{"id":8607,"date":"2026-10-26T01:31:13","date_gmt":"2026-10-26T00:31:13","guid":{"rendered":"https:\/\/evertrust.se\/hog-risk-ai-krav\/"},"modified":"2026-10-26T01:31:15","modified_gmt":"2026-10-26T00:31:15","slug":"hog-risk-ai-krav","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/hog-risk-ai-krav\/","title":{"rendered":"Krav p\u00e5 AI-system med h\u00f6g risk: vad som g\u00e4ller och n\u00e4r"},"content":{"rendered":"<\/p>\n<p>Ett AI-system med h\u00f6g risk f\u00e5r anv\u00e4ndas i EU, men bara om det uppfyller AI-f\u00f6rordningens krav p\u00e5 riskhantering, datakvalitet, dokumentation, loggning, m\u00e4nsklig tillsyn, noggrannhet och cybers\u00e4kerhet. Leverant\u00f6ren b\u00e4r det tyngsta ansvaret. Den som anv\u00e4nder systemet i sin verksamhet, i f\u00f6rordningen kallad tillhandah\u00e5llare, har egna skyldigheter som g\u00e5r att granska. Den h\u00e4r guiden g\u00e5r igenom n\u00e4r ett system r\u00e4knas som h\u00f6grisk, vad varje roll m\u00e5ste g\u00f6ra, n\u00e4r kraven b\u00f6rjar g\u00e4lla och hur ni l\u00e4gger upp arbetet redan nu.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"banner\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"padding:34px 30px;text-align:center\">\n<div style=\"margin:0 0 18px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#2D8F27;color:#ffffff\">Evertrust<\/span><\/div>\n<div style=\"font-size:26px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">Bed\u00f6m era AI-system med h\u00f6g risk<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px;margin-left:auto;margin-right:auto\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 24px;max-width:44em;margin-left:auto;margin-right:auto\">Evertrust hj\u00e4lper organisationer med AI-reglering, bed\u00f6mningar och praktisk implementering av krav p\u00e5 dataskydd och informationss\u00e4kerhet.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Utforska Evertrusts r\u00e5dgivning<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li>Ett AI-system \u00e4r h\u00f6grisk om det \u00e4r en s\u00e4kerhetskomponent i en produkt som kr\u00e4ver tredjepartsbed\u00f6mning, eller om det anv\u00e4nds inom n\u00e5got av omr\u00e5dena i bilaga III, till exempel rekrytering och kreditpr\u00f6vning.<\/li>\n<li>Leverant\u00f6ren ska ha kvalitetsledningssystem, riskhantering, teknisk dokumentation, m\u00e4nsklig tillsyn och cybers\u00e4kerhet, registrera systemet i EU:s databas och genomg\u00e5 bed\u00f6mning av \u00f6verensst\u00e4mmelse.<\/li>\n<li>Som tillhandah\u00e5llare ska ni f\u00f6lja bruksanvisningen, utse kompetenta personer f\u00f6r tillsyn, spara loggar, informera anst\u00e4llda och ibland g\u00f6ra en konsekvensbed\u00f6mning f\u00f6r grundl\u00e4ggande r\u00e4ttigheter.<\/li>\n<li>Kraven f\u00f6r system i bilaga III g\u00e4ller enligt EU-kommissionen fr\u00e5n den 2 december 2027, och f\u00f6r AI i reglerade produkter fr\u00e5n den 2 augusti 2028.<\/li>\n<li>Brister kan ge sanktionsavgifter p\u00e5 upp till 15 miljoner euro eller 3 procent av global \u00e5rsoms\u00e4ttning.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#nar-raknas-ett-ai-system-som-hogrisk\">N\u00e4r r\u00e4knas ett AI-system som h\u00f6grisk?<\/a><\/li>\n<li><a href=\"#krav-pa-leverantoren\">Krav p\u00e5 leverant\u00f6ren<\/a><\/li>\n<li><a href=\"#krav-pa-er-som-anvander-systemet\">Krav p\u00e5 er som anv\u00e4nder systemet<\/a><\/li>\n<li><a href=\"#nar-ni-plotsligt-blir-leverantor\">N\u00e4r ni pl\u00f6tsligt blir leverant\u00f6r<\/a><\/li>\n<li><a href=\"#nar-borjar-kraven-galla\">N\u00e4r b\u00f6rjar kraven g\u00e4lla?