CHECKLISTA

INSTRUKTION

Hur du använder den här checklistan

Checklistan är indelad i fyra faser. Arbeta igenom dem i ordning. Fas 1 och 2 gäller alla organisationer. Fas 3 gäller er som har identifierat högrisk-AI-system. Fas 4 gäller er som är leverantörer.

Checklistan är ett startverktyg — komplex compliance kräver juridisk expertis och löpande uppföljning.

FAS 1

Inventering och kartläggning

Gör detta nu — oavsett deadline.

• Sammanställ en lista över alla AI-verktyg och AI-system ni använder i er organisation — inklusive inköpta SaaS-tjänster med AI-funktioner (Copilot, HR-system, CRM med AI, m.fl.)
• Inkludera även AI-funktioner inbäddade i befintliga system (t.ex. automatisk klassificering i ärendehanteringssystem)
• Dokumentera för varje system: leverantör, vad det gör, vilka data det använder, vilka beslut det stödjer
• Identifiera vilka system som är under eget inflytande (ni kan påverka konfigurationen) kontra leverantörsdrivna

FAS 2

Klassificering och rollbedömning

För varje system i er inventering: bedöm riskklass och er roll.

• Bedöm om ni är leverantör (utvecklar/säljer AI) eller driftsättare (använder AI) för varje system — se beslutsstödet
• Kontrollera om något system klassas som förbjudet enligt artikel 5 — om ja: ta omedelbart ur drift (gällde redan från feb 2025)
• Identifiera vilka system som kan klassas som högrisk (bilaga III) — HR, utbildning, vård, offentlig myndighetsutövning, finans — se högrisk-listan
• Identifiera om ni använder GPAI-system (ChatGPT, Copilot, Claude, Gemini) och för vilka ändamål
• Dokumentera klassificeringen med motivering för varje system

FAS 3 — HÖGRISK-AI

Krav för driftsättare av högrisk-AI

Dessa krav gäller från 2 december 2027 för fristående högrisksystem enligt det formellt beslutade AI Omnibus-paketet. För produktinbyggd högrisk-AI gäller den justerade tidslinjen 2 augusti 2028. Börja förbereda nu.

• Säkerställ att det finns rutiner för mänsklig tillsyn — vem granskar systemets output, hur och hur snabbt?
• Planera och genomför utbildning för personal som arbetar med högrisk-AI — dokumentera vilka som utbildats och när
• Kontrollera att systemet loggar sina händelser automatiskt och att ni kan bevara loggar i minst 6 månader
• Genomför dataskyddskonsekvensbedömning (DPIA) om personuppgifter behandlas
• Säkerställ att individer som påverkas av systemets beslut informeras om att högrisk-AI används
• Upprätta en klagomålsprocess — hur hanterar ni invändningar mot automatiserade beslut?
• Kontrollera avtal med leverantören — har de skyldigheter gentemot er som driftsättare? Begär bruksanvisning och teknisk dokumentation.
• Upprätta en intern process för att rapportera allvarliga incidenter till tillsynsmyndigheten om systemet orsakar skada

FAS 4 — GPAI

Krav kopplat till GPAI-verktyg

• Kontrollera att era GPAI-leverantörer (OpenAI, Microsoft, Google, Anthropic) publicerat teknisk dokumentation och upphovsrättspolicy (krav från aug 2025)
• Upprätta interna riktlinjer för tillåten och otillåten användning av GPAI-verktyg
• Säkerställ att GPAI inte används för högrisk-ändamål utan att ni uppfyller högrisk-kraven (fas 3)
• Kontrollera databehandlingsavtal (DPA) med GPAI-leverantörer — säkerställ GDPR-compliance för personuppgifter

LÖPANDE

Fortlöpande åtgärder

• Sätt en ansvarig person eller funktion för EU AI Act-compliance i organisationen
• Bevaka delegerade akter och tillsynsmyndighetens (IMY:s) vägledning — bilaga III kan utvidgas
• Inkludera EU AI Act-krav i alla framtida upphandlingar av AI-system
• Revidera er inventering och klassificering minst en gång per år eller vid ny AI-implementering

KÄLLOR OCH FÖRDJUPNING

Officiella källor att kontrollera

• EU-kommissionen: AI Act och aktuell tillämpningstidslinje (öppnas i ny flik) (öppnas i ny flik)
• EU-kommissionen: utkast till riktlinjer för högriskklassificering (öppnas i ny flik) (öppnas i ny flik)
• Europeiska unionens råd — slutligt godkännande av AI Omnibus, 29 juni 2026 (öppnas i ny flik)
• EU-kommissionen: AI Act Service Desk och Single Information Platform (öppnas i ny flik) (öppnas i ny flik)
• EUR-Lex: förordning (EU) 2024/1689 i fulltext (öppnas i ny flik) (öppnas i ny flik)

AI OMNIBUS BESLUTADES FORMELLT 29 JUNI 2026. KONTROLLERA ALLTID SENASTE MYNDIGHETSVÄGLEDNING.