GÄLLER DET MIG?

UTGÅNGSPUNKT

Tre frågor som avgör er situation

EU AI Act kan träffa flera aktörer i samma leveranskedja, men skyldigheterna beror på er roll för det enskilda systemet. Förordningen omfattar bland annat leverantörer som sätter AI-system eller GPAI-modeller på EU-marknaden, tillhandahållare som är etablerade i EU och vissa aktörer utanför EU när systemets output används här. Privat, icke-yrkesmässig användning är undantagen från tillhandahållarskyldigheterna.

De tre avgörande frågorna är:

1. Omfattas aktören eller användningen av förordningens territoriella tillämpningsområde?
2. Är ni leverantör, tillhandahållare, importör, distributör eller produkt­tillverkare för just detta system?
3. Är användningen förbjuden, högrisk eller föremål för särskilda transparenskrav?

DE FLESTA SVENSKA ORGANISATIONER ÄR TILLHANDAHÅLLARE — INTE LEVERANTÖRER

STEG 1

Är ni leverantör eller tillhandahållare?

Leverantör (provider)

Ni är leverantör om ni utvecklar eller låter utveckla ett AI-system och sätter det på marknaden eller tar det i drift under eget namn eller varumärke — mot betalning eller gratis. Att köpa, beställa eller äga ett system gör er inte i sig till leverantör.

Typiska exempel:

• SaaS-bolag som bygger en AI-driven rekryteringstjänst och säljer den till HR-avdelningar
• Sjukhus som låter utveckla ett bilddiagnostiskt AI-system och tar det i drift under sjukhusets eget namn
• Myndighet som låter en konsult bygga ett handläggningsstöd och tillhandahåller det under myndighetens eget namn

Tillhandahållare (deployer)

Tillhandahållare är den officiella svenska termen i förordningen för engelska deployer; i andra texter kallas rollen ibland driftsättare. Ni är tillhandahållare om ni under eget överinseende använder ett AI-system i yrkesverksamheten. En organisation som köper in och använder en AI-tjänst är därför normalt tillhandahållare. Samma organisation kan ha en annan roll för ett annat system.

Typiska exempel:

• Kommunen som använder ett externt AI-verktyg för att prioritera ärenden
• HR-avdelningen som använder ett AI-system för att gallra CV:n
• Advokatbyrån som använder Copilot för avtalsgranskning
• Skolan som använder en AI-tjänst för att bedöma elevers texter

OBS: NI KAN VARA BÅDADERA — EN VÄSENTLIG ÄNDRING ELLER ETT NYTT AVSETT ÄNDAMÅL SOM GÖR SYSTEMET TILL HÖGRISK KAN FLYTTA LEVERANTÖRSANSVARET TILL ER

STEG 2

Vilken riskklass gäller?

Oavsett roll behöver ni pröva den konkreta användningen. Den vanliga fyrnivåmodellen nedan är ett pedagogiskt stöd, inte fyra uttömmande lagtekniska klasser.

STEG 3

Vad gäller specifikt för tillhandahållare?

De flesta svenska organisationer är tillhandahållare. Det är lättare att uppfylla än leverantörskraven, men kräver ändå aktiva åtgärder vid högrisk-AI:

Krav för tillhandahållare av högrisk-AI

• Instruktioner och tillsyn: Använd systemet enligt bruksanvisningen och ge mänsklig tillsyn till personer med kompetens, utbildning, mandat och stöd
• Indata och drift: Säkerställ relevanta och tillräckligt representativa indata när ni styr dem, övervaka systemet och stoppa användningen vid risk
• Loggning: Bevara automatiskt genererade loggar som ni kontrollerar i minst sex månader, om inte annan lag anger något annat
• Konsekvensbedömningar: Gör DPIA när GDPR:s risktröskel är uppfylld och, för de tillhandahållare som omfattas, en bedömning av påverkan på grundläggande rättigheter (FRIA)
• Information: Informera berörda personer när artikel 26.11 eller artikel 50 kräver det; andra informationskrav kan följa av GDPR eller sektorslag
• Incidenter: Informera leverantören och därefter berörda aktörer och marknadskontrollmyndigheten enligt artikel 26.5

När ni använder ett system byggt på en GPAI-modell

GPAI-reglerna riktar sig till den som tillhandahåller modellen. När ni använder en AI-tjänst är ni normalt tillhandahållare av tjänstens AI-system, inte av modellen som sådan. Ni bör ändå:

• Begära de instruktioner, villkor och den systemdokumentation ni behöver för er egen användning; full GPAI-dokumentation är i första hand avsedd för myndigheter och nedströms systemleverantörer
• Ha interna riktlinjer för hur verktyget får användas
• Klassificera det färdiga AI-systemet och användningsfallet; en GPAI-modell blir inte i sig högrisk bara för att den kan byggas in i ett högrisksystem

SMÅ ORGANISATIONER

Proportionerlighet är inte ett generellt undantag

Förordningen innehåller stöd och vissa förenklingar för små och medelstora företag samt små mid-cap-företag. Det finns också särskilda regler för hur sanktionsnivåer beräknas. Men storlek tar inte automatiskt bort en skyldighet som följer av organisationens roll och användning.

Dokumentera därför först vilken bestämmelse som gäller och kontrollera därefter om just den bestämmelsen har en förenkling för er företagsstorlek.

KÄLLOR OCH FÖRDJUPNING

Officiella källor att kontrollera

• EU-kommissionen: AI Act och aktuell tillämpningstidslinje (öppnas i ny flik)
• EU-kommissionen: utkast till riktlinjer för högriskklassificering (öppnas i ny flik)
• EU-kommissionen: AI Omnibus trädde i kraft 27 juli 2026 (öppnas i ny flik)
• Regeringen: svenska nationella behöriga myndigheter (öppnas i ny flik)
• EU-kommissionen: AI Act Service Desk (öppnas i ny flik)
• EUR-Lex: konsoliderad svensk AI-förordning, version 27 juli 2026 (öppnas i ny flik)

KÄLLOR KONTROLLERADE 2026-08-30. ANVÄND KONSOLIDERAD LAGTEXT OCH AKTUELL MYNDIGHETSVÄGLEDNING VID BESLUT.