Överträdelse kan ge böter på upp till 35 miljoner euro eller 7 procent av global omsättning. EU:s AI-förordning ställer nya operativa krav på it-chefer och säkerhetsansvariga, med skyldigheter som dokumentation för högrisk-AI och formell AI-kännedom i ledningen. Skyldigheterna införs stegvis och kulminerar den 2 augusti 2026, då de fulla högriskkraven börjar gälla. Organisationer måste kartlägga var AI används, klassificera risknivåer och ange roller som provider, deployer, importör eller distributör för att säkra spårbarhet och transparens.

EU:s AI-förordning är ingen principdiskussion längre. För it-chefer betyder den nya regelboken konkreta arbetsuppgifter, kostnader och ansvar. Straffen är tydliga. Överträdelse kan leda till böter upp till 35 miljoner euro eller 7 procent av global omsättning. Reglerna rullas ut i flera steg och påverkar allt från intern styrning till loggning i modellkedjan.

Vad lagen kräver nu

Flera delar av förordningen gäller redan. Tech-Insider redogör för tidplanen: oacceptabla tillämpningar förbjöds den 2 februari 2025, transparenskrav för generella AI-modeller blev obligatoriska den 2 augusti 2025 och de fullskaliga kraven för högrisk-AI träder i kraft den 2 augusti 2026. Förhöjd transparens innebär att användare måste informeras när de interagerar med AI. Dessutom införs ett formellt krav på att ledningen har AI-kännedom.

Regelverket fastställer särskilda dokumentationskrav för de så kallade högrisk-AI-systemen. Exempel på sådana tillämpningar är system för bedömning av läranderesultat, sortering av jobbansökningar, kreditbedömning och system som påverkar demokratiska processer. För dessa system krävs spårbarhet i modellkedjan, detaljerad riskbedömning och kontinuerlig övervakning.

Vad it-ledningen måste göra

Från användarperspektiv förändrar reglerna de praktiska spelreglerna för it-organisationer och ledningar. Organisationer måste först kartlägga var AI används. Därefter ska de klassificera risknivåer, och sätta roller för provider, deployer, importör eller distributör. Atea påpekar att samma juridiska aktör kan bära flera roller. Ett företag som integrerar en tjänst som Copilot med annan teknik riskerar att vara mer än enbart användare och därmed få flera separata dokumentations- och ansvarsskyldigheter.

Det här påverkar inte bara teknikteamet. HR, utbildning och affärsledning måste dras in tidigt för att bygga AI-kompetens och omskola personal snarare än att enbart anställa externa experter.

Mastheads

Anjali Shaikh, chef för Deloitte Consulting och Deloittes globala cio- och techledarprogram, säger att cio:ernas förväntningar är större än kapaciteten och att it-cheferna kommer att bedömas efter sin förmåga att driva affärstransformation och AI-initiativ.

Deloittes undersökning fångar spänningen mellan ambition och kapacitet i it-ledningar. Enligt Computer Sweden uppger 81 procent av it-cheferna att de har förtroende för sin organisations förmåga att implementera och styra AI. Samtidigt anser 75 procent att verksamhetsmodeller och processer måste förändras inom 12-18 månader för att skapa större värde. Cirka en fjärdedel pekar på brist på kompetent personal som en huvudutmaning.

Kapacitetstestet och verktygen för styrning

Säkerhet och styrning knyts tätt till de nya skyldigheterna. Experter framhåller att CISO-rollen blir central för att etablera ramverk för dataskydd, transparens och spårbarhet samt för att informera styrelse och ledning om AI-risker. Andreas Gotthardsson, director system engineering på Fortinet Sverige, betonar att mänsklig kontroll och intern utbildning är avgörande för att tolka modellers output och upptäcka snedvridningar.

Bristande styrning har redan lett till exempelvis dataläckor och partiska rekryteringsalgoritmer som skadat organisationers anseende, enligt branschkommentarer i källorna. Det gör att ramverk för riskbedömning och dokumentation blir arbetsverktyg, inte bara papper på väggen. ISO 42001:2023 och NIST AI Risk Management Framework nämns i källorna som praktiska referenser för att bygga sådana processer. De rekommenderade standarderna hjälper till att strukturera riskbedömning, dokumentation och kontinuerlig övervakning.

Det finns också en politisk spänning i bakgrunden. Tech-Insider rapporterar att Europeiska kommissionen, representerad av digitalchef Henna Virkkunen, har försvarat tidplanerna och sagt att hon vill implementera förordningen utan fördröjning. Samtidigt har branschen och vissa medlemsstater uttryckt oro över kostnader och effekt på innovation. För it-chefer innebär detta att de måste balansera efterlevnad med affärsnytta och teknisk leverans.

Praktiskt arbete ser ofta ut så här. Kartläggning som visar var modeller och data lever. Klassificering som identifierar vilka system som är högrisk. Rollfördelning som klargör vem som är provider, vem som är deployer och vem som är importör eller distributör. Dokumentation som spårar träningsdata, versioner och säkerhetsåtgärder. Övervakning som fångar driftbeteende och avvikande resultat. Intern utbildning som gör att operatörer kan tolka och avfärda felaktiga slutsatser.

Att skjuta upp arbetet är dyrt. Atea varnar för att delar redan gäller och att större krav för högrisk-system rullas ut den 2 augusti 2026. Organisationer uppmanas att skynda på kartläggning, riskklassning och implementation av styrningsramverk för att möta kommande krav och undvika betydande sanktioner.

Related Articles

Nästa konkreta milstolpe är den 2 augusti 2026, då de fulla kraven för högrisk-AI-system börjar gälla.

Den här artikeln har skapats med hjälp av AI.