<\/a><\/li>\n<li><a href=\"#sanktionsavgifter\">Sanktionsavgifter<\/a><\/li>\n<li><a href=\"#sa-lagger-ni-upp-arbetet\">S\u00e5 l\u00e4gger ni upp arbetet<\/a><\/li>\n<li><a href=\"#vart-perspektiv-bygg-pa-det-ni-redan-har\">V\u00e5rt perspektiv: bygg p\u00e5 det ni redan har<\/a><\/li>\n<li><a href=\"#hjalp-med-hogriskbedomning-och-efterlevnad\">Hj\u00e4lp med h\u00f6griskbed\u00f6mning och efterlevnad<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"nar-raknas-ett-ai-system-som-hogrisk\" tabindex=\"-1\">N\u00e4r r\u00e4knas ett AI-system som h\u00f6grisk?<\/h2>\n<p>F\u00f6rst en fr\u00e5ga som ofta hoppas \u00f6ver: \u00e4r det \u00f6ver huvud taget ett AI-system? <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/?uri=OJ%3AL_202401689\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">AI-f\u00f6rordningen (EU) 2024\/1689<\/a> beskriver ett AI-system som ett maskinbaserat system som, utifr\u00e5n explicita eller implicita m\u00e5l, drar slutsatser fr\u00e5n indata och genererar utdata som f\u00f6ruts\u00e4gelser, inneh\u00e5ll, rekommendationer eller beslut. Traditionell regelbaserad mjukvara d\u00e4r en m\u00e4nniska har skrivit varje villkor faller normalt utanf\u00f6r. Maskininl\u00e4rningsmodeller i ett HR-verktyg eller en kreditmotor g\u00f6r det inte.<\/p>\n<p>\u00c4r svaret ja finns tv\u00e5 v\u00e4gar in i h\u00f6griskkategorin, som <a href=\"https:\/\/www.imy.se\/verksamhet\/ai\/ai-forordningen\/fragor-och-svar-om-ai-forordningen\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY f\u00f6rklarar i sina fr\u00e5gor och svar om AI-f\u00f6rordningen<\/a>:<\/p>\n<ol>\n<li><strong>S\u00e4kerhetskomponent i en reglerad produkt.<\/strong> Systemet ska anv\u00e4ndas som s\u00e4kerhetskomponent i, eller \u00e4r sj\u00e4lvt, en produkt som omfattas av EU:s produkts\u00e4kerhetslagstiftning, och produkten ska genomg\u00e5 tredjepartsbed\u00f6mning. T\u00e4nk medicintekniska produkter, maskiner, hissar och leksaker.<\/li>\n<li><strong>Anv\u00e4ndningsomr\u00e5de i bilaga III.<\/strong> Systemet anv\u00e4nds inom ett av de omr\u00e5den som f\u00f6rordningen pekar ut.<\/li>\n<\/ol>\n<h3 id=\"omradena-i-bilaga-iii\" tabindex=\"-1\">Omr\u00e5dena i bilaga III<\/h3>\n<p>Bilaga III i f\u00f6rordningen r\u00e4knar upp \u00e5tta omr\u00e5den. F\u00f6r de flesta svenska organisationer \u00e4r det tre eller fyra av dem som faktiskt ber\u00f6r vardagen:<\/p>\n<table>\n<thead>\n<tr>\n<th>Omr\u00e5de<\/th>\n<th>Typiska exempel<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Biometri<\/td>\n<td>Biometrisk fj\u00e4rridentifiering, kategorisering utifr\u00e5n k\u00e4nsliga egenskaper, k\u00e4nsloigenk\u00e4nning<\/td>\n<\/tr>\n<tr>\n<td>Kritisk infrastruktur<\/td>\n<td>S\u00e4kerhetskomponenter i styrning av el, v\u00e4rme, vatten, gas och v\u00e4gtrafik<\/td>\n<\/tr>\n<tr>\n<td>Utbildning<\/td>\n<td>Antagning, bed\u00f6mning av studieresultat, \u00f6vervakning vid prov<\/td>\n<\/tr>\n<tr>\n<td>Arbetsliv<\/td>\n<td>Annonsering och urval av kandidater, beslut om befordran och upps\u00e4gning, f\u00f6rdelning av arbetsuppgifter, uppf\u00f6ljning av prestation<\/td>\n<\/tr>\n<tr>\n<td>V\u00e4sentliga tj\u00e4nster<\/td>\n<td>Kreditv\u00e4rdering av privatpersoner, riskbed\u00f6mning och priss\u00e4ttning av liv- och sjukf\u00f6rs\u00e4kring, pr\u00f6vning av offentliga f\u00f6rm\u00e5ner, prioritering av larmsamtal<\/td>\n<\/tr>\n<tr>\n<td>Brottsbek\u00e4mpning<\/td>\n<td>Bland annat l\u00f6gndetektorer och bed\u00f6mning av bevisens tillf\u00f6rlitlighet<\/td>\n<\/tr>\n<tr>\n<td>Migration och gr\u00e4nskontroll<\/td>\n<td>Riskbed\u00f6mning av personer, pr\u00f6vning av ans\u00f6kningar<\/td>\n<\/tr>\n<tr>\n<td>R\u00e4ttskipning och demokrati<\/td>\n<td>St\u00f6d \u00e5t domstolar, p\u00e5verkan p\u00e5 val<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>K\u00e4lla: bilaga III i <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/?uri=OJ%3AL_202401689\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">f\u00f6rordning (EU) 2024\/1689<\/a>.