AI-inventering: så bygger ni ett AI-register över era AI-system

Varför behöver ni ett AI-register?

Registret är indata till nästan allt annat arbete med AI-förordningen. Konkret behövs det för sex saker.

• Klassificering. Varje system och användningsfall ska placeras i en av AI-förordningens fyra risknivåer. Fristående AI-system med hög risk enligt bilaga III, som urval av jobbsökande eller kreditprövning, får sina tyngsta skyldigheter från 2 december 2027 efter den digitala omnibusen. Läs mer om vad som gör ett AI-system till högrisk och vilka krav som följer.
• Tillhandahållarens skyldigheter. De flesta svenska organisationer är tillhandahållare, alltså den som använder ett AI-system under eget ansvar i yrkesmässig verksamhet (i vardagligt tal ofta ”användare”). Artikel 26 kräver att tillhandahållare av högrisksystem använder dem enligt bruksanvisningen, ger personer med rätt kompetens och befogenheter uppgiften att utöva mänsklig kontroll, övervakar driften, sparar loggarna i minst sex månader, informerar arbetstagarna innan systemet tas i bruk på arbetsplatsen och informerar berörda personer. Ingen kan utses att kontrollera ett system som inte finns på listan.
• Roll. Samma organisation kan vara tillhandahållare av ett system och leverantör av ett annat, till exempel när e-handelsteamet bygger en egen kundtjänstchatbot ovanpå en språkmodell. Registret visar vilken roll som gäller, och vår genomgång av skyldigheter för leverantörer och tillhandahållare förklarar vad varje roll innebär.
• Transparens. Transparensskyldigheterna i artikel 50 gäller sedan 2 augusti 2026 och omfattar bland annat chatbotar, deepfakes och viss AI-genererad text. En kolumn i registret visar var ni måste informera.
• Skugg-AI och GDPR. Det är i verktyg som ingen har godkänt som personuppgifter läcker ut. AI-registret överlappar med ert register över behandlingar enligt artikel 30 i GDPR; se hur AI-förordningen och GDPR hänger ihop.
• AI-kunnighet. Åtgärderna för AI-kunnighet enligt artikel 4 riktar sig till dem som använder AI åt organisationen. Kolumnen för användare visar vilka som behöver utbildning.

Registret är också det första en strukturerad genomgång efterfrågar. En gap-analys mot AI-förordningen börjar där, och det gör även Opsios kostnadsfria AI-förordningsbedömning, där hur ni följer upp er AI-användning är ett av de tio områden som får en mognadsnivå.

Så hittar ni den AI ni redan använder

Ett mejl till alla chefer med frågan ”vilken AI använder ni?” hittar de självklara verktygen. Skugg-AI kräver fler källor, som ni sedan jämför med varandra.

Inköp, avtal och utlägg

Sök i inköpsordrar, avtalsregister och utläggsredovisning efter AI-leverantörer och efter ord som ”AI”, ”GPT”, ”Copilot”, ”assistent”, ”maskininlärning” och ”prediktiv”. Privata abonnemang på ChatGPT Plus eller bildgeneratorer som betalas med företagskort brukar dyka upp i utläggen. I en kommun eller region är e-handelssystemet och avtalskatalogen bra startpunkter.

SaaS-loggar, inloggningar och nätverkstrafik

Identitetsleverantören, till exempel Microsoft Entra ID, visar vilka appar medarbetarna loggar in i med jobbkontot. Proxy, CASB eller DNS-loggar visar trafik till tjänster som chatgpt.com, gemini.google.com och claude.ai, även från konton som inte är företagets. Titta på volym och mönster, inte på enstaka besök.

Webbläsartillägg och skrivbordsappar

Med ett verktyg för klienthantering, som Intune, kan ni lista installerade webbläsartillägg. AI-skrivhjälp, mötesinspelare och tillägg som ”sammanfattar sidan” har ofta behörighet att läsa allt som visas i webbläsaren, även webbmejl och interna system. Det är en vanlig och underskattad läckväg.

