Vad är EU AI Acts riskklassificering?

EU AI Acts riskklassificering är det centrala styrningsverktyget i förordningen (EU) 2024/1689 och delar in alla AI-system i fyra risknivåer: oacceptabel risk, hög risk, begränsad risk och minimal risk. Klassificeringen avgör vilka juridiska skyldigheter som gäller för tillhandahållare och användare av ett AI-system – allt från totalförbud till enkla transparenskrav. Systemet är teknikneutralt och baseras på AI-systemets avsedda användning, den sektor det verkar inom och den potentiella skada det kan orsaka grundläggande rättigheter, hälsa och säkerhet. För organisationer verksamma i Sverige är klassificeringen direkt kopplad till efterlevnad av NIS2-direktivet och MSB:s (Myndigheten för samhällsskydd och beredskap) vägledningar om kritisk infrastruktur.

De fyra risknivåerna – scope och tillämpning

Förordningen definierar risknivåerna hierarkiskt. Nedan beskrivs varje nivå med dess tillämpningsområde och de krav som följer.

1. Oacceptabel risk – förbjudna AI-system

AI-system som klassas som oacceptabla är förbjudna inom EU från och med februari 2025. Förbudet omfattar system som:

• använder subliminala tekniker för att manipulera beteende utan användarens medvetenhet,
• exploaterar sårbarheter hos specifika grupper (t.ex. barn eller personer med funktionsnedsättning),
• utför social poängsättning (social scoring) av individer av myndigheter,
• möjliggör realtidsbiometrisk fjärridentifiering i offentliga miljöer – med mycket snäva undantag för brottsbekämpning.

2. Hög risk – strikta krav och förhandsöverensstämmelse

Högrisk-AI-system är tillåtna men måste uppfylla ett omfattande regelverk innan de släpps på marknaden. Bilaga III i förordningen listar åtta sektorer: biometrisk identifiering, kritisk infrastruktur, utbildning, anställning och personalhantering, väsentliga privata och offentliga tjänster (t.ex. kreditbedömning), brottsbekämpning, migrationshantering samt rättsväsende.

Krav för högrisk-system inkluderar:

• Riskhanteringssystem – kontinuerlig riskbedömning under hela livscykeln.
• Datakvalitet och datastyrning – träningsdata måste vara relevant, representativ och fri från fel.
• Teknisk dokumentation – fullständig dokumentation enligt Bilaga IV.
• Loggning och spårbarhet – automatisk loggning av händelser, jämförbart med revisionsspår i ISO 27001-ramverk.
• Transparens mot användare – tydlig information om systemets kapacitet och begränsningar.
• Mänsklig tillsyn – mekanismer för att möjliggöra manuellt ingripande.
• Robusthet, noggrannhet och cybersäkerhet – systemet måste klara relevanta tester och prestandamått.
• CE-märkning och registrering – i EU-databasen för högrisk-AI innan driftsättning.

3. Begränsad risk – transparensskyldigheter

System med begränsad risk, såsom chatbottar och AI-genererat innehåll, omfattas primärt av transparenskrav. Slutanvändare måste informeras om att de interagerar med ett AI-system. Deepfake-innehåll ska märkas som syntetiskt. Kraven är lättare att uppfylla men juridiskt bindande.

4. Minimal risk – inga specifika krav

Majoriteten av alla AI-system – t.ex. skräppostfilter, AI-baserade spelkaraktärer och enkla rekommendationsmotorer – faller i denna kategori. Inga obligatoriska krav gäller, men frivilliga uppförandekoder uppmuntras.

Klassificeringsprocessen – utvärderingskriterier

Att fastställa vilken risknivå ett AI-system tillhör är inte alltid trivialt. Förordningen anger ett antal faktorer som ska vägas in:

Organisationer bör dokumentera klassificeringsbeslutet noggrant. European AI Office har publicerat vägledning och klassificeringsverktyg som stöd. För system som befinner sig i gränslandet mellan begränsad och hög risk rekommenderas en konservativ tolkning, det vill säga att behandla systemet som högrisk tills motsatsen kan styrkas.

För verksamheter som hanterar personuppgifter i AI-system bör klassificeringsprocessen integreras med GDPR:s konsekvensbedömning för dataskydd (DPIA) enligt dataskyddsförordningen. Kopplingar finns även till NIS2:s krav på riskhantering för leverantörer av samhällsviktiga tjänster – ett område som MSB aktivt vägleder svenska organisationer kring.

Hur Opsio stödjer EU AI Act-efterlevnad

Opsio hjälper organisationer i Sverige att strukturera sina AI-system inför EU AI Act-efterlevnad, med utgångspunkt från klassificeringssteget. Från huvudkontoret i Karlstad och leveranscentret i Bangalore arbetar Opsios team med:

• Klassificeringsanalys – kartläggning av befintliga och planerade AI-system mot förordningens Bilaga III och övriga kriterier.
• Infrastrukturella kontroller – implementering av loggning, spårbarhet och revisionsspår via Kubernetes-kluster och Terraform-hanterad infrastruktur som kod, anpassade för högrisk-systemens krav på dokumentation och robusthet.
• Säkerhets- och compliancegranskning – med stöd av ISO 27001-certifierade processer (Bangalore-kontoret) och 24/7 NOC-övervakning för att säkerställa kontinuerlig efterlevnad efter driftsättning.
• Molnpartnerskap – som AWS Advanced Tier Services Partner med AWS Migration Competency, Microsoft Partner och Google Cloud Partner kan Opsio rekommendera och implementera molnarkitekturer som uppfyller EU AI Acts tekniska krav för högrisk-system, inklusive dataisolering, åtkomstkontroll och incidenthantering.

Klassificeringssteget är inte ett engångsprojekt – det kräver löpande översyn när ett AI-systems användning förändras eller nya rättsakter träder i kraft.