<\/p>\n<h3 id=\"undantaget-som-kraver-dokumentation\" tabindex=\"-1\">Undantaget som kr\u00e4ver dokumentation<\/h3>\n<p>Ett system i bilaga III \u00e4r inte automatiskt h\u00f6grisk. Enligt artikel 6.3 faller det utanf\u00f6r om det inte medf\u00f6r en betydande risk f\u00f6r h\u00e4lsa, s\u00e4kerhet eller grundl\u00e4ggande r\u00e4ttigheter, till exempel n\u00e4r det bara utf\u00f6r en sn\u00e4v procedurm\u00e4ssig uppgift, f\u00f6rb\u00e4ttrar resultatet av en redan avslutad m\u00e4nsklig bed\u00f6mning eller g\u00f6r ett f\u00f6rberedande moment. Tv\u00e5 hakar finns. Ett system som profilerar fysiska personer \u00e4r alltid h\u00f6grisk. Och den leverant\u00f6r som st\u00f6djer sig p\u00e5 undantaget ska dokumentera sin bed\u00f6mning innan systemet sl\u00e4pps ut och \u00e4nd\u00e5 registrera det.<\/p>\n<p>H\u00e4r p\u00e5g\u00e5r ocks\u00e5 arbete med tolkningen. EU-kommissionen har tagit fram f\u00f6rslag till riktlinjer f\u00f6r klassificering, och <a href=\"https:\/\/www.fi.se\/sv\/publicerat\/nyheter\/2026\/ge-synpunkter-pa-forslag-pa-riktlinjer-for-klassificering-av-hogrisk-ai\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Finansinspektionen uppmanade f\u00f6retag att l\u00e4mna synpunkter<\/a> p\u00e5 dem. F\u00f6lj de slutliga riktlinjerna innan ni l\u00e5ser en klassning som ligger n\u00e4ra gr\u00e4nsen.<\/p>\n<h2 id=\"krav-pa-leverantoren\" tabindex=\"-1\">Krav p\u00e5 leverant\u00f6ren<\/h2>\n<p>Leverant\u00f6ren \u00e4r den som utvecklar systemet, eller l\u00e5ter utveckla det, och sl\u00e4pper ut det p\u00e5 marknaden under eget namn. Enligt <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/faqs\/navigating-ai-act\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EU-kommissionens v\u00e4gledning om AI-f\u00f6rordningen<\/a> ska leverant\u00f6ren ha kvalitetsledningssystem, riskhantering, teknisk dokumentation, m\u00e4nsklig tillsyn och cybers\u00e4kerhet p\u00e5 plats, registrera systemet i EU-databasen och genomf\u00f6ra en bed\u00f6mning av \u00f6verensst\u00e4mmelse. I f\u00f6rordningstexten f\u00f6rdelas det s\u00e5 h\u00e4r:<\/p>\n<table>\n<thead>\n<tr>\n<th>Krav<\/th>\n<th>Artikel<\/th>\n<th>Vad det betyder i praktiken<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Riskhanteringssystem<\/td>\n<td>9<\/td>\n<td>En l\u00f6pande process under hela livscykeln: identifiera, uppskatta och minska risker, testa mot definierade m\u00e5tt<\/td>\n<\/tr>\n<tr>\n<td>Data och datastyrning<\/td>\n<td>10<\/td>\n<td>Tr\u00e4nings-, validerings- och testdata ska vara relevanta, tillr\u00e4ckligt representativa och granskade f\u00f6r snedvridning<\/td>\n<\/tr>\n<tr>\n<td>Teknisk dokumentation<\/td>\n<td>11 och bilaga IV<\/td>\n<td>Beskrivning av system, utveckling, data, prestanda och risk\u00e5tg\u00e4rder, klar innan systemet sl\u00e4pps ut<\/td>\n<\/tr>\n<tr>\n<td>Loggning<\/td>\n<td>12<\/td>\n<td>Systemet ska tekniskt kunna registrera h\u00e4ndelser automatiskt s\u00e5 att anv\u00e4ndningen g\u00e5r att sp\u00e5ra<\/td>\n<\/tr>\n<tr>\n<td>Transparens och bruksanvisning<\/td>\n<td>13<\/td>\n<td>Tydlig information till tillhandah\u00e5llaren om syfte, prestanda, begr\u00e4nsningar och tillsyn<\/td>\n<\/tr>\n<tr>\n<td>M\u00e4nsklig tillsyn<\/td>\n<td>14<\/td>\n<td>Utformning som g\u00f6r att m\u00e4nniskor kan f\u00f6rst\u00e5, \u00f6vervaka, \u00e5sidos\u00e4tta och stoppa