Copilot- och ChatGPT-konton

Gå igenom licenstilldelningen för Microsoft 365 Copilot, ChatGPT Enterprise eller Team, Gemini för Workspace och liknande tjänster. Notera vilka grupper som har tillgång och vilka datakällor verktyget når. Vid en Copilot-utrullning är det alla SharePoint-webbplatser, Teams-kanaler och brevlådor som användaren redan har behörighet till – och felaktiga behörigheter blir plötsligt sökbara.

Inbyggd AI hos befintliga leverantörer

Den här kategorin missas oftast. Affärssystem, CRM, HR-system, ärendehantering och marknadsföringsplattformar lägger löpande till AI-funktioner, ibland påslagna som standard. Läs releaseinformationen, fråga er kontaktperson hos leverantören och lägg in AI-frågor i den vanliga leverantörsuppföljningen. Ett rekryteringssystem som börjar rangordna kandidater har förvandlat ett vanligt HR-verktyg till ett möjligt högrisksystem enligt bilaga III punkt 4.

Utvecklare och dataanalytiker

Fråga utvecklings- och datateamen om modell-API:er (OpenAI, Anthropic, Azure OpenAI, Amazon Bedrock, Google Vertex AI), egentränade modeller och AI-kodassistenter. Molnfakturor och förteckningar över API-nycklar bekräftar vad som faktiskt körs.

En kort enkät till verksamheten

Be till sist varje avdelningschef att bekräfta och komplettera det ni har hittat. Håll enkäten till fem frågor och säg tydligt att ingen straffas för att ha använt ett verktyg. Målet är att få upp skugg-AI till ytan, inte att hitta syndabockar.

Vilka fält ska AI-registret ha?

Fälten nedan täcker det som AI-förordningen, GDPR och vanlig IT-styrning behöver. Använd dem som kolumnrubriker och lägg till fritext där ett värde behöver förklaras.

Ett ifyllt exempel

Så här kan en rad se ut för en tänkt men typisk situation i en svensk region som använder AI i rekryteringen.

En enda rad avslöjar alltså ett efterlevnadsgap, och det är precis poängen. Notera också att ett och samma system kan behöva flera rader. Microsoft 365 Copilot som hjälper säljare att skriva mejl är minimal risk, medan Copilot som sammanfattar HR-utredningar rör känsliga uppgifter om anställda och förtjänar en egen rad med egen bedömning. För rader med hög risk eller stor påverkan bör posten länka till en dokumenterad riskbedömning; vår mall för riskbedömning av AI visar vad den ska innehålla.

Bygg på ert GDPR-register i stället för att börja om

De flesta svenska organisationer har redan ett register över behandlingar enligt artikel 30 i GDPR, ofta i ett verktyg som dataskyddsombudet förvaltar. Där finns ändamål, kategorier av personuppgifter, mottagare, tredjelandsöverföringar och lagringstider, alltså mycket av det AI-registret också behöver. Koppla ihop dem på tre sätt:

• Länka med id. Varje AI-post pekar på den eller de behandlingar den ingår i, och varje behandling där AI används får en markering.
• En källa per uppgift. Låt ändamål och personuppgiftskategorier hämtas från ett ställe, så att samma behandling inte beskrivs på två olika sätt.
• Gemensam rutin. När en ny behandling registreras ställs frågan ”används AI?”, och när ett AI-system registreras ställs frågan ”behandlas personuppgifter?”. Blir svaret ja går ärendet vidare till den andra registerägaren.

Registren är ändå inte samma sak. AI-registret innehåller system utan personuppgifter, och GDPR-registret behandlingar utan AI. Risknivå, roll enligt AI-förordningen och artikel 50 finns inte i ett GDPR-register, och personuppgiftsansvar enligt GDPR säger inget om vem som är leverantör eller tillhandahållare enligt AI-förordningen.

