AI-förordningen – dags för spelregler

Varför AI-förordningen är avgörande nu 

AI används allt oftare i beslutsstöd, analyser och samhällstjänster. Banker nyttjar AI för kreditbedömning, försäkringsbolag för riskanalys och kommuner för välfärdsbeslut.
Samtidigt ökar riskerna – både tekniskt och etiskt. Vi har redan sett skräckexempel på hur AI-baserade beslut kan förstöra människors liv, som i det amerikanska rättssystemets användning av algoritmen COMPAS (https://link.springer.com/article/10.1007/s10506-024-09389-8). 

AI-förordningen ska minska dessa risker genom ett riskbaserat ramverk där ansvar, transparens och säkerhet står i centrum. 

AI-förordningens risknivåer i korthet 

Centrala skyldigheter enligt AI-förordningen 

AI-förordningen kräver att organisationer kan visa att deras AI-system är säkra, rättvisa och kontrollerbara. 

Centrala skyldigheter: 

1. Riskhantering: Identifiera och hantera risker i varje AI-system. 

1. Datakvalitet: Säkerställ rättvisande, spårbar och kontrollerad träningsdata. 

1. Teknisk dokumentation: Dokumentera modellarkitektur, testresultat och beslutsunderlag. 

1. Mänsklig övervakning: AI får inte fatta beslut som direkt påverkar individers rättigheter utan mänsklig kontroll. En människa måste alltid kunna ingripa, tolka eller åsidosätta ett AI-genererat beslut. 

1. Cybersäkerhet: Skydda mot manipulation, data poisoning och modellstöld. Säkerställa AI-modellens robusthet. 

Exempel från svenska branscher 

Finans och försäkring 

AI används för kreditprövning, skadebedömning och bedrägeridetektion – alla klassas som högrisk-AI. 

Krav: riskanalys, modellgranskning, mänsklig översyn, dataspårbarhet. 

Rekommendation: integrera AI-styrning i befintligt DORA-program för IT-risk och operativ motståndskraft. 

Offentlig sektor 

Kommuner och myndigheter använder AI i beslutsstöd, välfärdstjänster och dokumentanalys. 

Krav: transparens, spårbarhet och mänsklig kontroll i alla beslut som rör medborgare. 

Rekommendation: inventera ”skugg-AI” – system som används utan formell styrning eller uppföljning. 

Hälsa och life science 

All AI inom diagnostik och behandling betraktas som högrisk. 

Krav: CE-märkning, klinisk validering och datadokumentation. 

Rekommendation: inventera även produkter och system som indirekt använder AI – många klassas nu som AI-komponenter. 

Så förbereder ni er 

1. Kartlägg AI-användningen: Vad används, av vem och i vilket syfte? 
2. Klassificera risknivå: Avgör om systemet är förbjudet, högrisk eller begränsad risk. Avveckla omedelbart eventuella förbjudna system. 
3. Skapa AI-governance: Policys, ansvar, roller och rapportering till ledning. 
4. Förbered dokumentation: Bevara data, modeller, träningsunderlag och beslutsloggar. 
5. Integrera compliance: Använd ISO 27001, DORA och NIS2 som struktur för AI-styrning. Genom att bygga på befintliga ramverk undviks dubbelarbete och en samlad, robust styrning säkerställs. 
6. Utbilda organisationen: Juridik, etik och teknik måste samverka. 

Risk för sanktionsavgifter

Förbjudna system: upp till 35 miljoner EUR eller 7 % av global omsättning. 

Bristande efterlevnad: upp till 15 miljoner EUR eller 3 %. 

Felaktig information till tillsynsmyndighet: upp till 7,5 miljoner EUR eller 1 %. 

Slutsats 

AI-förordningen flyttar fokus från experiment och vilda västern till innovation på medborgarnas villkor. Den organisation som tidigt etablerar styrning, dokumentation och kontroll får ett försprång – inte bara i regelefterlevnad, utan i förtroende. För svenska verksamheter är vägen framåt tydlig: behandla AI som ett säkerhetskritiskt system – spårbart, granskningsbart och motståndskraftigt.