systemet<\/td>\n<\/tr>\n<tr>\n<td>Noggrannhet, robusthet, cybers\u00e4kerhet<\/td>\n<td>15<\/td>\n<td>J\u00e4mn prestanda och skydd mot exempelvis dataf\u00f6rgiftning och manipulerade indata<\/td>\n<\/tr>\n<tr>\n<td>Kvalitetsledningssystem<\/td>\n<td>17<\/td>\n<td>Skriftliga rutiner f\u00f6r hela efterlevnaden<\/td>\n<\/tr>\n<tr>\n<td>Bed\u00f6mning, f\u00f6rs\u00e4kran, CE-m\u00e4rkning, registrering<\/td>\n<td>43, 47, 48, 49<\/td>\n<td>Formellt bevis p\u00e5 att kraven \u00e4r uppfyllda<\/td>\n<\/tr>\n<tr>\n<td>\u00d6vervakning efter utsl\u00e4ppande och incidentrapportering<\/td>\n<td>72, 73<\/td>\n<td>F\u00f6lja systemet i drift och rapportera allvarliga incidenter<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Dokumentationen ska enligt artikel 18 sparas i tio \u00e5r efter att systemet sl\u00e4ppts ut eller tagits i bruk. Det \u00e4r ett arkivkrav som beh\u00f6ver planeras in fr\u00e5n b\u00f6rjan, inte l\u00f6sas n\u00e4r en myndighet fr\u00e5gar.<\/p>\n<h2 id=\"krav-pa-er-som-anvander-systemet\" tabindex=\"-1\">Krav p\u00e5 er som anv\u00e4nder systemet<\/h2>\n<p>De flesta organisationer kommer att vara tillhandah\u00e5llare: ni k\u00f6per ett AI-st\u00f6d f\u00f6r rekrytering, kreditbeslut eller \u00e4rendeprioritering och anv\u00e4nder det under eget ansvar. Skyldigheterna sammanfattas i <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/faqs\/navigating-ai-act\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">kommissionens v\u00e4gledning<\/a>. Med artikel 26 och 27 i f\u00f6rordningen som grund blir listan konkret:<\/p>\n<ul>\n<li><strong>Anv\u00e4nd systemet enligt bruksanvisningen.<\/strong> Ni ska ha tekniska och organisatoriska \u00e5tg\u00e4rder som s\u00e4kerst\u00e4ller detta.<\/li>\n<li><strong>Utse personer f\u00f6r m\u00e4nsklig tillsyn.<\/strong> De ska ha kompetens, utbildning, befogenhet och st\u00f6d att faktiskt ingripa.<\/li>\n<li><strong>Kontrollera indata.<\/strong> I den m\u00e5n ni styr vilka data som matas in ska de vara relevanta och tillr\u00e4ckligt representativa f\u00f6r syftet.<\/li>\n<li><strong>\u00d6vervaka driften.<\/strong> Uppt\u00e4cker ni en risk ska ni informera leverant\u00f6ren och vid behov marknadskontrollmyndigheten, och avbryta anv\u00e4ndningen.<\/li>\n<li><strong>Spara loggarna.<\/strong> Automatiskt genererade loggar som ni f\u00f6rfogar \u00f6ver ska sparas i minst sex m\u00e5nader, om inte annan lagstiftning s\u00e4ger n\u00e5got annat.<\/li>\n<li><strong>Informera p\u00e5 arbetsplatsen.<\/strong> Innan ett h\u00f6grisksystem tas i bruk p\u00e5 arbetsplatsen ska ber\u00f6rda anst\u00e4llda och deras fackliga f\u00f6retr\u00e4dare informeras.<\/li>\n<li><strong>Informera de ber\u00f6rda.<\/strong> Personer som omfattas av beslut d\u00e4r systemet anv\u00e4nds ska f\u00e5 veta det.<\/li>\n<li><strong>Konsekvensbed\u00f6mning f\u00f6r grundl\u00e4ggande r\u00e4ttigheter.<\/strong> Offentliga organ, privata akt\u00f6rer som utf\u00f6r offentliga tj\u00e4nster och de som anv\u00e4nder AI f\u00f6r kreditv\u00e4rdering eller priss\u00e4ttning av liv- och sjukf\u00f6rs\u00e4kring ska g\u00f6ra en s\u00e5dan bed\u00f6mning innan systemet tas i bruk.<\/li>\n<\/ul>\n<p>Dessutom har en enskild person r\u00e4tt till en f\u00f6rklaring n\u00e4r utdata fr\u00e5n ett h\u00f6grisksystem har anv\u00e4nts f\u00f6r ett beslut som har r\u00e4ttsliga f\u00f6ljder f\u00f6r personen, <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/faqs\/navigating-ai-act\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">enligt kommissionen<\/a>. Den r\u00e4tten ligger n\u00e4ra GDPR:s regler om automatiserade beslut, som vi har skrivit om i v\u00e5r genomg\u00e5ng av <a href=\"https:\/\/evertrust.se\/en\/article-area\/profilering-och-automatiserat-beslutsfattande\/\" target=\"_blank\" rel=\"noopener\">profilering och automatiserat beslutsfattande<\/a> och av hur <a href=\"https:\/\/evertrust.se\/en\/article\/eu-domstolen-definierar-vad-som-utgor-ett-automatiskt-beslutsfattande-enligt-gdpr\/\" target=\"_blank\" rel=\"noopener\">EU-domstolen definierar automatiskt beslutsfattande<\/a>.