Vad innebär AI-förordningen för ett medelstort svenskt företag?
För de flesta medelstora företag innebär AI-förordningen tre saker: medarbetarna ska ha kunskap om AI-stöden de använder, kunder ska få veta när de interagerar med AI, och ni ska veta om något av era AI-system är högrisk. AI-stöd i sälj, offerter och kundservice är sällan högrisk. AI för rekrytering och personalbedömning kan vara det.
Varför bromsar regelverket så många AI-satsningar?
”Vi vågar inte, tänk på GDPR.”
Det är ofta den verkliga anledningen till att AI-projekt stannar i medelstora bolag. Inte tekniken. Inte budgeten. Oron. Vad händer med vår data? Vem ser den? Vad säger juristerna?
Det är en rimlig oro, och den ska tas på allvar. Men lösningen är sällan att vänta. Lösningen är en tydlig spelplan: vilken data får användas, var, av vem och hur.
När medarbetarna vet var gränserna går vågar de använda verktygen.
Vad är AI-förordningen?
AI-förordningen, på engelska AI Act, är EU:s förordning (EU) 2024/1689 om artificiell intelligens. Den gäller direkt i alla EU-länder och reglerar AI-system efter hur stor risk de innebär för människors hälsa, säkerhet och grundläggande rättigheter.
Den kompletterar GDPR, den ersätter den inte. Behandlar AI-stödet personuppgifter gäller båda.
Vilken roll har ert företag: leverantör eller tillhandahållare?
Förordningen skiljer på två huvudroller:
| Roll | Vad det betyder | Typiskt exempel |
|---|---|---|
| Leverantör (provider) | Den som utvecklar ett AI-system och släpper ut det på marknaden eller tar det i bruk i eget namn | Ett mjukvarubolag som säljer en AI-tjänst |
| Tillhandahållare (deployer) | Den som använder ett AI-system i sin verksamhet | Ett företag som använder AI-stöd i sin offertprocess |
De flesta medelstora företag är tillhandahållare. Tar ni fram ett eget AI-system och använder det i eget namn blir ni också leverantör, med fler skyldigheter. Detsamma kan gälla om ni ändrar syftet med ett AI-system så att det blir högrisk, till exempel börjar använda en allmän AI-assistent för att sortera jobbansökningar (artikel 25).
Vilka riskklasser finns?
| Riskklass | Exempel | Vad som gäller |
|---|---|---|
| Förbjudet | Social poängsättning, manipulation som utnyttjar sårbarheter, känsloigenkänning på arbetsplatsen | Får inte användas |
| Hög risk | AI för rekrytering och urval, bedömning av anställda, kreditprövning av privatpersoner, bedömning av elever, kritisk infrastruktur | Omfattande krav: riskhantering, dokumentation, mänsklig tillsyn, loggning |
| Begränsad risk (öppenhet) | Chattbottar, AI-genererat innehåll, deepfakes | Människor ska få veta att de interagerar med AI eller att innehållet är AI-genererat |
| Minimal risk | Det mesta av AI-stöd i sälj, offerter, rapportering och intern administration | Inga särskilda krav utöver AI-kunnighet |
Fällan för B2B-företag är personalfrågor. Ett AI-stöd som filtrerar jobbansökningar eller bedömer kandidater är högrisk, även i ett litet bolag. Detsamma gäller AI som fattar beslut om befordran eller uppsägning, fördelar arbetsuppgifter efter personliga egenskaper eller bedömer anställdas prestation (bilaga III, punkt 4).
Vilka datum gäller?
| Datum | Vad som börjar gälla |
|---|---|
| 1 augusti 2024 | Förordningen träder i kraft |
| 2 februari 2025 | Förbuden. Krav på AI-kunnighet hos dem som använder AI-system. |
| 2 augusti 2025 | Regler för AI-modeller för allmänna ändamål (GPAI) och sanktioner |
| 2 augusti 2026 | Huvuddelen av förordningen, bland annat öppenhetskraven i artikel 50 |
| 2 december 2026 | Sista dag för system som fanns på marknaden före 2 augusti 2026 att märka AI-genererat innehåll maskinläsbart (artikel 50.2) |
| 2 december 2027 | Krav på fristående högrisksystem (bilaga III), till exempel rekrytering och personalbedömning |
| 2 augusti 2028 | Krav på högrisksystem som ingår i produkter (bilaga I) |
Högriskdatumen flyttades fram 2026 genom EU:s förenklingspaket, ofta kallat Digital Omnibus. Öppenhetskraven flyttades inte. Källa för datumen: PTS om AI-förordningen.
