Översikt: Vad är AI‑förordningen och hur är den uppbyggd?

1. Varför en AI‑förordning – och vad är den egentligen?

AI‑förordningen, Artificial Intelligence Act, är förordning (EU) 2024/1689. Den antogs 2024 och är idag (drygt 1,5 år senare) EU:s centrala regelverk för artificiell intelligens.

Nyckelidéer:

• Det är en EU‑förordning, inte ett direktiv → den gäller direkt i alla medlemsstater (inkl. Sverige) utan att först behöva genomföras i nationell lag.
• Den är teknikneutral: den reglerar användning och risker snarare än specifika tekniska lösningar.
• Den är riskbaserad: ju högre risk ett AI‑system innebär för människors rättigheter eller säkerhet, desto hårdare krav.

Varför kom den? (bakgrund i korthet)

• Snabb utveckling av AI (särskilt efter 2018–2023) skapade nya risker: diskriminering, bristande transparens, säkerhetsproblem.
• EU ville kombinera innovation med grundläggande rättigheter (t.ex. skydd för privatliv, icke‑diskriminering).
• Den är en del av EU:s bredare digitala strategi, tillsammans med bl.a. GDPR, DMA, DSA och Data Act.

> Mål med denna modul: Efter 15 minuter ska du kunna förklara vad AI‑förordningen är, hur den är uppbyggd, hur den hänger ihop med andra EU‑regler, och vilka datum som är viktiga.

2. Syfte och mål enligt artikel 1 – vad vill förordningen uppnå?

I artikel 1 anges AI‑förordningens syfte. Förenklat kan det delas upp i fyra huvuddelar:

1. Skydda grundläggande rättigheter och säkerhet

Förordningen ska säkerställa att AI inte kränker t.ex. rätten till privatliv, icke‑diskriminering, yttrandefrihet, arbetstagares rättigheter, eller produktsäkerhet.

1. Skapa förtroende för AI

Genom tydliga regler om transparens, kvalitet på data, dokumentation och tillsyn vill EU göra att både allmänhet och företag vågar använda AI.

1. Främja innovation och den inre marknaden

• Samma regler i hela EU → minskad fragmentering mellan länder.
• Förordningen inför också sandlådor för AI (regulatory sandboxes) där man kan testa innovation under tillsyn.

1. Särskilda mål för AI‑system med hög risk och grundmodeller

• För högrisk‑AI (t.ex. AI i medicinteknik, kritisk infrastruktur, rekrytering) ska det finnas strikta krav på kvalitet, riskhantering, loggning, mänsklig övervakning m.m.
• För grundmodeller (foundation models, inklusive vissa generativa modeller) finns särskilda krav, särskilt om de är systemiskt viktiga (high‑impact models).

> Knytning till EU:s digitala strategi: AI‑förordningen är ett av huvudverktygen för att skapa ett “Trustworthy AI‑ekosystem” i EU – ett ekosystem där AI är både laglig, etisk och robust.

3. Tillämpningsområde och undantag enligt artikel 2

AI‑förordningen gäller inte all teknik, utan specifikt AI‑system och vissa AI‑modeller.

Vem och vad omfattas?

Förordningen gäller i huvudsak för:

• Leverantörer (providers) av AI‑system som släpper ut system på EU‑marknaden eller tar dem i bruk inom EU.
• Användare (deployers) av AI‑system inom EU.
• Vissa aktörer utanför EU om deras system används inom EU.

Den omfattar:

• AI‑system enligt en legal definition (bl.a. maskininlärning, logik‑ och kunskapsbaserade system). Definitionen har uppdaterats under lagstiftningsprocessen för att vara mer teknikneutral.
• Grundmodeller (foundation models), särskilt sådana med systemisk risk.