<\/p>\n<p>Sedan den 2 februari 2025 g\u00e4ller ocks\u00e5 kravet i artikel 4 p\u00e5 att personal som arbetar med AI ska ha tillr\u00e4cklig AI-kunnighet. Det g\u00e4ller alla AI-system, inte bara h\u00f6grisk, och \u00e4r ett bra f\u00f6rsta steg att bocka av.<\/p>\n<h2 id=\"nar-ni-plotsligt-blir-leverantor\" tabindex=\"-1\">N\u00e4r ni pl\u00f6tsligt blir leverant\u00f6r<\/h2>\n<p>Rollerna \u00e4r inte fasta. Enligt artikel 25 tar en tillhandah\u00e5llare \u00f6ver leverant\u00f6rens skyldigheter om den s\u00e4tter sitt namn eller varum\u00e4rke p\u00e5 ett h\u00f6grisksystem, g\u00f6r en v\u00e4sentlig \u00e4ndring av det, eller \u00e4ndrar \u00e4ndam\u00e5let p\u00e5 ett system s\u00e5 att det blir h\u00f6grisk. Det sista \u00e4r den vanligaste f\u00e4llan: ett allm\u00e4nt AI-verktyg som en avdelning b\u00f6rjar anv\u00e4nda f\u00f6r att sortera jobbans\u00f6kningar har bytt \u00e4ndam\u00e5l, och organisationen kan d\u00e5 b\u00e4ra leverant\u00f6rsansvaret.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792827531308_Andrat-AI-andamal-flyttar-organisationen-till-leverantorsansvar.jpeg\" alt=\"\u00c4ndrat AI-\u00e4ndam\u00e5l f\u00f6rflyttar organisationen till leverant\u00f6rsansvar\"><\/p>\n<p><a href=\"https:\/\/www.imy.se\/blogg\/fragor-och-svar-om-ai-forordningen2\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY p\u00e5pekar ocks\u00e5<\/a> att en organisation som b\u00e5de utvecklar och anv\u00e4nder ett h\u00f6grisksystem i egen verksamhet ska f\u00f6lja kraven f\u00f6r b\u00e5de leverant\u00f6r och tillhandah\u00e5llare. Egenutvecklade modeller f\u00f6r kreditbeslut eller interna HR-verktyg hamnar ofta h\u00e4r.<\/p>\n<h2 id=\"nar-borjar-kraven-galla\" tabindex=\"-1\">N\u00e4r b\u00f6rjar kraven g\u00e4lla?<\/h2>\n<p>F\u00f6rordningen tr\u00e4dde i kraft i augusti 2024 och till\u00e4mpas stegvis, vilket vi beskrev n\u00e4r <a href=\"https:\/\/evertrust.se\/en\/article\/ai-forordningen-har-nu-officiellt-tratt-i-kraft\/\" target=\"_blank\" rel=\"noopener\">AI-f\u00f6rordningen officiellt tr\u00e4dde i kraft<\/a>. F\u00f6r h\u00f6grisk ser tidslinjen ut s\u00e5 h\u00e4r enligt <a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/faqs\/navigating-ai-act\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EU-kommissionens v\u00e4gledning<\/a>:<\/p>\n<table>\n<thead>\n<tr>\n<th>Datum<\/th>\n<th>Vad som b\u00f6rjar g\u00e4lla<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>2 februari 2025<\/td>\n<td>F\u00f6rbuden mot oacceptabla AI-metoder och kravet p\u00e5 AI-kunnighet<\/td>\n<\/tr>\n<tr>\n<td>2 december 2027<\/td>\n<td>Kraven f\u00f6r h\u00f6grisksystem enligt bilaga III<\/td>\n<\/tr>\n<tr>\n<td>2 augusti 2028<\/td>\n<td>Kraven f\u00f6r AI i produkter som omfattas av EU:s produktlagstiftning<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Bakgrunden till de senare datumen \u00e4r att kommissionen den 19 november 2025, inom ramen f\u00f6r Digital Omnibus, f\u00f6reslog att h\u00f6griskreglerna skulle knytas till att st\u00f6det finns p\u00e5 plats: harmoniserade standarder, gemensamma specifikationer eller riktlinjer. Kontrollera alltid kommissionens sida f\u00f6r aktuellt l\u00e4ge. I Sverige p\u00e5g\u00e5r samtidigt arbetet med att anpassa nationell lag, bland annat vilka myndigheter som ska ut\u00f6va tillsyn, som vi tog upp n\u00e4r <a href=\"https:\/\/evertrust.se\/en\/article\/regeringen-utreder-anpassning-av-svensk-lag-till-eus-nya-ai-regler\/\" target=\"_blank\" rel=\"noopener\">regeringen b\u00f6rjade utreda anpassningen av svensk lag<\/a>.