Guide AI-förordningen · 11 min
EU:s AI-förordning: risknivåer, tidslinjen och vad tillhandahållare av AI i drift måste göra (artikel 26)
EU:s AI-förordning är världens första heltäckande lag för artificiell intelligens. Den klassar AI-system efter risk och lägger de flesta tunga skyldigheterna på högrisksystem, men den ålägger också konkreta skyldigheter på de organisationer som använder AI, inte bara dem som bygger den. Den är redan i kraft och tillämpas stegvis fram till 2027. Den här guiden förklarar risknivåerna, de viktiga datumen, skyldigheterna för den som tar AI i bruk enligt artikel 26, och vad det innebär när du upphandlar eller tar i bruk AI i din leveranskedja.
Viktigaste punkterna
- AI-förordningen (förordning (EU) 2024/1689) klassar AI efter risk: förbjuden, hög risk, begränsad (transparens) och minimal.
- Stegvisa datum: i kraft 1 augusti 2024; förbjudna metoder från 2 februari 2025; AI för allmänna ändamål från 2 augusti 2025; hög risk och de flesta skyldigheter från 2 augusti 2026.
- Om du använder ett AI-system med hög risk är du en ”tillhandahållare i drift” med egna skyldigheter enligt artikel 26 (mänsklig tillsyn, övervakning, loggar med mera) även om leverantören bär merparten av skyldigheterna på byggsidan.
Vad AI-förordningen är
AI-förordningen (förordning (EU) 2024/1689) är en riskbaserad, produktliknande förordning för AI-system som släpps ut på EU-marknaden eller vars utdata används i EU. Eftersom den är en förordning gäller den direkt i alla medlemsstater. Den fördelar skyldigheter längs värdekedjan: främst till leverantörer (som utvecklar AI) och till dem som tar AI i bruk i egen regi, med lättare roller för importörer och distributörer.
I stället för att reglera ”AI” enhetligt sorterar den system i risknivåer och anpassar skyldigheterna därefter: en handfull metoder är helt förbjudna, en definierad uppsättning högriskanvändningar bär tunga krav, vissa system kräver bara transparens, och den stora majoriteten (AI med minimal risk) bär i princip inga.
Var skyldigheterna ligger
Förbjudna metoder (förbjudna), högrisksystem (de tunga skyldigheterna: t.ex. AI i anställning, kreditgivning, kritisk infrastruktur eller biometri) och system med begränsad risk som kräver transparens (t.ex. att tala om för användare att de interagerar med AI eller att innehåll är AI-genererat).
Minimal risk (de flesta AI)
Den stora majoriteten av AI-system (skräppostfilter, rekommendationsmotorer, de flesta produktivitetsverktyg) faller under minimal risk och bär inga särskilda skyldigheter enligt förordningen, utöver frivilliga koder och en allmän förväntan på AI-kompetens.
Tidslinjen
Förordningen tillämpas stegvis. De datum som styr planeringen:
Trädde i kraft. Klockan börjar ticka; skyldigheterna träder i kraft stegvis härifrån.
Förbjudna metoder gäller: AI med ”oacceptabel risk” (t.ex. social poängsättning, vissa manipulativa eller biometriska kategoriseringsanvändningar) är förbjuden. Även AI-kompetensskyldigheterna börjar.
Skyldigheterna för AI-modeller för allmänna ändamål (GPAI) börjar, liksom styrningsstrukturerna och de nationella behöriga myndigheterna.
Huvudhändelsen: skyldigheterna för högrisksystem (inklusive skyldigheterna i drift enligt artikel 26) gäller.
Förlängd frist för AI med hög risk som är en säkerhetskomponent i produkter som redan regleras av annan EU-rätt (bilaga I).
Vad den som tar AI i bruk måste göra (artikel 26)
Om du använder ett högrisk-AI-system i egen regi ålägger artikel 26 dig operativa skyldigheter. Sammanfattningsvis måste den som tar AI i bruk:
- Använda systemet i enlighet med leverantörens bruksanvisning.
- Tilldela den mänskliga tillsynen till kompetenta, utbildade och tillräckligt resurssatta personer som kan ingripa i eller åsidosätta driften.