Viktiga undantag (artikel 2)

Förordningen gäller inte för:

• Rent privat, icke‑yrkesmässig användning av AI av enskilda personer.
• Viss militär och försvarsmässig verksamhet.
• Viss nationell säkerhet (medlemsstaternas ansvar).
• Vissa former av forskning och utveckling, särskilt när systemet ännu inte släpps ut på marknaden eller tas i bruk.

Det finns också särregler för brottsbekämpning, migration, asyl och gränskontroll (t.ex. särskilda kapitel och undantag, men också förbud mot vissa användningar, som bred ansiktsigenkänning i realtid i offentligt tillgängliga utrymmen, med få undantag).

> Att komma ihåg: AI‑förordningen gäller främst aktörer (leverantörer, användare, importörer, distributörer) och system/modeller, inte enskilda privatpersoners vardagsanvändning av t.ex. en mobilapp.

4. Riskbaserad struktur – fyra nivåer av AI‑risk

En central idé i AI‑förordningen är risknivåer. Man kan förenklat dela in i fyra kategorier:

1. Förbjuden AI (oacceptabel risk)

Exempel (finns i förordningens artiklar och bilagor):

• Manipulativ AI som utnyttjar sårbarheter (t.ex. barn, personer med funktionsnedsättning) för att påverka beteende på ett skadligt sätt.
• Social poängsättning (social scoring) av medborgare av offentliga myndigheter under vissa villkor.
• Viss biometrisk fjärridentifiering i realtid i offentliga miljöer, med snäva undantag.

1. Högrisk‑AI

Detta är kärnan i förordningen. Högrisk‑AI omfattar bl.a. system som:

• är säkerhetskomponenter i produkter (t.ex. medicinteknik, hissar, leksaker) som redan regleras i annan EU‑produktsäkerhetslagstiftning, eller
• används i känsliga områden (t.ex. rekrytering, utbildningsantagning, kreditvärdering, rättsväsendet).

Dessa är listade i bilaga III.

1. AI med särskilda transparenskrav

T.ex. chattbotar eller system som genererar eller manipulerar innehåll (deepfakes) där användaren måste informeras om att de interagerar med AI eller att innehållet är AI‑genererat.

1. Låg‑ eller minimal risk

T.ex. AI i spel, rekommendationssystem för musik, enklare filtrering. Dessa omfattas inte av detaljerade krav, men frivilliga uppförandekoder uppmuntras.

> Koppling till struktur: Hela förordningen är uppbyggd så att olika kapitel riktar sig till olika risknivåer och typer av aktörer.

5. Hur är AI‑förordningen uppbyggd? Kapitel, avdelningar och bilagor

AI‑förordningen är omfattande. En förenklad översikt av strukturen (kapitelindelningen kan förenklas något här för pedagogik, men speglar huvuddragen):

a) Inledande bestämmelser

• Kapitel I – Allmänna bestämmelser
• Artikel 1: Syfte
• Artikel 2: Tillämpningsområde
• Artikel 3: Definitioner

b) Regler för förbjuden och högrisk‑AI

• Kapitel II – Förbjudna AI‑metoder

Reglerar vilka AI‑praktiker som är helt förbjudna.

• Kapitel III – Högrisk‑AI‑system

Delas ofta upp i avdelningar om:

• krav på högrisk‑system (riskhantering, data, dokumentation, loggning, transparens, mänsklig övervakning, robusthet och cybersäkerhet),
• skyldigheter för leverantörer, användare, importörer, distributörer,
• bedömning av överensstämmelse och CE‑märkning.

c) Särskilda regler för vissa AI‑system

• Kapitel IV – Transparenskrav för vissa AI‑system

T.ex. krav på att informera användare när de interagerar med AI.