<\/p>\n<p>Ett \u00e5r l\u00e5ter som l\u00e5ng tid. Men att bygga riskhantering, dokumentation och leverant\u00f6rsuppf\u00f6ljning f\u00f6r system som redan anv\u00e4nds brukar ta l\u00e4ngre tid \u00e4n att k\u00f6pa nya.<\/p>\n<h2 id=\"sanktionsavgifter\" tabindex=\"-1\">Sanktionsavgifter<\/h2>\n<p><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/faqs\/navigating-ai-act\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Kommissionen anger tre niv\u00e5er<\/a>:<\/p>\n<ul>\n<li>upp till 35 miljoner euro eller 7 procent av global \u00e5rsoms\u00e4ttning f\u00f6r f\u00f6rbjudna AI-metoder,<\/li>\n<li>upp till 15 miljoner euro eller 3 procent f\u00f6r brott mot \u00f6vriga krav, d\u00e4r h\u00f6griskkraven ing\u00e5r,<\/li>\n<li>upp till 7,5 miljoner euro eller 1 procent f\u00f6r felaktiga eller vilseledande uppgifter till myndigheter.<\/li>\n<\/ul>\n<p>F\u00f6r de flesta organisationer \u00e4r den mellersta niv\u00e5n den relevanta. L\u00e4gg till risken att ett system m\u00e5ste st\u00e4ngas av mitt i en rekryteringsprocess eller en kreditkampanj, s\u00e5 blir verksamhetskostnaden ofta st\u00f6rre \u00e4n avgiften.<\/p>\n<h2 id=\"sa-lagger-ni-upp-arbetet\" tabindex=\"-1\">S\u00e5 l\u00e4gger ni upp arbetet<\/h2>\n<ol>\n<li><strong>Inventera.<\/strong> Lista alla AI-system ni anv\u00e4nder eller utvecklar, inklusive funktioner som \u00e4r inbyggda i befintliga HR-, ekonomi- och kundtj\u00e4nstsystem.<\/li>\n<li><strong>Klassificera.<\/strong> Pr\u00f6va varje system mot bilaga III och produktreglerna, och dokumentera motiveringen, \u00e4ven n\u00e4r ni landar i att undantaget i artikel 6.3 g\u00e4ller.<\/li>\n<li><strong>Best\u00e4m rollen.<\/strong> Leverant\u00f6r, tillhandah\u00e5llare eller b\u00e5da. Kontrollera s\u00e4rskilt om n\u00e5got verktyg har f\u00e5tt ett nytt \u00e4ndam\u00e5l.<\/li>\n<li><strong>St\u00e4ll krav p\u00e5 leverant\u00f6rerna.<\/strong> Beg\u00e4r bruksanvisning, uppgifter om prestanda och begr\u00e4nsningar, loggfunktioner och besked om plan f\u00f6r bed\u00f6mning av \u00f6verensst\u00e4mmelse. Skriv in det i avtalen.<\/li>\n<li><strong>Bygg in tillsynen.<\/strong> Utse ansvariga, ge dem utbildning och mandat att stoppa systemet, och dokumentera hur ingripanden sker.<\/li>\n<li><strong>Samordna med GDPR och informationss\u00e4kerhet.<\/strong> Den information leverant\u00f6ren l\u00e4mnar ska enligt artikel 26 anv\u00e4ndas i er konsekvensbed\u00f6mning enligt GDPR. Anv\u00e4nd g\u00e4rna v\u00e5r <a href=\"https:\/\/evertrust.se\/wp-content\/uploads\/2024\/09\/DPIA-rapportmall-2024-Svenska.pdf\" target=\"_blank\" rel=\"noopener\">DPIA-rapportmall<\/a> som grund, och koppla cybers\u00e4kerhetskraven till er befintliga <a href=\"https:\/\/evertrust.se\/en\/riskanalys-informationssakerhet\/\" target=\"_blank\" rel=\"noopener\">riskanalys f\u00f6r informationss\u00e4kerhet<\/a>.<\/li>\n<li><strong>Planera loggar och arkiv.<\/strong> Minst sex m\u00e5naders loggar f\u00f6r er som tillhandah\u00e5llare, tio \u00e5rs dokumentation f\u00f6r leverant\u00f6rer.<\/li>\n<li><strong>F\u00f6lj upp l\u00f6pande.<\/strong> Rutiner f\u00f6r avvikelser, incidenter och kontakt med leverant\u00f6ren, plus en \u00e5rlig \u00f6versyn av klassningen.