AI · 3 min läsning ·
EU:s AI-förordning (AI Act) för små och medelstora företag: vad ska göras nu
Använder ni ChatGPT, Copilot eller andra AI-verktyg? EU:s AI-förordning gäller också användare. Så reder ni ut er roll, riskklasserna och de första stegen.
AI har kommit in i de flesta företag nästan obemärkt. Någon skriver offerter med ChatGPT, en annan sammanfattar möten med Copilot, och i kundtjänsten kanske en chattbot svarar. EU:s AI-förordning (AI Act) gäller allt detta, inte bara teknikbolag som utvecklar AI.
Den goda nyheten är att skyldigheterna för de flesta små och medelstora företag är rimliga. De måste ändå vara kända, och en del har gällt redan länge.
AI-kunnighet har krävt åtgärder sedan februari 2025
Artikel 4 i förordningen kräver att ett företag som använder AI ser till att personalen har tillräcklig AI-kunnighet. Skyldigheten har tillämpats sedan den 2 februari 2025 och gäller varje företag där AI används i arbetet.
I praktiken ska medarbetarna förstå vad AI kan och inte kan, vilka uppgifter man får mata in och varför svaren måste kontrolleras. Ingen tung examen krävs. En kort utbildning anpassad till de egna verktygen och en tydlig användningsanvisning räcker ofta långt. Dokumentera utbildningarna så att ni vid behov kan visa att saken är skött.
Fyra riskklasser
Förordningen delar in användningen av AI efter risk:
- Förbjudna metoder: till exempel manipulation av människor, social poängsättning och känsloigenkänning på arbetsplatsen. Dessa förbud har gällt sedan februari 2025.
- Hög risk: AI som påverkar människors ställning betydligt, som gallring av arbetssökande, bedömning av personal, kreditprövning eller kritisk infrastruktur. Här gäller de strängaste kraven.
- Transparenskrav: en chattbot ska till exempel berätta att den är AI, och bild- eller videoinnehåll som skapats med AI ska i vissa situationer märkas.
- Minimal risk: största delen av vardagsanvändningen, som utkast till texter, översättningar och skräppostfilter. Inga särskilda krav gäller, men skyldigheten om AI-kunnighet gäller även här.
Ändringar har föreslagits i tidtabellen för skyldigheterna kring högrisksystem, så exakta framtida datum bör tas med en nypa salt. Om ni använder AI till exempel vid rekrytering lönar det sig ändå att börja förbereda sig nu.
Tillhandahållare eller leverantör?
Skyldigheterna beror på företagets roll. En leverantör utvecklar ett AI-system eller släpper ut det på marknaden i eget namn. En tillhandahållare använder någon annans AI i sin egen verksamhet. De flesta företag är tillhandahållare.
För ett högrisksystem ska tillhandahållaren bland annat använda systemet enligt anvisningarna, utse en kunnig person för mänsklig tillsyn, följa upp funktionen, spara loggar och informera medarbetarna om AI används i beslut som gäller dem. Leverantören ansvarar för det tyngre: riskhantering, teknisk dokumentation, bedömning av överensstämmelse och övervakning efter att systemet släppts ut på marknaden.
Observera att rollen kan ändras. Om ni bygger in AI i er egen produkt, säljer den i eget namn eller väsentligt ändrar systemets ändamål kan ni bli leverantör.
ISO/IEC 42001: struktur för styrning av AI
ISO/IEC 42001 är standarden för ledningssystem för AI. Den hjälper till att organisera användningen av AI på samma sätt som ISO/IEC 27001 organiserar informationssäkerheten: ansvar, riskbedömning, spelregler och ständig förbättring. Strukturen är enhetlig, så om ni redan har ett ledningssystem för informationssäkerhet kan styrningen av AI kopplas till det. Certifiering är inte obligatorisk, men standarden är ett bra sätt att visa kunderna att AI används under kontroll.
Vad ska göras nu?
- Kartlägg vilka AI-verktyg som faktiskt används i företaget, även de som ingen officiellt har skaffat.
- Samla verktygen i ett AI-register och bedöm riskklassen och er egen roll för vart och ett.
- Skriv en anvisning för AI-användning: vad AI får användas till och vilka uppgifter som inte får matas in.
- Ordna utbildning i AI-kunnighet och dokumentera den.
- Kontrollera verktygens inställningar för dataskydd och informationssäkerhet samt avtalen.
- Säkerställ att AI som syns för kunderna, som en chattbot, berättar att den är AI.
Foregon hjälper er att ta kontroll över AI på ett praktiskt sätt. Läs mer om våra AI-tjänster eller paketet AI-start till fast pris, där kartläggning, riskklassificering, användningsanvisning och utbildning i AI-kunnighet görs på en gång.