• Kapitel IVa (infört under förhandlingarna) – Regler för grundmodeller och generativ AI
• Allmänna krav på grundmodeller (t.ex. dokumentation, upphovsrättslig transparens, redovisning av träningsdata på sammanfattad nivå).
• Särskilda krav för systemiskt viktiga grundmodeller (t.ex. kraftfulla modeller med stor spridning och påverkan).

d) Styrning, tillsyn och genomförande

• Kapitel V–VIII (förenklat) – Styrning, standardisering, sandlådor, tillsyn, sanktioner

Innehåller bl.a.:

• EU‑styrelse för AI (European AI Board / AI Office i kommissionen),
• nationella tillsynsmyndigheter,
• regler om marknadskontroll,
• administrativa sanktionsavgifter (böter).

e) Bilagor

Bilagorna innehåller tekniska och sektorsspecifika detaljer, t.ex.:

• Bilaga I – Tekniska metoder som omfattas av definitionen av AI‑system.
• Bilaga III – Förteckning över högrisk‑användningar.

> Studietips: När du arbetar med AI‑förordningen i praktiken:

> 1. Identifiera vilken typ av AI‑system det gäller.

> 2. Slå upp relevant kapitel (förbjuden, högrisk, transparens, grundmodell).

> 3. Kolla sedan bilagorna (särskilt bilaga III) för att se om systemet är högrisk.

6. Exempel: Hitta rätt kapitel för olika AI‑system

Tänk dig tre olika scenarier. Försök själv först att placera in dem i rätt del av AI‑förordningen innan du läser facit.

Scenario A – Rekryteringsverktyg

Ett företag säljer ett AI‑baserat verktyg som automatiskt sorterar och rangordnar jobbansökningar.

• Analys:
• Påverkar människors tillgång till arbete → känslig samhällsfunktion.
• Finns typiskt med i bilaga III (anställning, arbetsledning).

→ Troligen ett högrisk‑AI‑system.

• Relevanta delar av förordningen:
• Kap. III om högrisk‑AI (krav på data, icke‑diskriminering, dokumentation, mänsklig övervakning, etc.).

---

Scenario B – Chattbot på en e‑handelssajt

En webbutik använder en AI‑chattbot för kundsupport.

• Analys:
• Interaktion med människor, men begränsad risk.
• Dock måste användaren förstå att det är en AI, inte en människa.

→ Faller under transparenskrav.

• Relevanta delar:
• Kap. IV om särskilda transparenskrav (informera användaren).

---

Scenario C – Stor språkmodell (LLM) som tjänst

Ett företag utvecklar en kraftfull generativ språkmodell som andra kan bygga appar ovanpå.

• Analys:
• Detta är en grundmodell (foundation model).
• Om den når en viss kapacitet och spridning kan den klassas som systemiskt viktig.

→ Särskilda krav på utvecklaren.

• Relevanta delar:
• Kap. IVa om grundmodeller (dokumentation, upphovsrättslig transparens, riskhantering m.m.).

> Poängen: Vilket kapitel du hamnar i beror på användningen (use case) och modellens roll (slutanvändar‑system vs grundmodell).

7. Reflektionsövning: Hur påverkar AI‑förordningen en svensk aktör?

Föreställ dig att du är jurist eller produktägare på ett svenskt techbolag som utvecklar AI‑baserade tjänster.

Fundera (gärna skriftligt, 3–5 meningar per punkt):

1. Identifiera en AI‑tjänst som ditt fiktiva bolag erbjuder (t.ex. bildigenkänning för industri, AI‑baserad studiehandledning, kreditbedömning, HR‑stöd).
2. Vilken riskkategori tror du att tjänsten hamnar i?

• Förbjuden, högrisk, transparenskrav, eller låg/minimal risk?

Motivera kort.

1. Vilka andra regelverk tror du är relevanta samtidigt?

• T.ex. GDPR (personuppgifter), produktsäkerhet (om det är en fysisk produkt), sektorsregler (finans, hälso‑ och sjukvård, utbildning).

1. Vilka kapitel i AI‑förordningen skulle du börja läsa för att få en första bild av kraven?

> Diskutera gärna dina svar med en kurskamrat eller skriv dem som anteckningar. Syftet är att koppla abstrakta regler till konkreta situationer.

