EU:s AI-förordning – vad gäller för ditt företag?

EU:s AI-förordning är världens första heltäckande AI-lagstiftning, och den gäller även svenska småföretag som använder en AI-chatt på hemsidan. De flesta beskrivningar av förordningen är skrivna för jurister eller för teknikjättar. Den här är skriven för er som använder AI i verksamheten och vill veta en sak: vad behöver vi faktiskt göra?

Snabbsvar: AI-förordningen delar in AI-användning i riskklasser. En AI-chatt för kundservice hamnar normalt i den lägre delen av skalan, där huvudkravet är transparens: användaren ska förstå att den pratar med en AI. De tunga kraven gäller högrisksystem som fattar beslut om människor – rekrytering, kreditbedömning, myndighetsutövning. För de flesta svenska SMB är förordningen hanterbar, inte skrämmande.

Hur fungerar riskklasserna – och var hamnar vi?

Förordningen reglerar användningsområden, inte tekniken i sig. Samma språkmodell kan vara oreglerad i ett sammanhang och högriskklassad i ett annat. Det är därför frågan ‘är vår AI laglig?’ är fel ställd – rätt fråga är ‘vad använder vi den till?’.

En kundservicechatt som svarar på frågor hamnar normalt i klassen begränsad risk. Använder ni däremot AI för att sortera jobbansökningar eller bedöma kreditvärdighet är ni i högriskkategorin – oavsett hur enkel tekniken känns.

Vad behöver vi konkret göra för vår AI-chatt?

För en chatt i begränsad risk-klassen är kärnkravet transparens. I praktiken betyder det tre saker:

1. Var tydliga med att det är en AI. Ingen ska kunna tro att den chattar med en människa. Det ska framgå direkt, inte i finstilta villkor.

2. Dokumentera vad ni använder AI till. En enkel förteckning över era AI-användningar och deras riskklass räcker långt – och gör framtida frågor lätta att besvara.

3. Ställ krav på leverantören. Det mesta av det tekniska ansvaret ligger hos den som tillhandahåller AI-systemet. Er uppgift är att välja en leverantör som kan visa att de tar det ansvaret.

Vem bär ansvaret – vi eller AI-leverantören?

Förordningen skiljer på den som tillhandahåller ett AI-system och den som använder det i sin verksamhet. De tyngsta kraven ligger på tillhandahållaren – men ni som använder systemet har egna skyldigheter, framför allt att använda det som avsett och uppfylla transparenskraven mot era kunder.

Det liknar ansvarsfördelningen i GDPR, och samma tumregel gäller: ni kan köpa tjänsten, men inte ansvaret. En leverantör som kan redogöra för hur deras system förhåller sig till förordningen besparar er både arbete och risk.

Hur hänger AI-förordningen ihop med GDPR?

De gäller parallellt och reglerar olika saker. GDPR handlar om personuppgifterna som passerar genom systemet, AI-förordningen om systemet i sig och hur det används. En AI-chatt behöver uppfylla båda: transparens och riskklassning enligt AI-förordningen, laglig databehandling enligt GDPR.

Den goda nyheten är att arbetet överlappar: har ni gjort GDPR-hemläxan är ni en bra bit på väg. Vad den innebär för chattar har vi gått igenom i vår guide om AI-chattar och GDPR.

När räcker inte den här genomgången?

Det här är en orientering, inte juridisk rådgivning. Förordningens krav införs stegvis och detaljer preciseras löpande genom vägledningar och standarder. Använder ni AI för något som kan vara högrisk – beslut om anställning, kredit, försäkring eller annat som påverkar enskilda väsentligt – ska ni ta in juridisk kompetens och inte förlita er på en blogartikel, vår eller någon annans.

Vi tycker samtidigt att förordningen förtjänar mindre skräck och mer nykterhet än den ofta får. För de flesta SMB är den en checklista, inte ett hinder – och de leverantörer som klagar högst på regleringen är sällan de som byggt mest ansvarsfullt.

Vanliga frågor om AI-förordningen

Gäller förordningen även små företag?

Ja, den gäller oavsett företagsstorlek – det är användningen som avgör kraven, inte antalet anställda. Skillnaden i praktiken är att små företag sällan bygger egna AI-system och därmed mest berörs av användarkraven, som är betydligt lättare. Vissa lättnader och stöd finns dessutom riktade till just mindre företag.

Vi använder bara ett vanligt AI-verktyg internt – berörs vi alls?

Intern användning för produktivitet – textutkast, sammanfattningar, översättningar – hamnar normalt i minimal risk utan särskilda krav. Det som ändå är klokt är en intern policy: vilka verktyg som är godkända, vad som inte får matas in i dem och vem som ansvarar. Det är bra hygien oavsett lagstiftning.

Måste vår chatt säga att den är en AI i varje konversation?

Det ska vara uppenbart för användaren att den interagerar med en AI – i praktiken löses det med tydlig märkning i chattfönstret och en presentation i början av samtalet. Utformningen är enkel att göra rätt, och en seriös leverantör har den inbyggd som standard snarare än som tillval.

Vad riskerar vi om vi struntar i förordningen?

Sanktionsavgifter finns, med de högsta nivåerna reserverade för förbjuden användning och allvarliga överträdelser. För ett SMB med en kundservicechatt är den realistiska risken snarare förtroendeskada: att bli påkommen med en omärkt AI eller slarvig datahantering kostar mer i kundrelationer än i avgifter. Gör rätt från början så är frågan hanterad.

Hur väljer vi en leverantör som tar det här på allvar?

Ställ tre frågor: hur märker ni AI-innehåll mot användare, hur ser er dokumentation ut, och hur följer ni regelutvecklingen åt oss? Tydliga svar på alla tre är ett gott tecken. Svävande svar eller irritation över frågorna är svar nog – samma urvalsfilter som fungerar för GDPR fungerar här.

AI-förordningen är för de flesta SMB en fråga om att välja rätt leverantör och vara ärlig mot sina användare – två saker ni förmodligen redan vill vara. Vill ni gå igenom vad den betyder för just er AI-användning kan ni kontakta oss.