Gap-analys för AI-förordningen: sju steg till efterlevnad

Gap-analys, nulägesanalys eller efterlevnadsbedömning?

Begreppen används ofta om vartannat, men har lite olika fokus:

• Gap-analys handlar om skillnaden mellan nuläge och krav, skyldighet för skyldighet.
• Nulägesanalys eller mognadsbedömning handlar om hur redo styrning, personal och processer är att möta kraven i tid.
• Efterlevnadsbedömning (”AI compliance-granskning”) betyder oftast att ett specifikt system kontrolleras mot specifika krav vid en viss tidpunkt.

Inget av dem är detsamma som en bedömning av överensstämmelse. Det är det formella förfarandet enligt artikel 43 som leverantörer av AI-system med hög risk ska genomföra innan systemet släpps ut på marknaden, i vissa fall med ett anmält organ. Gap-analysen visar om ni behöver en sådan och vad som måste vara klart innan den börjar.

Sju steg för en gap-analys av AI-förordningen

Steg 1: Avgränsa och inventera era AI-system

Bestäm vilka bolag, affärsområden och länder som ingår. Förordningen når utanför EU: ett bolag vars AI-utdata används i EU kan omfattas, så avgränsa inte bara efter var huvudkontoret ligger.

Lista sedan alla AI-system ni utvecklar, köper, bygger in eller låter personalen använda. Ta med det uppenbara – kundtjänstens chattbott, Microsoft 365 Copilot, rekryteringssystemets CV-sortering – och det som lätt glöms bort: AI-funktioner som slagits på som standard i SaaS-tjänster, webbläsartillägg, mötesbottar och modeller som utvecklarna anropar via molntjänsters API:er. Vår guide om att bygga en AI-inventering och ett AI-register visar hur ni hittar systemen och vilka fält ni ska fylla i. Utan listan blir alla senare steg gissningar.

Steg 2: Klassa varje system efter risk

Placera varje post i rätt risknivå: förbjuden, hög risk, transparensrisk eller minimal risk. Nivåerna förklaras i vår artikel om riskklassificering enligt AI-förordningen. De svåra besluten ligger nästan alltid vid gränsen till hög risk. Ett verktyg som rangordnar sökande till en tjänst omfattas av bilaga III punkt 4; ett verktyg som skriver utkast till platsannonser gör det normalt inte. Läs mer om AI-system med hög risk och kraven i bilaga III, inklusive undantagen i artikel 6.3. Dokumentera resonemanget, inte bara slutsatsen.

Steg 3: Fastställ er roll för varje system

Skyldigheterna beror på er roll, och rollen kan skilja sig mellan system. I förordningen är den som utvecklar och släpper ut ett system leverantör, medan den som använder ett AI-system under eget ansvar i yrkesmässig verksamhet är tillhandahållare – många säger ”användare” i vardagen. Ett typiskt svenskt bolag är tillhandahållare av Copilot men leverantör av den kundchattbott det egna utvecklingsteamet byggt ovanpå en språkmodell. Artikel 25 innehåller en fälla: om ni sätter ert eget namn på ett högrisksystem, gör en väsentlig ändring eller ändrar ändamålet så att systemet blir högrisk, räknas ni som leverantör. Hela fördelningen finns i leverantör och tillhandahållare enligt AI-förordningen.

Steg 4: Bedöm gapet per skyldighet

Ta varje system med dess risknivå och roll och pröva det mot de skyldigheter som följer. För tillhandahållare av högrisksystem är artikel 26 kärnan: använd systemet enligt bruksanvisningen, ge uppgiften att utöva mänsklig kontroll till personer med nödvändig kompetens, utbildning och befogenhet, se till att indata ni styr över är relevanta, övervaka driften, spara automatiskt genererade loggar i minst sex månader, informera arbetstagarrepresentanter och berörda arbetstagare innan systemet tas i bruk på arbetsplatsen och informera personer som systemet fattar eller stöder beslut om. Offentliga organ, privata aktörer som tillhandahåller offentliga tjänster samt den som gör kreditprövning eller prissätter liv- och sjukförsäkringar behöver dessutom en konsekvensbedömning avseende grundläggande rättigheter enligt artikel 27.

