Enligt AI-förordningen (EU AI Act) är leverantören den som utvecklar ett AI-system, eller låter utveckla det, och släpper ut det på marknaden eller tar det i bruk i eget namn. Tillhandahållaren är den som använder systemet under eget överinseende i yrkesmässig verksamhet. Leverantören bär de flesta högriskkraven (artikel 16), tillhandahållaren en kortare lista (artikel 26).
Det viktigaste i korthet
- Rollen avgörs per AI-system, inte per företag. Samma organisation kan vara leverantör av ett system och tillhandahållare av ett annat.
- Förordningen kallar alla aktörer i värdekedjan för operatörer: leverantör, produkttillverkare, tillhandahållare, ombud, importör och distributör.
- Leverantören bygger in efterlevnaden: riskhantering, datastyrning, teknisk dokumentation, bedömning av överensstämmelse, CE-märkning och registrering.
- Tillhandahållaren ansvarar för användningen: följa bruksanvisningen, mänsklig kontroll, relevanta indata, loggar i minst sex månader och information till arbetstagare och berörda personer.
- Den som sätter sitt namn på ett högrisksystem, gör en väsentlig ändring eller ändrar det avsedda ändamålet så att systemet blir högrisk, räknas som leverantör (artikel 25).
Varför heter det ”tillhandahållare” och inte ”användare”?
I den engelska texten heter rollen deployer. Den svenska versionen av förordningen använder ordet tillhandahållare, och definitionen i artikel 3.4 lyder: den som ”under eget överinseende använder ett AI-system, utom när AI-systemet används inom ramen för en personlig icke-yrkesmässig verksamhet”. I tidiga utkast till förordningen användes ordet användare, och många säger fortfarande så i vardagen. Men det är organisationen – arbetsgivaren, kommunen, banken – som är tillhandahållare, inte den person som sitter vid tangentbordet.
Ordet kan också förväxlas med ”tillhandahållande på marknaden”, som betyder att leverera ett system i kommersiell verksamhet. Definitionerna finns i artikel 3 i den svenska versionen av förordning (EU) 2024/1689 på EUR-Lex. Vill ni ha helheten först, börja med vår guide till AI-förordningen.
Behöver ni hjälp med cloud?
Boka ett kostnadsfritt 30-minuters möte med en av våra specialister inom cloud. Vi analyserar ert behov och ger konkreta rekommendationer — helt utan förpliktelse.
De sex aktörsrollerna i AI-förordningen
| Roll (artikel 3) | Vem det är | Svenskt exempel |
|---|---|---|
| Leverantör | Utvecklar ett AI-system eller en AI-modell för allmänna ändamål, eller låter utveckla det, och släpper ut det på marknaden eller tar det i bruk i eget namn eller under eget varumärke, mot betalning eller gratis | Ett svenskt SaaS-bolag som säljer ett verktyg för CV-sortering; en bank som bygger en egen kreditmodell |
| Tillhandahållare | Använder ett AI-system under eget överinseende, utom vid rent privat användning | En region som använder en leverantörs triageringsstöd; en butikskedja som använder ett rekryteringsverktyg |
| Importör | Etablerad i EU och släpper ut ett system på marknaden som bär namnet eller varumärket för någon i ett tredjeland | En svensk återförsäljare som först tar in ett amerikanskt HR-verktyg på EU-marknaden |
| Distributör | Annan aktör i leveranskedjan än leverantör och importör som tillhandahåller systemet på EU-marknaden | En IT-grossist eller en mjukvarumarknadsplats |
| Ombud | Etablerad i EU och har fått en skriftlig fullmakt från en leverantör utanför EU att fullgöra dess skyldigheter | En compliancekonsult i Stockholm som företräder en kanadensisk leverantör |
| Produkttillverkare | Släpper ut en produkt med ett AI-system i eget namn, där AI:n är säkerhetskomponent i en produkt som omfattas av bilaga I | En maskintillverkare som levererar en AI-baserad säkerhetsstyrning |
Observera att ”ibruktagande” enligt artikel 3.11 även omfattar leverans för eget bruk. Om ert dataanalysteam bygger en modell som verksamheten sedan använder internt är ni alltså både leverantör och tillhandahållare av den.