Så håller ni registret levande

Ett register som stämmer den dag ni blir klara är fel inom ett kvartal. Bygg in det i rutiner som redan finns:

1. Spärr vid inköp. Ingen ny programvara och ingen förlängning med AI-funktioner utan en post i registret och en leverantörsbedömning.
2. Ändringshantering. En ny AI-funktion, ett modellbyte eller ett nytt användningsområde för ett befintligt verktyg leder till en uppdatering och vid behov en ny klassificering.
3. Kvartalsvis bekräftelse. Varje systemägare bekräftar sina poster. Det tar ett par minuter.
4. Teknisk uppföljning. Kör om kontrollerna av inloggningar, nätverkstrafik och webbläsartillägg varje kvartal och jämför med registret.
5. Avveckling. Markera system som avvecklade i stället för att radera dem, och spara posterna så länge er informationshanteringsplan eller gallringsplan anger.

Ge en person helhetsansvaret, ofta den som leder AI-styrningen, CISO eller någon i compliance-funktionen. Delat ansvar blir lätt inget ansvar. Ge också medarbetarna godkända alternativ till de verktyg ni stänger av; annars kommer skugg-AI tillbaka inom några veckor.

Verktyg: från kalkylark till GRC

Verktyget spelar mindre roll än disciplinen. Börja i ett kalkylark med fälten ovan, låt rutinerna gå i två kvartal och flytta sedan. Den som börjar med att upphandla en GRC-plattform riskerar att lägga månader på konfiguration innan första raden är ifylld.

Vanliga frågor

Kräver AI-förordningen ett AI-register?

Nej, inte med det namnet som ett allmänt krav. Men ni kan i praktiken inte uppfylla skyldigheter som åtgärderna för AI-kunnighet i artikel 4, tillhandahållarens skyldigheter i artikel 26 eller transparensen i artikel 50 utan att veta vilka AI-system ni använder. Leverantörer av högrisksystem enligt bilaga III och tillhandahållare som är offentliga myndigheter ska dessutom registrera sig och systemen i EU-databasen enligt artikel 49.

Vad är skugg-AI och hur hittar vi den?

Skugg-AI är AI-verktyg som används utan att IT, säkerhet eller ledning har godkänt dem, till exempel privata ChatGPT-konton eller AI-tillägg i webbläsaren. Kombinera utlägg och inköp, inloggnings- och nätverksloggar, listor över webbläsartillägg, licensdata och en kort enkät där ingen straffas. Erbjud sedan godkända alternativ, annars kommer verktygen tillbaka.

Måste Microsoft 365 Copilot finnas med i AI-registret?

Ja. Copilot är ett AI-system som når organisationens dokument, mejl och chattar, och det används ofta för flera syften med olika risk. Registrera det med de grupper som har licens och de datakällor det når, och lägg till egna rader för känsliga användningsfall, till exempel inom HR eller ärendehandläggning. Det underlättar även behörighetsstädningen före utrullningen.

Hur ofta ska AI-registret uppdateras?

Löpande via inköp och ändringshantering, med en fullständig genomgång minst en gång per kvartal. Be systemägarna bekräfta sina poster varje kvartal och kör om de tekniska kontrollerna samtidigt. Klassificera om ett system så snart syftet, användarna, datan eller leverantörens modell ändras på ett väsentligt sätt.

Se var ni står på 40 minuter

Registret visar vad ni har; nästa fråga är hur väl det styrs. Gör en gratis bedömning av er AI-styrning: fjorton steg och cirka 40 minuter med frågor på svenska. Ni får en mognadsbild över tio områden och fyra styrdokument skrivna utifrån era svar – en AI-policy för medarbetare, ett ramverk för AI governance, en checklista för AI-leverantörer och en mall för riskbedömning av AI. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser. Vill ni först ha helheten, läs vår guide till AI-förordningen. Svensk tillsyn följer ni hos PTS, som per oktober 2026 har ett tillfälligt uppdrag som nationell behörig myndighet.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Datum och skyldigheter anges per oktober 2026.