Checklista för AI-förordningen: efterlevnad steg för steg

En checklista för AI-förordningen (EU AI Act) börjar med att ni listar era AI-system, fastställer er roll och risknivå för varje system och sedan arbetar igenom AI-kunnighet, AI-policy, leverantörsbedömning, transparens och, för högrisksystem, dokumentation och konsekvensbedömning. Nedan finns checklistan i ordning, med datum enligt den digitala omnibusen per oktober 2026.

Det viktigaste i korthet

• Förbud och AI-kunnighet gäller redan, och transparenskraven i artikel 50 gäller sedan 2 augusti 2026. Det är där de flesta företag ska börja.
• Högriskkraven gäller från 2 december 2027 (bilaga III) och 2 augusti 2028 (produkter i bilaga I), efter förordning (EU) 2026/1744.
• Artikel 4 är omskriven: ni ska vidta åtgärder för att främja AI-kunnighet, inte garantera en viss nivå hos varje medarbetare.
• En AI-policy och en leverantörsbedömning krävs inte uttryckligen av förordningen, men de är de praktiska verktygen för att uppfylla kraven.
• Offentliga aktörer och vissa banker och försäkringsbolag ska göra en konsekvensbedömning avseende grundläggande rättigheter (FRIA) innan ett högrisksystem tas i bruk.

Steg 1: Inventera era AI-system

Ni kan inte bedöma det ni inte vet om. Lista alla AI-system som ni utvecklar, köper eller har inbyggda i andra tjänster: AI-funktionen i ert rekryteringssystem, kundtjänstchattboten, Microsoft Copilot, kreditmodellen, bildgeneratorn som marknadsavdelningen använder. Ta med skugg-AI, alltså verktyg som medarbetare använder utan att IT känner till dem. Notera syfte, ägare, leverantör, datakällor och vilka personer som påverkas. Hur ett sådant register byggs upp beskriver vi i guiden till AI-inventering och AI-register.

Steg 2: Fastställ er roll

Kraven i AI-förordningen beror på roll, och samma organisation kan ha olika roller för olika system.

• Leverantör: ni utvecklar ett AI-system eller låter utveckla det och släpper ut det på marknaden eller tar det i bruk under eget namn. Det gäller även interna system som ni bygger för egen räkning.
• Tillhandahållare: ni använder ett AI-system under eget ansvar i yrkesmässig verksamhet, ofta kallat användare. De flesta svenska företag är tillhandahållare av köpta system.
• Se upp: sätter ni ert namn på ett högrisksystem, gör väsentliga ändringar eller använder det för ett nytt syfte som gör det till högrisk, blir ni leverantör med fullt ansvar.

Företag utanför EU omfattas om de släpper ut AI på EU-marknaden eller om resultatet används i EU, och kan behöva utse ett ombud i unionen.

Steg 3: Klassificera risken

Gå igenom varje system med frågorna nedan och dokumentera motiveringen. Klassificeringen ska omprövas när användningen ändras.

Använd samma struktur för varje bedömning, så blir resultaten jämförbara. En mall för riskbedömning av AI gör jobbet enklare och ger underlag om en myndighet frågar.

Steg 4: Checklistan punkt för punkt

Använd tabellen som arbetsordning. Kolumnen ”Senast” visar när kravet gäller enligt förordningen i dess lydelse efter den digitala omnibusen. Punkterna utan datum är praktiska förutsättningar snarare än uttryckliga lagkrav.

AI-kunnighet enligt den nya artikel 4

Den digitala omnibusen skrev om artikel 4. Leverantörer och tillhandahållare ska vidta åtgärder för att främja AI-kunnighet hos personal och andra som hanterar AI för deras räkning. Förordningen kräver inte längre att ni säkerställer en tillräcklig nivå, och den kräver inte att varje individ når en viss nivå. Kommissionen och medlemsstaterna ska stödja arbetet, särskilt för små och medelstora företag. I praktiken: ha en plan, anpassa insatserna efter roll och spara underlag på vad ni gjort.

AI-policy och leverantörsbedömning

AI-förordningen säger inte ”skriv en AI-policy”, men utan en sådan blir det svårt att styra vad medarbetarna gör med generativ AI, att visa att ni arbetar med AI-kunnighet och att stoppa förbjuden eller oklassad användning. Se exempel på AI-policy och vad den bör innehålla. På samma sätt är tillhandahållare beroende av vad leverantören levererar: bruksanvisning, loggar, uppgifter om data. Ställ frågorna innan ni skriver på, med hjälp av en checklista för leverantörsbedömning av AI.

Vill ni slippa skriva policyn och leverantörschecklistan från noll kan ni göra Opsios gratis bedömning av er AI-styrning. Den tar cirka 40 minuter och ger fyra styrdokument på engelska som redigerbara Word-filer.