Det snabbaste sättet att kartlägga rollerna för alla era system är att svara på strukturerade frågor om vilken AI ni bygger, köper och bäddar in. Det gör ni i Opsios gratis bedömning av er AI-styrning: fjorton steg, cirka 40 minuter, och ni får bland annat en checklista för AI-leverantörer skriven utifrån era svar.
Leverantör och tillhandahållare sida vid sida
För AI-system med hög risk följer ansvaret kontrollen: leverantören styr konstruktionen och bär konstruktionskraven, tillhandahållaren styr användningen och bär driftskraven.
| Område | Leverantör (art. 9–17, 43, 49, 72–73) | Tillhandahållare (art. 26, 27, 86) |
|---|---|---|
| Risk | Riskhanteringssystem under hela livscykeln | Övervakar driften; avbryter användningen och informerar leverantör och marknadskontrollmyndighet vid risk |
| Data | Datastyrning för tränings-, validerings- och testdata, inklusive undersökning av snedvridningar | Säkerställer att indata som den kontrollerar är relevanta och tillräckligt representativa |
| Dokumentation | Teknisk dokumentation (bilaga IV) och bruksanvisning | Använder systemet enligt bruksanvisningen och använder informationen i sin konsekvensbedömning enligt GDPR |
| Loggar | Bygger in automatisk loggning och sparar loggar som den kontrollerar | Sparar loggar som den kontrollerar i minst sex månader |
| Mänsklig kontroll | Konstruerar åtgärder för mänsklig kontroll | Utser personer med kompetens, utbildning, auktoritet och stöd |
| Kvalitet och överensstämmelse | Kvalitetsledningssystem, bedömning av överensstämmelse, EU-försäkran om överensstämmelse, CE-märkning | Ingen bedömning av överensstämmelse |
| Registrering | Registrerar systemet i EU-databasen | Offentliga tillhandahållare registrerar sin användning |
| Information till människor | Gör systemet tillräckligt transparent för tillhandahållaren | Informerar arbetstagare och deras företrädare före användning på arbetsplatsen; informerar personer som berörs av beslut; förklarar beslut på begäran |
| Grundläggande rättigheter | Inget särskilt krav | Konsekvensbedömning avseende grundläggande rättigheter för vissa tillhandahållare (art. 27) |
| Incidenter | Övervakning efter utsläppande på marknaden och rapportering av allvarliga incidenter | Informerar först leverantören, sedan importör eller distributör och marknadskontrollmyndigheten |
Offentliga organ, privata utförare av offentliga tjänster samt kredit- och försäkringsaktörer ska göra en konsekvensbedömning avseende grundläggande rättigheter enligt artikel 27. Vilka system som räknas som högrisk från början går vi igenom i kraven för AI-system med hög risk enligt bilaga III. Per oktober 2026 gäller högriskkraven för bilaga III-system från 2 december 2027 och för bilaga I-produkter från 2 augusti 2028, efter ändringarna i förordning (EU) 2026/1744 (Digital Omnibus).
Skyldigheter som gäller oavsett risknivå
Två skyldigheter gäller oavsett risk. Den första är AI-kunnighet. Artikel 4 i sin lydelse efter omnibusen innebär att både leverantörer och tillhandahållare ska vidta åtgärder för att främja AI-kunnigheten hos personal och andra som använder AI för deras räkning – vad det betyder i praktiken beskriver vi i vilken AI-utbildning AI-förordningen kräver. Den andra är transparensskyldigheterna i artikel 50, som gäller sedan 2 augusti 2026 och är uppdelade efter roll: leverantören ska se till att en chatbot talar om att den är AI och att genererat innehåll märks maskinläsbart, medan tillhandahållaren ska upplysa om deepfakes, om AI-genererad text om frågor av allmänt intresse och om känsloigenkänning eller biometrisk kategorisering.
När blir en tillhandahållare leverantör? Artikel 25
Här blir många organisationer överraskade. Enligt artikel 25.1 ska en distributör, importör, tillhandahållare eller annan tredje part anses vara leverantör av ett AI-system med hög risk, med alla skyldigheter enligt artikel 16, i tre situationer:
- Eget namn eller varumärke. Ni sätter ert namn på ett högrisksystem som redan finns på marknaden, till exempel när ett fintechbolag säljer en annan aktörs kreditmotor som sin egen produkt. Avtal kan fördela skyldigheterna annorlunda.