8. Förhållandet till GDPR, sektorslagstiftning och annan EU‑rätt

AI‑förordningen gäller parallellt med annan EU‑lagstiftning – den ersätter inte t.ex. GDPR.

a) AI‑förordningen och GDPR

• GDPR reglerar personuppgifter (vem får behandla vad, på vilken rättslig grund, rättigheter för registrerade osv.).
• AI‑förordningen reglerar AI‑systemens utformning och användning, oavsett om de behandlar personuppgifter eller inte.

När ett AI‑system behandlar personuppgifter måste man alltså följa både:

• GDPR (laglig grund, information, rättigheter, minimera data, m.m.), och
• AI‑förordningen (riskhantering, datakvalitet, transparens, mänsklig övervakning, etc.).

Exempel: Ett högrisk‑AI‑system för rekrytering måste:

• Uppfylla GDPR (t.ex. ha rättslig grund, informera sökande, hantera profilering), och
• Uppfylla AI‑förordningen (t.ex. icke‑diskriminerande träningsdata, loggning, dokumentation, mänsklig översyn).

b) AI‑förordningen och sektors‑/produktsäkerhetsregler

AI‑förordningen är utformad för att samspela med befintlig sektorslagstiftning, t.ex.:

• Medicinteknikförordningen (MDR)
• Förordningar om maskiner, leksaker, hissar m.m.
• Finansmarknadsregler (t.ex. kreditinstitut)

Grundprinciper:

• Om en produkt redan omfattas av EU‑harmoniserad produktsäkerhetslagstiftning och innehåller ett AI‑system som är en säkerhetskomponent, blir detta AI‑system oftast högrisk.
• Kraven i AI‑förordningen integreras då i den befintliga överensstämmelsebedömningen (t.ex. CE‑märkning).

> Viktigt: Om olika EU‑regler krockar finns det i AI‑förordningen artiklar som anger hur den ska tolkas i förhållande till annan lag. Ofta gäller att mer skydd för individen går först.

9. Tidslinje: ikraftträdande och successiv tillämpning

Eftersom AI‑förordningen är ny är tidslinjen central. Här är en förenklad översikt (datum avrundade för pedagogik):

• 2024 – Förordningen antogs och publicerades i EU:s officiella tidning (som förordning (EU) 2024/1689).

Den trädde i kraft cirka 20 dagar efter publicering.

• Från 2025 – Vissa förbjudna AI‑praktiker börjar tillämpas tidigare än resten, för att snabbt stoppa de mest riskabla användningarna.

• 2025–2026 – Successiv tillämpning av:
• Regler för styrning, tillsynsmyndigheter och standardisering,
• Regler för grundmodeller (foundation models), särskilt de systemiskt viktiga.

• 2026–2027 – De flesta regler om högrisk‑AI blir fullt tillämpliga (inkl. krav på leverantörer, användare, CE‑märkning, m.m.).

Eftersom vi idag befinner oss i början av 2026 är läget ungefär:

• Förordningen gäller, men alla delar är ännu inte fullt tillämpade.
• Aktörer som utvecklar eller använder AI behöver redan nu:
• kartlägga vilka system som kan bli högrisk,
• börja bygga upp riskhanterings‑ och dokumentationsprocesser,
• följa utvecklingen av harmoniserade standarder och vägledning från EU‑kommissionen och nationella myndigheter.

> I praktiken: Universitetsprojekt, startups och myndigheter bör redan under 2025–2026 designa AI‑system med AI‑förordningen i åtanke, även om alla detaljerade skyldigheter ännu inte är sanktionerbara.

10. Snabbtest: Förstå syfte, struktur och samspel med annan rätt

Besvara frågan nedan för att testa din förståelse.

11. Repetition av nyckelbegrepp

Använd korten för att repetera centrala begrepp från modulen.