EU:s AI-förordning har börjat tillämpas och kraven skärps stegvis. Den omfattar inte bara dem som utvecklar egna modeller, utan också småföretag som bygger in tredjeparts-AI i sin egen tjänst. Beroende på din roll kan du behöva klassificera funktionen som hög- eller lågrisk och dokumentera bedömningen. Integrerar du AI i en egen tjänst och säljer den under ditt namn kan du dessutom få skyldigheter som tillhandahållare.
Vad som faktiskt krävs av dig
Många SMB:er tror att ansvaret enbart ligger hos leverantören av AI-modellen. Det stämmer inte alltid. När du säljer en tjänst där AI ingår har du egna skyldigheter som användare, så kallad deployer. Om du sätter ditt namn på systemet, marknadsför det som ditt eller gör väsentliga ändringar kan du dessutom betraktas som tillhandahållare, provider. Det gäller även om modellen kommer från en stor amerikansk leverantör eller en europeisk startup.
Förordningen delar in AI-system i risknivåer. De flesta SMB:ers funktioner hamnar i kategorin begränsad risk, som innebär transparenskrav – användaren ska veta när den interagerar med AI. Vissa tillämpningar faller in i högrisk, till exempel om AI används i kritiska processer som rekrytering, kreditbedömning eller vissa medicinska tillämpningar. En AI som filtrerar eller rangordnar CV:n i en rekryteringsprocess är ett typiskt högriskexempel. Att bara sortera är inte ett undantag; det är själva urvalet som gör tillämpningen känslig. Kontexten avgör, men gränsen går inte vid om systemet fattar det slutliga anställningsbeslutet.
Bedömningen bygger på en lista över förbjudna AI-användningar och en förteckning över högriskområden i förordningen. Förbjudna användningar gäller bland annat social scoring och vissa former av manipulerande teknik. Utöver den formella klassificeringen finns krav på dokumentation, teknisk dokumentation och att kunna redovisa hur systemet övervakas över tid.
Praktiskt innebär det här:
- Kartlägg var AI ingår i din tjänst och vad den faktiskt gör i beslutsvägen.
- Kontrollera om tillämpningen träffar något av förordningens högriskområden.
- Dokumentera bedömningen med datum, motivering och vem som fattat beslutet.
- Säkerställ att användaren får tydlig information när AI används i interaktionen.
- Utvärdera om nya funktioner eller uppdateringar från leverantören ändrar risknivån.
Vad som händer om du klassificerar fel
Fel klassificering är inte bara en formalitet. Om du säljer en funktion som borde klassificeras som högrisk utan att uppfylla kraven riskerar du sanktioner enligt förordningens bestämmelser. Högriskreglerna för bland annat rekrytering och kreditbedömning börjar tillämpas 2 december 2027, men upphandlare kan ställa krav på dokumentation redan nu. Saknar du den blir du bortvald innan priset ens diskuteras. I praktiken betyder det att en undermålig riskbedömning kan stänga dörren till hela offentliga marknader.
Det finns även en mer direkt affärsrisk. Om en kund eller en motpart upptäcker att en funktion du marknadsfört som säker i själva verket faller i högriskklass utan certifiering, kan det leda till krav på tillbakadragning av tjänsten. För ett mindre företag kan det vara katastrofalt.
Om du däremot gör bedömningen rätt och tidigt kan det bli ett faktiskt säljargument. Större konkurrenter skjuter ofta på bedömningen i väntan på mer detaljerade riktlinjer. Du kan visa upp en dokumenterad riskbedömning i en kundpresentation och på så sätt skilja dig från dem som ännu inte har gjort sitt arbete. I upphandlingar mot offentliga aktörer blir dokumentationen en konkret konkurrensfördel.
Nästa steg för företaget
Börja med en enkel karta över var AI används. Det räcker med en lista i kalkylarket: funktion, leverantör, vad den gör, vilken risknivå du bedömer och varför. Om du inte själv har kompetensen att bedöma högriskfrågan – exempelvis när AI används i rekrytering eller kreditbedömning – investera i juridisk rådgivning nu medan tiden finns.
Kontrollera också vad din AI-leverantör redan levererar. Många större modellutvecklare ger dig teknisk dokumentation som du kan bygga vidare på. Använd den i stället för att börja om från noll. Prata med leverantören om hur de hanterar sina egna uppdateringar och om de kommer att meddela dig när modellen ändras på ett sätt som påverkar riskprofilen.
En praktisk tumregel är att göra bedömningen per funktion, inte per modell. Samma grundmodell kan användas i en chatbot med begränsad risk och i en kreditbedömningsfunktion med hög risk. Klassificera alltid utifrån vad systemet faktiskt gör i din tjänst.
Redan nu bör du kunna svara på tre frågor: Var i tjänsten finns AI? Vilken risknivå har varje tillämpning? Vem i företaget har skrivit under bedömningen och när? Om du kan svara på dem har du gjort mer än de flesta.
Den avgörande frågan är inte om du hinner före 2027 – det är om du kan redovisa bedömningen när en kund, en myndighet eller en leverantör ber om den.
