kontroll över sin IT-miljö.

‍