<\/li>\n<\/ol>\n<h2 id=\"vart-perspektiv-bygg-pa-det-ni-redan-har\" tabindex=\"-1\">V\u00e5rt perspektiv: bygg p\u00e5 det ni redan har<\/h2>\n<p>Vi m\u00f6ter m\u00e5nga organisationer som ser AI-f\u00f6rordningen som ett helt nytt regelverk som kr\u00e4ver en egen organisation. V\u00e5r erfarenhet \u00e4r den motsatta. Den som redan har en fungerande GDPR-process med registerf\u00f6rteckning, konsekvensbed\u00f6mningar och personuppgiftsbitr\u00e4desavtal, och ett ledningssystem f\u00f6r informationss\u00e4kerhet enligt <a href=\"https:\/\/evertrust.se\/en\/expertis\/informationssakerhet-iso-2700x\/\" target=\"_blank\" rel=\"noopener\">ISO 27001<\/a>, har redan st\u00f6rre delen av ramverket. Riskhantering, dokumentation, loggning och leverant\u00f6rskontroll \u00e4r samma muskler.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792827572444_Vart-perspektiv-bygg-pa-det-ni-redan-har-overview-diagram.jpeg\" alt=\"V\u00e5rt perspektiv: bygg p\u00e5 det ni redan har \u2014 overview diagram\"><\/p>\n<p>Det som saknas brukar vara tre saker. F\u00f6rst en inventering som faktiskt hittar AI-funktionerna, eftersom de ofta sitter i system som k\u00f6ptes f\u00f6r n\u00e5got annat. Sedan en \u00e4rlig rollbed\u00f6mning, d\u00e4r vi ofta ser att verksamheten har gjort sig sj\u00e4lv till leverant\u00f6r utan att veta om det. Och sist en m\u00e4nsklig tillsyn som \u00e4r mer \u00e4n ett namn i ett dokument: personen ska f\u00f6rst\u00e5 systemets begr\u00e4nsningar och v\u00e5ga s\u00e4ga stopp.<\/p>\n<p>V\u00e5r rekommendation \u00e4r att behandla AI-system med h\u00f6g risk som en del av er samlade compliance, med samma \u00e4gare, samma riskmodell och samma granskningscykel som f\u00f6r dataskydd och informationss\u00e4kerhet. Det blir billigare, och det h\u00e5ller n\u00e4r tillsynsmyndigheten kommer.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"hjalp-med-hogriskbedomning-och-efterlevnad\" tabindex=\"-1\">Hj\u00e4lp med h\u00f6griskbed\u00f6mning och efterlevnad<\/h2>\n<p>Evertrust arbetar med juridik och r\u00e5dgivning inom dataskydd, informationss\u00e4kerhet, IT-juridik och AI-reglering. Vi g\u00f6r <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">GAP-analyser och konsekvensbed\u00f6mningar<\/a> som visar var era AI-system st\u00e5r mot kraven, ger l\u00f6pande st\u00f6d genom v\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivnings- och konsulttj\u00e4nster<\/a> och kan g\u00e5 in som interimsresurs. I v\u00e5r GRC-plattform <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">Trustview<\/a> samlar ni dokumentation, risker och \u00e5tg\u00e4rder f\u00f6r GDPR, ISO 27000, NIS2 och DORA p\u00e5 ett st\u00e4lle.<\/p>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"ar-chatgpt-eller-copilot-ett-hogrisksystem\" tabindex=\"-1\">\u00c4r ChatGPT eller Copilot ett h\u00f6grisksystem?<\/h3>\n<p>Inte i sig. Allm\u00e4nna AI-modeller har egna regler i f\u00f6rordningen, men h\u00f6griskkraven utl\u00f6ses av hur systemet anv\u00e4nds. B\u00f6rjar ni anv\u00e4nda verktyget f\u00f6r att rangordna jobbs\u00f6kande eller bed\u00f6ma kreditv\u00e4rdighet kan anv\u00e4ndningen bli h\u00f6grisk, och ni kan f\u00e5 leverant\u00f6rsansvar.<\/p>\n<h3 id=\"galler-kraven-om-leverantoren-finns-utanfor-eu\" tabindex=\"-1\">G\u00e4ller kraven om leverant\u00f6ren finns utanf\u00f6r EU?<\/h3>\n<p>Ja. F\u00f6rordningen g\u00e4ller n\u00e4r systemet sl\u00e4pps ut eller anv\u00e4nds i EU eller n\u00e4r dess utdata anv\u00e4nds h\u00e4r. Leverant\u00f6rer utanf\u00f6r EU ska utse ett ombud inom unionen, och ni som tillhandah\u00e5llare har kvar era egna skyldigheter.<\/p>\n<h3 id=\"ersatter-konsekvensbedomningen-for-grundlaggande-rattigheter-en-dpia\" tabindex=\"-1\">Ers\u00e4tter konsekvensbed\u00f6mningen f\u00f6r grundl\u00e4ggande r\u00e4ttigheter en DPIA?