- Övervaka systemets drift samt avbryta användningen och informera leverantören och myndigheterna om det utgör en risk eller en allvarlig incident inträffar.
- Bevara de automatiskt genererade loggarna en lämplig period: minst sex månader, om inte annan lag kräver längre.
- Säkerställa att indata är relevanta och tillräckligt representativa för det avsedda ändamålet, i den mån du kontrollerar dem.
- Informera arbetstagare och deras företrädare innan ett högrisksystem tas i bruk på arbetsplatsen, och informera personer som omfattas av dess beslut.
- Genomföra en konsekvensbedömning avseende grundläggande rättigheter där så krävs (art. 27), och samarbeta med de behöriga myndigheterna.
Hur den passar med NIS2 och GDPR
AI-förordningen ersätter inte dina andra skyldigheter. Den läggs ovanpå. Ett AI-system som behandlar personuppgifter omfattas fortfarande av GDPR (och kan behöva en konsekvensbedömning avseende dataskydd vid sidan av AI-förordningens bedömning av grundläggande rättigheter). Ett AI-system som ingår i din väsentliga tjänsteverksamhet omfattas fortfarande av NIS2:s säkerhets- och rapporteringsskyldigheter. De tre överlappar i stället för att ersätta varandra.
För upphandling är just denna konvergens den praktiska poängen. När du tar in ett AI-system i din leveranskedja ärver du skyldigheter i drift (art. 26) och behöver känna till leverantörens efterlevnadsläge: överensstämmelse, bruksanvisning, loggning, systemets riskklass. Det är samma leverantörsgranskningsmuskel som NIS2 redan ber dig bygga, riktad mot AI.
Klassificeringen av AI-system (särskilt högriskgränsen och GPAI-reglerna) är detaljerad och fallspecifik, och genomförandeakter och standarder kommer fortfarande. Bekräfta ett visst systems klass och din roll med kvalificerad rådgivning och den officiella texten.
Vad det betyder för dig
Dina skyldigheter beror på din roll gentemot systemet:
En leverantör (du utvecklar eller väsentligt ändrar ett AI-system)
Du bär skyldigheterna på byggsidan: riskhantering, datastyrning, teknisk dokumentation, bedömning av överensstämmelse och CE-märkning för högrisksystem. I huvudsak från 2 augusti 2026.
Den som tar AI i bruk (du använder AI i egen regi)
Artikel 26 gäller för högrisksystem: mänsklig tillsyn, övervakning, loggar, information till arbetstagare och en bedömning av grundläggande rättigheter där så krävs. Bygg detta nu inför datumet 2 augusti 2026.
En importör eller distributör
Du får endast tillhandahålla högrisksystem som uppfyller kraven, måste verifiera leverantörens överensstämmelse och CE-märkning och måste agera när du får veta att ett system inte uppfyller kraven.
En köpare som upphandlar AI till sin leveranskedja
Du är vanligtvis den som tar AI i bruk. Kräv leverantörens bruksanvisning, riskklass, överensstämmelsestatus och loggningsförmåga, och behandla AI-leverantörer som en del av din NIS2-leverantörsgranskning.
Källor: Förordning (EU) 2024/1689 (AI-förordningen) och Europeiska kommissionens sidor om AI-förordningen. Datum, nivåer och roller följer den offentliggjorda förordningen; bekräfta ett visst systems klassificering med kvalificerad rådgivning.
Hur norppa.io hjälper
norppa.io gör inte ett AI-system förenligt med AI-förordningen (det är leverantörens och driftsanvändarens uppgift) men det ger dig insyn i AI-exponeringen i din leveranskedja, där driftsanvändarens granskning börjar. Skanningen lyfter fram slutpunkter för AI-tjänster, exponerade modell- och inferens-API:er och AI-relaterade gränssnitt (inklusive Model Context Protocol-slutpunkter) på dina leverantörers attackyta.
Självbedömningsformulär fångar det ingen extern skanning ser (vilka AI-system en leverantör tar i bruk, deras riskklass, överensstämmelsestatus och arrangemang för mänsklig tillsyn) och varje svar ställs bredvid den tekniska profilen i realtid, redo för din leverantörsakt. Det är samma löpande, bevisbaserade ansats som NIS2 förväntar sig, utvidgad till den AI dina leverantörer kör.