Skriv för varje skyldighet ned tre saker: vad som finns i dag, vad som saknas och vilket bevis som skulle visa att det är klart. ”Vi har mänsklig kontroll” är ett nuläge. ”Namngiven granskare med befogenhet att ändra utfallet, utbildad och loggad” är ett målläge.

Steg 5: Prioritera efter deadline och risk

Alla gap är inte lika brådskande. Rangordna dem efter när skyldigheten gäller och hur stor skada ett misslyckande kan orsaka.

Inom varje nivå flyttar ni upp system med stor påverkan på människor, som kreditprövning eller CV-sortering. Hela datumordningen, inklusive GPAI-reglerna och övergången för offentliga tillhandahållare till 2 augusti 2030, finns i tidslinjen för AI-förordningen.

Steg 6: Bygg åtgärdsplanen

Gör om de prioriterade gapen till en plan med ansvariga, budget och datum. Dela upp arbetet i spår som går att bemanna: styrning (ramverk, AI-policy, roller), människor (AI-kunnighet och utbildning för dem som utövar mänsklig kontroll), teknik (loggning, behörigheter, AI-märkning i gränssnitt) och leverantörer (avtalsklausuler, frågeformulär). Koppla varje åtgärd för system med hög risk till en dokumenterad riskbedömning, så att ni kan visa varför en viss kontroll valdes. Vår mall för riskbedömning av AI ger en struktur för det.

Steg 7: Samla bevis och håll analysen aktuell

Ett gap utan bevis är fortfarande öppet. Spara det som visar att kontrollen finns: närvarolistor från utbildningar, den beslutade AI-policyn, rollbeskrivningar för mänsklig kontroll, inställningar för loggarnas lagringstid, leverantörernas svar och texten i chattbottens AI-upplysning. Planera sedan en översyn minst en gång per år och varje gång ett betydande AI-system tillkommer. Checklistan för AI-förordningen fungerar bra som stöd när ni går igenom bevisen.

Mall för gap-tabellen – med svenska exempelrader

Använd en rad per skyldighet och system, och lägg till en länk till beviset när raden är stängd. Exemplen nedan gäller ett medelstort svenskt företag som använder ett AI-verktyg för CV-sortering, har en egenbyggd kundtjänstchattbott på webben och har rullat ut Copilot till alla tjänstemän.

Känns det tungt att fylla i tabellen från noll kommer ni långt med ett strukturerat frågeformulär. Den kostnadsfria bedömningen av er AI-styrning ställer frågorna på svenska, poängsätter tio områden på en femgradig skala och skriver, så fort ni skickar in, fyra styrdokument utifrån era svar: en AI-policy för medarbetare (AI Acceptable Use Policy), ett ramverk för AI governance, en checklista för leverantörsbedömning och en mall för riskbedömning av AI. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser.

Vanliga gap i svenska företag

De flesta organisationer fallerar på grunderna, inte på svårtolkade artiklar. Leta efter de här först.

• Ingen AI-inventering. Ingen kan svara på hur många AI-system som används, vilket gör klassning och alla senare steg omöjliga. Åtgärd: ett AI-register med en ansvarig per system, uppdaterat varje kvartal.
• Ingen AI-policy. Medarbetarna använder ChatGPT, Gemini eller Copilot utan regler om vilka uppgifter som får matas in eller hur svaren ska granskas. Åtgärd: en kort AI-policy som är kopplad till er informationsklassning och som faktiskt följs upp.
• Skugg-AI. Privata konton och ogodkända webbläsartillägg behandlar företags- och kunddata utanför alla avtal. Åtgärd: en lista över godkända verktyg, en väg för att begära nya, och tekniska kontroller – till exempel en EU-baserad AI-gateway som Opsio Vault AI, som pseudonymiserar personuppgifter innan de når modellen.
• Ingen leverantörsgranskning. AI-funktioner dyker upp i befintliga SaaS-avtal utan att någon frågar om träningsdata, loggning, modellbyten eller var data lagras. Åtgärd: ett frågeformulär för AI-leverantörer i inköpsprocessen.
• Ingen dokumenterad AI-kunnighet. Utbildning har skett, men det finns inga uppgifter om vem som deltog eller vad som togs upp. Åtgärd: rollanpassade moduler där innehåll och närvaro sparas.