<\/h3>\n<p>Nej, men de kompletterar varandra. F\u00f6rordningen s\u00e4ger uttryckligen att en redan gjord DPIA enligt GDPR kan utg\u00f6ra underlag och att bed\u00f6mningen ska komplettera den. G\u00f6r dem g\u00e4rna i samma process.<\/p>\n<h3 id=\"maste-vi-vanta-till-december-innan-vi-gor-nagot\" tabindex=\"-1\">M\u00e5ste vi v\u00e4nta till december 2027 innan vi g\u00f6r n\u00e5got?<\/h3>\n<p>Nej. F\u00f6rbuden och kravet p\u00e5 AI-kunnighet g\u00e4ller redan, och inventering, klassning och leverant\u00f6rsavtal tar tid. Den som b\u00f6rjar nu kan fasa in arbetet i ordinarie granskningar i st\u00e4llet f\u00f6r att g\u00f6ra allt i sista stund.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<ul>\n<li><a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/?uri=OJ%3AL_202401689\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">F\u00f6rordning (EU) 2024\/1689 om artificiell intelligens, EUR-Lex<\/a><\/li>\n<li><a href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/faqs\/navigating-ai-act\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Navigating the AI Act, EU-kommissionen<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/ai\/ai-forordningen\/fragor-och-svar-om-ai-forordningen\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Fr\u00e5gor och svar om AI-f\u00f6rordningen, IMY<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/blogg\/fragor-och-svar-om-ai-forordningen2\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Fr\u00e5gor och svar om AI-f\u00f6rordningen, IMY:s blogg<\/a><\/li>\n<li><a href=\"https:\/\/www.fi.se\/sv\/publicerat\/nyheter\/2026\/ge-synpunkter-pa-forslag-pa-riktlinjer-for-klassificering-av-hogrisk-ai\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Ge synpunkter p\u00e5 f\u00f6rslag p\u00e5 riktlinjer f\u00f6r klassificering av h\u00f6grisk-AI, Finansinspektionen<\/a><\/li>\n<\/ul>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/article\/ai-skapar-nya-mojligheter-och-risker-inom-cybersakerhet\/\" target=\"_blank\" rel=\"noopener\">AI skapar nya m\u00f6jligheter och risker inom cybers\u00e4kerhet<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/article\/usa-infor-stranga-regler-mot-ai-genererade-recensioner\/\" target=\"_blank\" rel=\"noopener\">USA inf\u00f6r str\u00e4nga regler mot AI-genererade recensioner<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/article\/mit-introducerar-omfattande-databas-over-ai-risker\/\" target=\"_blank\" rel=\"noopener\">MIT introducerar omfattande databas \u00f6ver AI-risker<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/article\/eu-undersoker-hur-stora-teknikforetag-hanterar-ai-risker\/\" target=\"_blank\" rel=\"noopener\">EU unders\u00f6ker hur stora teknikf\u00f6retag hanterar AI-risker<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>Vilka krav st\u00e4ller AI-f\u00f6rordningen p\u00e5 AI-system med h\u00f6g risk? Klassning, leverant\u00f6rens och anv\u00e4ndarens skyldigheter, tidslinje, sanktioner och \u00e5tg\u00e4rdslista.<\/p>","protected":false},"author":2,"featured_media":8608,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8607","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8607","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8607"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8607\/revisions"}],"predecessor-version":[{"id":8611,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8607\/revisions\/8611"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8608"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8607"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8607"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8607"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}