CHECKLISTA – EU:s AI-förordning

INSTRUKTION

Hur du använder den här checklistan

Checklistan är indelad i fyra faser. Arbeta igenom dem i ordning. Fas 1 och 2 gäller alla organisationer. Fas 3 gäller er som har identifierat högrisk-AI-system. Fas 4 gäller organisationer som använder tjänster byggda på GPAI-modeller; modellleverantörer har ytterligare krav.

Checklistan är ett startverktyg — komplex compliance kräver juridisk expertis och löpande uppföljning.

FAS 1

Inventering och kartläggning

Gör detta nu — oavsett deadline.

• Sammanställ en lista över alla AI-verktyg och AI-system ni använder i er organisation — inklusive inköpta SaaS-tjänster med AI-funktioner (Copilot, HR-system, CRM med AI, m.fl.)
• Inkludera även AI-funktioner inbäddade i befintliga system (t.ex. automatisk klassificering i ärendehanteringssystem)
• Dokumentera för varje system: leverantör, vad det gör, vilka data det använder, vilka beslut det stödjer
• Identifiera vilka system som är under eget inflytande (ni kan påverka konfigurationen) kontra leverantörsdrivna

FAS 2

Klassificering och rollbedömning

För varje system i er inventering: bedöm riskklass och er roll.

• Bedöm om ni är leverantör (utvecklar/säljer AI) eller tillhandahållare (använder AI) för varje system — se beslutsstödet
• Pröva om någon användning omfattas av ett förbud i artikel 5 och om något lagstadgat undantag är relevant. Stoppa användningen och ta juridisk hjälp om ni inte kan belägga att den är tillåten.
• Pröva båda högriskvägarna: artikel 6.1 tillsammans med bilaga I och den relevanta produktlagstiftningen, samt de exakta användningsfallen i bilaga III — se högriskguiden
• Identifiera AI-system som bygger på GPAI-modeller och håll isär er roll för systemet från modellleverantörens roll
• Dokumentera klassificeringen med motivering för varje system

FAS 3 — HÖGRISK-AI

Krav för tillhandahållare av högrisk-AI

Dessa krav gäller från 2 december 2027 för fristående högrisksystem enligt det formellt beslutade AI Omnibus-paketet. För produktinbyggd högrisk-AI gäller den justerade tidslinjen 2 augusti 2028. Börja förbereda nu.

• Säkerställ att det finns rutiner för mänsklig tillsyn — vem granskar systemets output, hur och hur snabbt?
• Planera och genomför utbildning för personal som arbetar med högrisk-AI — dokumentera vilka som utbildats och när
• Kontrollera att systemet loggar sina händelser automatiskt och att ni kan bevara loggar i minst 6 månader
• Pröva om behandlingen sannolikt medför hög risk enligt GDPR artikel 35 och genomför i så fall en dataskyddskonsekvensbedömning (DPIA)
• Pröva om ni omfattas av artikel 27 och genomför i så fall en bedömning av påverkan på grundläggande rättigheter (FRIA) före första användningen
• Kartlägg vilka personer som ska informeras enligt artikel 26.11, artikel 50, GDPR och relevant sektorslag samt hur klagomål och begäran om förklaring tas emot
• Kontrollera avtal och leverantörens skyldigheter gentemot er. Begär bruksanvisning och den dokumentation som tillhandahållaren behöver; full teknisk dokumentation lämnas normalt till myndigheter.
• Upprätta en process för att stoppa riskfylld användning och informera leverantör, importör eller distributör samt berörd marknadskontrollmyndighet enligt artikel 26.5

FAS 4 — GPAI

Kontroller för AI-tjänster byggda på GPAI

• Kontrollera tjänstens instruktioner, villkor, säkerhets- och dataskyddsinformation. Kontrollera också modellleverantörens publika upphovsrättspolicy och sammanfattning av träningsinnehåll när det är relevant.
• Upprätta interna riktlinjer för tillåten och otillåten användning av GPAI-verktyg
• Klassificera varje färdigt AI-system och användningsfall; om ni bygger, väsentligt ändrar eller byter avsett ändamål, pröva om ni får leverantörsansvar
• Kontrollera databehandlingsavtal (DPA) med GPAI-leverantörer — säkerställ GDPR-compliance för personuppgifter

LÖPANDE

Fortlöpande åtgärder

• Sätt en ansvarig person eller funktion för EU AI Act-compliance i organisationen
• Bevaka delegerade akter och vägledning från PTS, IMY, Finansinspektionen, Läkemedelsverket, Swedac och relevanta sektorsmyndigheter
• Inkludera EU AI Act-krav i alla framtida upphandlingar av AI-system
• Revidera er inventering och klassificering minst en gång per år eller vid ny AI-implementering

KÄLLOR OCH FÖRDJUPNING

Officiella källor att kontrollera

• EU-kommissionen: AI Act och aktuell tillämpningstidslinje (öppnas i ny flik)
• EU-kommissionen: utkast till riktlinjer för högriskklassificering (öppnas i ny flik)
• EU-kommissionen: AI Omnibus trädde i kraft 27 juli 2026 (öppnas i ny flik)
• Regeringen: svenska nationella behöriga myndigheter (öppnas i ny flik)
• EU-kommissionen: AI Act Service Desk (öppnas i ny flik)
• EUR-Lex: konsoliderad svensk AI-förordning, version 27 juli 2026 (öppnas i ny flik)

KÄLLOR KONTROLLERADE 2026-08-30. ANVÄND KONSOLIDERAD LAGTEXT OCH AKTUELL MYNDIGHETSVÄGLEDNING VID BESLUT.