Vem ska leda gap-analysen?

Analysen fungerar bäst med en ansvarig ägare – ofta CISO, compliancechefen eller en utsedd ansvarig för AI governance – och en liten arbetsgrupp med jurist eller dataskyddsombud, IT, HR, inköp och ägarna till de system som har högst risk. Tidsbegränsa arbetet. Fyra till sex veckor är rimligt för en första genomgång i en medelstor organisation, förutsatt att inventeringen är ärlig. Vill ni ha en extern blick på resultatet kan Opsios team för rådgivning inom AI governance gå igenom åtgärdsplanen med er.

Vanliga frågor

Vad är en gap-analys för AI-förordningen?

Det är en strukturerad jämförelse mellan hur ni arbetar med AI i dag och de skyldigheter i AI-förordningen som gäller er. Ni inventerar era AI-system, klassar dem efter risk, fastställer om ni är leverantör eller tillhandahållare och noterar vad som saknas för varje skyldighet. Resultatet är en prioriterad lista över gap med ansvariga, deadlines och de bevis som krävs för att stänga dem.

Måste vi göra en gap-analys enligt lag?

Nej, förordningen kräver inget dokument som heter gap-analys. Den kräver att ni uppfyller konkreta skyldigheter, som åtgärder för AI-kunnighet, transparensinformation och, för system med hög risk, mänsklig kontroll och loggning. En gap-analys är det praktiska sättet att visa att ni vet vilka skyldigheter som gäller och hur ni uppfyller dem – vilket både tillsynsmyndigheter och större kunder kommer att fråga efter.

Hur lång tid tar en nulägesanalys?

En första strukturerad baslinje kan ta under en timme med ett frågeformulär; Opsios kostnadsfria bedömning tar cirka 40 minuter. En fullständig gap-analys med intervjuer, leverantörsfrågor och insamling av bevis tar ofta fyra till sex veckor i en medelstor organisation. Den största osäkerheten är hur lång tid det tar att hitta all AI som redan används.

Vad är skillnaden mellan gap-analys och bedömning av överensstämmelse?

En gap-analys är ett internt arbete som alla organisationer kan göra när som helst. En bedömning av överensstämmelse är ett formellt förfarande enligt artikel 43 som leverantörer av AI-system med hög risk måste genomföra innan systemet släpps ut på EU-marknaden, ibland med ett anmält organ. Gap-analysen visar om ni behöver en sådan bedömning och vad som måste vara klart först.

Vilka skyldigheter gäller redan i dag?

Per oktober 2026 gäller förbjudna AI-metoder (artikel 5) och AI-kunnighet (artikel 4) sedan 2 februari 2025, skyldigheterna för AI-modeller för allmänna ändamål sedan 2 augusti 2025 och transparensskyldigheterna i artikel 50 sedan 2 augusti 2026. Nya förbud mot nudifiering och material med sexuella övergrepp mot barn gäller från 2 december 2026. Kraven för högrisksystem enligt bilaga III följer 2 december 2027.

Se var ni står på 40 minuter

Ni kan bygga inventeringen, klassningen och gap-tabellen själva med metoden ovan. Eller så låter ni ett strukturerat frågeformulär göra den första genomgången. Gör en gratis gap-analys av er AI-styrning: fjorton steg på svenska, en mognadsbild över tio områden och fyra styrdokument – AI-policy, ramverk för AI governance, leverantörschecklista och mall för riskbedömning – skrivna utifrån era svar direkt när ni skickar in. Dokumenten levereras på engelska som redigerbara Word-filer och är era att behålla. Inga förpliktelser.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Datum och skyldigheter anges per oktober 2026.