Steg 5: Bedömning av överensstämmelse för högrisksystem

Innan ett högrisksystem släpps ut på marknaden ska leverantören visa att kraven är uppfyllda.

• För de flesta fristående system i bilaga III räcker intern kontroll enligt bilaga VI.
• För vissa biometriska system, och för produkter enligt bilaga I, är ett anmält organ inblandat. För produkterna används sektorns egen procedur.
• Upprätta en EU-försäkran om överensstämmelse, anbringa CE-märkning och registrera systemet i EU-databasen.
• Harmoniserade standarder ger presumtion om överensstämmelse när de finns.
• Gör om bedömningen vid väsentliga ändringar.

Små och medelstora företag, och efter omnibusen även små midcap-företag, får förenklad teknisk dokumentation och ett proportionerligt kvalitetsledningssystem.

Steg 6: Dokumentation och styrning

• Ägarskap: utse en ansvarig för AI-styrning och en ägare per system.
• Beslutsunderlag: spara klassificeringar, riskbedömningar och undantagsbedömningar enligt artikel 6.3.
• Samordning med GDPR: gör DPIA där personuppgifter behandlas och samordna den med en eventuell FRIA.
• Befintliga ledningssystem: bygg vidare på informationssäkerhetsarbetet, till exempel enligt ISO/IEC 27001, i stället för att starta ett parallellt spår.

Steg 7: Tidslinje att planera mot

Datumen följer förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Alla datum, inklusive övergångsreglerna för offentlig sektor, finns i AI-förordningens tidslinje. För en bredare introduktion till lagen, läs vår guide till AI-förordningen.

Steg 8: Mät gapet och prioritera

När registret och klassificeringen är klara jämför ni nuläget med kraven och sätter ägare och datum på varje brist. Börja med det som redan gäller: förbud, AI-kunnighet och transparens. Därefter högrisksystemen, där dokumentationsarbetet tar längst tid. Metoden beskrivs steg för steg i gap-analys mot AI-förordningen.

Vanliga frågor

Vad ska vi göra först?

Gör ett AI-register och kontrollera att inget system är förbjudet. Se sedan till att ni har åtgärder för AI-kunnighet och att chattbottar och AI-genererat innehåll uppfyller artikel 50, eftersom de kraven redan gäller. Högrisksystemen kräver mest arbete men har senare datum, 2 december 2027 för bilaga III.

Måste vi ha en AI-policy enligt AI-förordningen?

Förordningen nämner inte ordet AI-policy. Men en policy är det enklaste sättet att visa hur ni främjar AI-kunnighet, stoppar förbjuden användning och styr vilka data som får matas in i AI-verktyg. Kunder, revisorer och styrelser frågar ofta efter just den typen av styrdokument.

Gäller checklistan oss om vi bara använder färdiga AI-verktyg?

Ja, men omfattningen är mindre. Som tillhandahållare gäller AI-kunnighet, förbuden, transparens när ni publicerar AI-innehåll eller använder chattbottar, och för köpta högrisksystem skyldigheterna i artikel 26. Leverantörsbedömningen blir viktigare, eftersom ni är beroende av leverantörens dokumentation. Högriskkraven för leverantörer gäller däremot inte er.

Vem måste göra en FRIA?

Offentligrättsliga organ, privata aktörer som tillhandahåller offentliga tjänster och tillhandahållare av högrisksystem för kreditvärdering eller riskbedömning och prissättning av liv- och sjukförsäkring. FRIA görs före första användningen, och tillhandahållaren kan hänvisa till eller återanvända relevanta delar av en DPIA enligt GDPR. Kravet gäller från 2 december 2027.

Hur stora är sanktionsavgifterna?

Upp till 35 miljoner euro eller 7 procent av global årsomsättning för förbjudna metoder, upp till 15 miljoner euro eller 3 procent för de flesta andra krav och upp till 7,5 miljoner euro eller 1 procent för felaktig information till myndigheter. För små och medelstora företag gäller det lägre beloppet.

Få checklistan omsatt i dokument

En checklista visar vad som ska göras. Dokumenten är det som visar att det är gjort. Med gratis mallar för AI-policy och AI governance från Opsio svarar ni på svenska i fjorton steg, cirka 40 minuter. När ni skickar in skrivs en AI-policy för medarbetare, ett ramverk för AI governance, en checklista för AI-leverantörer och en mall för riskbedömning av AI utifrån era svar, plus en mognadsbild över tio områden. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Uppgifterna gäller per oktober 2026.

Mer från vår kunskapsbank: Leverantörsbedömning av AI: checklista för att granska AI-leverantörer