EU AI Act - checklista för organisationer

INSTRUKTION

Hur du använder den här checklistan

Checklistan är indelad i fyra faser. Arbeta igenom dem i ordning. Fas 1 och 2 gäller alla organisationer. Fas 3 gäller er som har identifierat högrisk-AI-system. Fas 4 gäller er som är leverantörer.

Checklistan är ett startverktyg — komplex compliance kräver juridisk expertis och löpande uppföljning.

FAS 1

Inventering och kartläggning

Gör detta nu — oavsett deadline.

Sammanställ en lista över alla AI-verktyg och AI-system ni använder i er organisation — inklusive inköpta SaaS-tjänster med AI-funktioner (Copilot, HR-system, CRM med AI, m.fl.)
Inkludera även AI-funktioner inbäddade i befintliga system (t.ex. automatisk klassificering i ärendehanteringssystem)
Dokumentera för varje system: leverantör, vad det gör, vilka data det använder, vilka beslut det stödjer
Identifiera vilka system som är under eget inflytande (ni kan påverka konfigurationen) kontra leverantörsdrivna

FAS 2

Klassificering och rollbedömning

För varje system i er inventering: bedöm riskklass och er roll.

Bedöm om ni är leverantör (utvecklar/säljer AI) eller driftsättare (använder AI) för varje system — se beslutsstödet
Kontrollera om något system klassas som förbjudet enligt artikel 5 — om ja: ta omedelbart ur drift (gällde redan från feb 2025)
Identifiera vilka system som kan klassas som högrisk (bilaga III) — HR, utbildning, vård, offentlig myndighetsutövning, finans — se högrisk-listan
Identifiera om ni använder GPAI-system (ChatGPT, Copilot, Claude, Gemini) och för vilka ändamål
Dokumentera klassificeringen med motivering för varje system

FAS 3 — HÖGRISK-AI

Krav för driftsättare av högrisk-AI

Dessa krav gäller från 2 december 2027 för fristående högrisksystem enligt AI Omnibus-överenskommelsen. För produktinbyggd högrisk-AI pekar den nya arbetslinjen på 2 augusti 2028. Börja förbereda nu.

Säkerställ att det finns rutiner för mänsklig tillsyn — vem granskar systemets output, hur och hur snabbt?
Planera och genomför utbildning för personal som arbetar med högrisk-AI — dokumentera vilka som utbildats och när
Kontrollera att systemet loggar sina händelser automatiskt och att ni kan bevara loggar i minst 6 månader
Genomför dataskyddskonsekvensbedömning (DPIA) om personuppgifter behandlas
Säkerställ att individer som påverkas av systemets beslut informeras om att högrisk-AI används
Upprätta en klagomålsprocess — hur hanterar ni invändningar mot automatiserade beslut?
Kontrollera avtal med leverantören — har de skyldigheter gentemot er som driftsättare? Begär bruksanvisning och teknisk dokumentation.
Upprätta en intern process för att rapportera allvarliga incidenter till tillsynsmyndigheten om systemet orsakar skada

FAS 4 — GPAI

Krav kopplat till GPAI-verktyg

Kontrollera att era GPAI-leverantörer (OpenAI, Microsoft, Google, Anthropic) publicerat teknisk dokumentation och upphovsrättspolicy (krav från aug 2025)
Upprätta interna riktlinjer för tillåten och otillåten användning av GPAI-verktyg
Säkerställ att GPAI inte används för högrisk-ändamål utan att ni uppfyller högrisk-kraven (fas 3)
Kontrollera databehandlingsavtal (DPA) med GPAI-leverantörer — säkerställ GDPR-compliance för personuppgifter

LÖPANDE

Fortlöpande åtgärder

Sätt en ansvarig person eller funktion för EU AI Act-compliance i organisationen
Bevaka delegerade akter och tillsynsmyndighetens (IMY:s) vägledning — bilaga III kan utvidgas
Inkludera EU AI Act-krav i alla framtida upphandlingar av AI-system
Revidera er inventering och klassificering minst en gång per år eller vid ny AI-implementering

NÄSTA STEG

Fördjupa er

Detaljkrav Krav och skyldigheter — full lista Högrisk Högrisk-system per sektor Nytt Löpande uppdateringar

KÄLLOR OCH FÖRDJUPNING

Officiella källor att kontrollera

TIDSLINJEN KAN ÄNDRAS NÄR AI OMNIBUS ANTAS FORMELLT. KONTROLLERA ALLTID SENASTE MYNDIGHETSVÄGLEDNING.

CHECKLISTA