AI-förordningen är EU:s gemensamma lag för artificiell intelligens. Den delar in AI-system i fyra risknivåer, förbjuder de mest skadliga tillämpningarna helt och ställer omfattande krav på system som klassas som högrisk, till exempel inom rekrytering och kreditbedömning. Förordningen trädde i kraft den 1 augusti 2024, men reglerna börjar gälla i flera steg fram till 2027, och den som bryter mot dem riskerar sanktionsavgifter på upp till 35 miljoner euro.
Den här artikeln går igenom vad AI-förordningen faktiskt reglerar, vilken risknivå ett AI-system hamnar i, när de olika delarna börjar tillämpas och vad som händer om ett företag inte följer reglerna.
Vad är AI-förordningen (AI Act)?
AI-förordningen, officiellt förordning (EU) 2024/1689 och internationellt känd som AI Act, antogs av EU-rådet den 21 maj 2024. Syftet är att säkerställa att AI-system som används inom EU är säkra och respekterar grundläggande rättigheter, samtidigt som förordningen ska underlätta innovation genom bland annat regulatoriska sandlådor, testmiljöer där företag kan utveckla AI under kontrollerade former.
Förordningen gäller för AI-system: system som utformats för att arbeta med viss grad av autonomi, som drar slutsatser utifrån data och som genererar innehåll, förutsägelser eller beslut som påverkar den fysiska eller digitala miljön. Definitionen är medvetet bred för att täcka allt från chattbottar till AI som styr kritisk infrastruktur.
Den riskbaserade modellen
AI-förordningen klassar varje AI-system i en av fyra kategorier, och kraven skärps ju högre risk systemet bedöms utgöra. Riskerna med AI i praktiken, som deepfakes, desinformation och fördomsfulla beslut, är det förordningen försöker sätta ramar kring.
- Oacceptabel risk – förbjuds helt. Hit hör bland annat social poängsättning av medborgare och AI som manipulerar människors beteende på ett skadligt sätt.
- Hög risk – tillåts men med stränga krav på riskhantering, dokumentation och mänsklig tillsyn. Gäller till exempel AI inom rekrytering, kreditbedömning och brottsbekämpning.
- Begränsad risk – kräver transparens. En chattbot eller ett AI-genererat bild-, text- eller ljudinnehåll måste tydligt märkas som AI.
- Minimal risk – inga särskilda krav. De flesta AI-system som används i dag, exempelvis AI i spamfilter eller enkla rekommendationssystem, hamnar här.
När börjar reglerna gälla?
AI-förordningen tillämpas stegvis snarare än på en gång:
- 1 augusti 2024 – förordningen trädde i kraft.
- 2 februari 2025 – förbuden mot AI-system med oacceptabel risk började gälla, liksom kravet på att anställda som arbetar med AI ska ha tillräcklig AI-kunnighet.
- 2 augusti 2025 – reglerna för generella AI-modeller (GPAI), som ligger bakom generativ AI-verktyg, började tillämpas.
- 2 augusti 2026 – större delen av förordningen, inklusive högriskreglerna, skulle bli fullt tillämplig.
- 18 juni 2026 – EU beslutade genom ett digitalt omnibus-förslag att skjuta fram högriskreglerna (bilaga III) till den 2 december 2027 och fristen för medlemsländernas regulatoriska sandlådor till den 2 augusti 2027.
- 2 december 2026 – “nudifiers” och AI-genererat övergreppsmaterial mot barn läggs till bland de förbjudna tillämpningarna.
Vem omfattas av AI-förordningen?
Förordningen gäller för leverantörer som utvecklar eller släpper ut AI-system på EU:s marknad, och för de organisationer som använder dem, oavsett om de är etablerade inom eller utanför EU. Det territoriella tillämpningsområdet är brett: ett företag utanför EU som riktar sitt AI-system mot EU:s inre marknad omfattas ändå av kraven. Både privat och offentlig sektor berörs, och ansvaret väger tyngre ju högre risknivå AI-systemet klassas i.
Vilka förbud finns i AI-förordningen?
De förbjudna tillämpningarna handlar om AI som bedöms utgöra ett oacceptabelt hot mot människors rättigheter och säkerhet. Det gäller bland annat AI som manipulerar eller vilseleder människor på ett sätt som kan orsaka skada, känsloanalys och beteendebedömning av anställda eller elever, social poängsättning av medborgare baserat på beteende, och viss biometrisk kategorisering och realtidsövervakning på allmän plats. Frågan hänger ihop med hur ansiktsigenkänning redan används av myndigheter i dag, ett område förordningen sätter tydligare gränser kring.
Vad händer om ett företag bryter mot reglerna?
AI-förordningen har ett sanktionssystem som liknar GDPR:s, med tre nivåer där det högsta av de två beloppen gäller:
- Förbjudna tillämpningar – upp till 35 miljoner euro eller 7 procent av global årsomsättning.
- Högrisksystem och generella AI-modeller – upp till 15 miljoner euro eller 3 procent av global årsomsättning.
- Övriga krav, till exempel bristande transparens – upp till 7,5 miljoner euro eller 1 procent av global årsomsättning.
Utöver böterna kan den nationella tillsynsmyndigheten kräva att ett AI-system dras tillbaka från marknaden eller att bristerna åtgärdas innan det får användas igen.
AI-förordningen och GDPR
AI-förordningen kompletterar GDPR men ersätter den inte. Där GDPR reglerar hur personuppgifter får behandlas, reglerar AI-förordningen själva AI-systemet: hur det utvecklas, klassas efter risk och kontrolleras. I Sverige blir Integritetsskyddsmyndigheten, IMY, marknadskontrollmyndighet för AI-förordningen, vilket innebär att IMY får i uppdrag att utöva tillsyn och ta emot klagomål om AI-system som bryter mot reglerna.
För företag som redan har koll på sin GDPR-efterlevnad är AI-förordningen ett naturligt nästa steg: kartlägg vilka AI-system som används, bedöm vilken risknivå de hamnar i, och se till att dokumentationen finns på plats innan respektive tidsfrist infaller.
Så uppfyller ni kraven i AI-förordningen
Tre steg brukar räcka som utgångspunkt för att uppfylla kraven, oavsett bransch:
- Kartlägg vilka AI-system som redan används eller är på gång, både internt utvecklade och inköpta.
- Klassa risknivån för varje system utifrån de fyra kategorierna ovan.
- Dokumentera ansvar, riskbedömningar och kontrollrutiner i takt med att respektive tidsfrist närmar sig.
Vanliga frågor om AI-förordningen
Vad är AI-förordningen? EU:s gemensamma lag för artificiell intelligens, officiellt förordning (EU) 2024/1689 och känd som AI Act.
Från när gäller AI-förordningen? Den trädde i kraft den 1 augusti 2024. Förbuden gäller sedan den 2 februari 2025, medan högriskreglerna nu är uppskjutna till den 2 december 2027.
Vem har tillsyn över AI-förordningen i Sverige? Integritetsskyddsmyndigheten, IMY, är utsedd till marknadskontrollmyndighet för förordningen.
Var hittar du mer information?
Digg och IMY publicerar löpande uppdaterad information om AI-förordningen på svenska och är de säkraste källorna att följa inför varje ny tillämpningsdatum.