Vad behöver ett medelstort företag göra nu?
- Inventera era AI-system. Vilka AI-stöd används, av vem och till vad? Glöm inte inbyggda AI-funktioner i system ni redan har.
- Klassa dem. De flesta hamnar i minimal eller begränsad risk. Leta särskilt efter AI som används i rekrytering och personalbedömning.
- Säkra AI-kunnigheten. Sedan 2 februari 2025 ska företag som använder AI-system vidta åtgärder för medarbetarnas AI-kunnighet (artikel 4). I praktiken: alla som använder AI-stödet förstår vad det gör, var gränserna går och när en människa ska granska.
- Var öppna mot kunderna. Möter kunder en chattbot eller AI-genererat innehåll ska det framgå.
- Skriv en enkel AI-policy. Vilken data får användas, i vilka verktyg, av vem och hur. En sida räcker för att börja.
- Koppla ihop med GDPR. Kartlägg dataflödena. Där behandlingen kan innebära hög risk görs en konsekvensbedömning.
Det är så vi arbetar: regelverket som designkrav från dag ett, inte pappersarbete efteråt. Då går tjänsten att sätta i produktion, och behålla där. Läs mer i Från AI-pilot till produktion och se tjänstetrappan.
Vem har tillsyn i Sverige?
Flera myndigheter delar på ansvaret. Post- och telestyrelsen (PTS) är nationellt behörig myndighet och kontaktpunkt, och ansvarar för den regulatoriska sandlådan för AI. Integritetsskyddsmyndigheten (IMY) är marknadskontrollmyndighet för flera typer av AI, bland annat inom brottsbekämpning och kreditvärdering. Finansinspektionen har ansvar inom finanssektorn.
Kompletterande svensk lagstiftning är på väg. PTS har i uppdrag att vara behörig myndighet till och med 31 december 2026. Källor: PTS, IMY.
Vad händer om man bryter mot reglerna?
Sanktionsavgifterna är som högst 35 miljoner euro eller 7 procent av den globala årsomsättningen för förbjudna AI-system, och 15 miljoner euro eller 3 procent för de flesta andra skyldigheter. För små och medelstora företag gäller det lägre av de två beloppen (artikel 99).
Viktigare än sanktionerna i vardagen: ett AI-stöd som inte klarar regelverket kommer aldrig i produktion. Juridiken stoppar det, ofta sent.
Den här guiden är allmän information om AI-förordningen, inte juridisk rådgivning. Kontrollera alltid aktuell lydelse och läget för er verksamhet.
Källor: Förordning (EU) 2024/1689, EUR-Lex · PTS om AI-förordningen · IMY: marknadskontrollmyndighet för AI-förordningen · IMY om konsekvensbedömning
FAQ
Vanliga frågor om AI-förordningen
Gäller AI-förordningen för oss om vi bara använder ChatGPT eller Copilot?
Ja, som tillhandahållare. För allmänna AI-assistenter i det dagliga arbetet handlar det främst om AI-kunnighet hos medarbetarna och en tydlig policy för vilken data som får användas.
Är AI i säljprocessen högrisk?
Sällan. AI-stöd för offerter, leads, uppföljning och rapportering hör normalt till minimal risk. Det som kan bli högrisk i ett B2B-företag är AI för rekrytering och personalbedömning.
Måste vi berätta för kunder att vi använder AI?
Om kunden interagerar direkt med ett AI-system, till exempel en chattbot, ska det framgå. Ett internt AI-stöd där en människa granskar innan något skickas omfattas normalt inte av det kravet.
Har högriskkraven skjutits upp?
Ja. Kraven på fristående högrisksystem gäller från 2 december 2027 och på högrisksystem i produkter från 2 augusti 2028. Förbuden, kravet på AI-kunnighet och öppenhetskraven gäller redan.
Vem kan hjälpa oss att klassa våra AI-system?
Vi gör klassning och kartläggning av dataflöden som en del av varje uppdrag. Boka 30 minuter, kostnadsfritt. För juridiska bedömningar i enskilda fall rekommenderar vi en jurist med inriktning på AI och dataskydd.
Vilka AI-system har ni redan?
Ta med listan till ett samtal. Vi ser tillsammans hur de klassas och vad som behöver göras.
Boka 30 minuter