- Väsentlig ändring. Ni gör en ändring som leverantören inte förutsåg i sin bedömning av överensstämmelse, till exempel tränar om en rekryteringsmodell på egna data, och systemet förblir högrisk.
- Ändrat avsett ändamål. Ni tar ett system som inte är högrisk – även ett AI-system för allmänna ändamål – och använder det på ett sätt som gör det till högrisk enligt artikel 6.
Då upphör den ursprungliga leverantören att vara leverantör av just det systemet, men den ska samarbeta med den nya leverantören. Efter omnibusen preciserar artikel 25.2 att samarbetet vid behov omfattar teknisk dokumentation, information om kända begränsningar och felbeteenden samt riktad teknisk åtkomst för test och validering. Samarbetsplikten gäller dock inte om den ursprungliga leverantören tydligt har angett att systemet inte får göras om till ett högrisksystem. Den som ändå använder ett sådant verktyg för ett högriskändamål står med hela leverantörsansvaret utan stöd.
Två svenska exempel
Exempel 1: Ett industriföretag rullar ut Microsoft Copilot till 2 000 anställda
Microsoft är leverantör av Copilot och, i sin roll som leverantör av en AI-modell för allmänna ändamål, även av den underliggande modellen. Industriföretaget är tillhandahållare. Att skriva mejl, sammanfatta Teams-möten och skriva kod är inte användningsområden i bilaga III, så inga högriskkrav gäller. Företaget har ändå uppgifter: främja AI-kunnighet hos medarbetarna, följa GDPR för personuppgifter som skickas i prompter, upplysa om deepfakes eller AI-skriven text om allmänna frågor som publiceras externt och sätta tydliga regler i en AI-policy.
Risken är glidning. Om HR-avdelningen börjar klistra in CV:n i Copilot och be verktyget rangordna kandidaterna hamnar användningen i bilaga III punkt 4 (anställning och arbetsledning). Enligt artikel 25.1 c kan företaget då betraktas som leverantör av ett högrisksystem som det aldrig har konstruerat – utan dokumentation, tester eller bedömning av överensstämmelse. Svaret är en policyregel som förbjuder sådan användning, plus uppföljning.
Exempel 2: Ett bemanningsföretag bygger en egen CV-sortering
Ett bemanningsföretag med kontor i flera svenska städer låter sitt utvecklingsteam bygga en modell som poängsätter sökande mot uppdrag, och rekryterarna använder poängen när de väljer vem som kallas till intervju. Företaget är leverantör, eftersom det har utvecklat systemet och tagit det i bruk för eget bruk, och samtidigt tillhandahållare. Användningen faller under bilaga III punkt 4, och eftersom poängsättningen innebär profilering av fysiska personer kan undantaget i artikel 6.3 inte användas.
Senast 2 december 2027 behöver bemanningsföretaget därför bland annat ett riskhanteringssystem, datastyrning med test av snedvridningar (till exempel mot kön, ålder och etnicitet), teknisk dokumentation enligt bilaga IV, loggning, konstruerad mänsklig kontroll, ett kvalitetsledningssystem, en bedömning av överensstämmelse genom intern kontroll, en EU-försäkran om överensstämmelse, CE-märkning och registrering i EU-databasen. Som tillhandahållare ska det dessutom informera sökande, spara loggar, utse utbildade granskare och informera arbetstagarnas företrädare om verktyget används på befintlig personal.
Så hanterar ni gränsen mellan rollerna i praktiken
- Ange roll för varje system i ert AI-register och se över den när användningen ändras. Hur ett sådant register byggs beskriver vi i guiden till AI-inventering.
- Be leverantörer om deras klassificering och bruksanvisning före köp. Det hör hemma i en checklista för leverantörsbedömning av AI.
- Läs avtalen efter klausuler som förbjuder högriskanvändning, fördelar ansvaret enligt artikel 25 eller begränsar samarbetet. Enligt artikel 25.4 i dess nya lydelse får AI-byrån ta fram frivilliga modellvillkor för avtal mellan leverantörer av högrisksystem och deras underleverantörer.
- Styr ändringar. Finjustering eller omträning av ett högrisksystem bör gå genom ändringshantering med en kontroll av om ändringen är väsentlig.
- Skriv in gränsen i policyn så att medarbetarna vet vilka användningar av generella verktyg som inte är tillåtna.
Tillsyn i Sverige: per oktober 2026 har PTS ett tillfälligt uppdrag (till och med 31 december 2026) som nationell behörig myndighet och marknadskontrollmyndighet för vissa högrisksystem, och IMY bland annat för kreditvärdering och brottsbekämpning. Den permanenta svenska tillsynsstrukturen är ännu inte slutligt beslutad; se PTS sidor om AI-förordningen.
Vanliga frågor
Vad är skillnaden mellan leverantör och tillhandahållare?
Leverantören utvecklar ett AI-system, eller låter utveckla det, och släpper ut det på marknaden eller tar det i bruk i eget namn. Tillhandahållaren använder systemet under eget överinseende i yrkesmässig verksamhet. Leverantören bär kraven på konstruktion, dokumentation och bedömning av överensstämmelse, medan tillhandahållaren ansvarar för användningen: mänsklig kontroll, loggar och information till berörda personer.
Är vi ”användare” eller ”tillhandahållare” enligt AI-förordningen?
Den officiella svenska termen är tillhandahållare. Ordet användare förekom i tidiga utkast och används fortfarande i vardagligt tal, men i den antagna förordningen är det organisationen som använder AI-systemet i sin verksamhet som är tillhandahållare. Den enskilda medarbetaren är inte en egen aktör; hens kunskap omfattas i stället av kravet på AI-kunnighet i artikel 4.
Kan ett företag vara både leverantör och tillhandahållare?
Ja. Bygger ni ett AI-system och använder det själva är ni leverantör, eftersom ibruktagande för eget bruk räknas, och samtidigt tillhandahållare. Ni måste då uppfylla båda uppsättningarna skyldigheter. Rollen bedöms system för system, så samma företag kan vara leverantör av ett verktyg och tillhandahållare av ett annat.
Blir vi leverantör om vi finjusterar en AI-modell?
Det kan ni bli. En väsentlig ändring av ett högrisksystem gör er till leverantör enligt artikel 25.1 b. Att anpassa en generell modell eller ett generellt system för ett högriskändamål gör er till leverantör enligt artikel 25.1 c. Finjustering för en användning med låg risk, till exempel att skriva marknadstexter, gör er däremot inte i sig till leverantör av ett högrisksystem.
Vilka skyldigheter har importörer och distributörer?
De har lättare skyldigheter. Importören ska kontrollera att leverantören har genomfört bedömningen av överensstämmelse, upprättat teknisk dokumentation, CE-märkt systemet och vid behov utsett ett ombud. Distributören ska kontrollera CE-märkning och medföljande dokument. Båda blir leverantörer om de sätter sitt eget namn på, väsentligt ändrar eller ändrar ändamålet med ett högrisksystem.
Ta reda på er roll för varje AI-system
De flesta skyldigheter i AI-förordningen följer av en enda fråga: är ni leverantör eller tillhandahållare av just det här systemet? Opsios kostnadsfria AI-förordningsbedömning leder er igenom frågorna i fjorton steg på cirka 40 minuter. När ni skickar in skrivs fyra styrdokument utifrån era svar: en AI-policy för medarbetare, ett ramverk för AI governance, en checklista för AI-leverantörer och en mall för riskbedömning av AI, plus en mognadsbild över tio områden. Frågorna är på svenska, medan dokumenten levereras på engelska som Word-filer som ni kan redigera. Gratis, utan förpliktelser, och dokumenten är era.
Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Uppgifterna gäller per oktober 2026.
Skriven av
Country Manager, Indien
Praveena leder Opsios verksamhet i Indien och bidrar med över 17 års branschövergripande erfarenhet inom AI, tillverkning, DevOps och managed services.
Redaktionella riktlinjer: Artikeln är skriven av molnpraktiker och granskad av vårt ingenjörsteam. Vi uppdaterar den när tekniken eller regelverket den handlar om förändras; datumen på sidan visar den senaste uppdateringen. Opsio är redaktionellt oberoende.