Checklista för AI-förordningen för företag som använder AI
Uppdaterad 9 november 2026. Får kopieras och användas fritt. Artikeltexter från EUR-Lex och AI Act Service Desk.
Ett företag som under eget överinseende använder AI-system är tillhandahållare enligt AI-förordningen (artikel 3.4). Den här checklistan visar vad förordningen kräver av tillhandahållare, vilken artikel varje skyldighet kommer från och vilket underlag som visar att den är uppfylld: AI-kunnighet sedan den 2 februari 2025, transparens från den 2 augusti 2026 och skyldigheterna i artiklarna 26 och 27 för användning med hög risk från den 2 december 2027.
Ladda ner den som Markdown-fil eller som CSV med tomma kolumner för ansvarig, status och underlag, och gå igenom den tillsammans med juridiska avdelningen och informationssäkerhet.
14 oktober 2026: den första harmoniserade standarden enligt AI-förordningen, EN 18286 (kvalitetsledning för leverantörer av AI-system med hög risk), offentliggjordes i Europeiska unionens officiella tidning. Vad det betyder för tillhandahållare.
Ladda ner checklistan (.md)Kalkylblad (.csv)
CSV-filen öppnas i Excel, Google Sheets eller Numbers, med kolumner för ansvarig, status och länk till underlag.
Checklistan
Börja med avsnitt 1, som gäller alla företag. Avsnitt 2 gäller bara AI-system med hög risk enligt artikel 6 och bilaga III. Avsnitt 3 beror på vad ni publicerar och avsnitt 4 på vilka modeller ni bygger på.
1. Alla företag som använder AI
Gäller oavsett verktyg: chattassistenter, AI-funktioner i annan programvara, kodagenter och modeller som anropas via API.
| Nr | Vad ska göras | Artikel | Så visar ni det |
|---|---|---|---|
| 1 | AI-kunnighet. Vidta åtgärder för att främja AI-kunnigheten hos personalen och andra som arbetar med drift och användning av AI-system för företagets räkning, anpassade efter deras kunskaper, erfarenhet och utbildning och det sammanhang där systemen används. | ArtikelArt. 4 (sedan 2 feb. 2025, ändrad genom förordning 2026/1744) | Så visar ni detUtbildningsregister per roll (datum, deltagare, innehåll), den AI-policy som personalen har bekräftat och vägledning om risker som hallucinationer. Inget certifikat krävs. |
| 2 | Inventering. För en förteckning över varje AI-system och användningsfall: vad det gör, vem som äger det, vem som använder det, vilka modeller och leverantörer som hanterar det och vilka uppgifter som skickas in. | ArtikelUnderlag för art. 4, 6, 26 och 50 | Så visar ni detEtt AI-register med ägare, syfte, användare, modeller, leverantörer, uppgiftskategorier, om utdata publiceras och datum för senaste granskning. En export per app eller nyckel av vilka modeller och leverantörer som används. |
| 3 | Riskklassificering. Pröva varje användningsfall mot de åtta områdena i bilaga III: biometri, kritisk infrastruktur, utbildning, anställning och arbetsledning, väsentliga privata och offentliga tjänster (bland annat kreditvärdighet och prissättning av liv- och sjukförsäkring), brottsbekämpning, migration och gränskontroll samt rättskipning och demokratiska processer. Att skriva utkast, översätta, sammanfatta och få hjälp med kod är inte områden i bilaga III. Sådan användning blir högrisk när AI:n tjänar ett listat ändamål, till exempel att sålla platsansökningar. | ArtikelArt. 6.2, 6.3, bilaga III | Så visar ni detEn klassificering per användningsfall som anger vilken punkt i bilaga III som prövats och motiveringen, eventuellt undantag enligt artikel 6.3, godkännande från juridiska avdelningen och ny prövning när ändamålet ändras. Profilering av fysiska personer inom ett område i bilaga III är alltid hög risk. |
| 4 | Rollkontroll. Bekräfta att ni fortfarande är tillhandahållare. Ni får leverantörens skyldigheter om ni sätter ert namn eller varumärke på ett system med hög risk, väsentligt ändrar ett sådant system eller ändrar ändamålet med ett AI-system så att det blir ett system med hög risk. | ArtikelArt. 25.1 | Så visar ni detEn notering i registret per system: eget varumärke eller inte, gjorda ändringar och avsett ändamål jämfört med leverantörens. |
2. Bara om ni använder ett AI-system med hög risk
Användning enligt bilaga III, från den 2 december 2027 (artikel 113 i lydelsen enligt den digitala omnibusförordningen om AI).
| Nr | Vad ska göras | Artikel | Så visar ni det |
|---|---|---|---|
| 5 | Användning enligt bruksanvisning. Vidta tekniska och organisatoriska åtgärder för att använda systemet i enlighet med leverantörens bruksanvisning. | ArtikelArt. 26.1 | Så visar ni detBruksanvisningen arkiverad med version och en intern rutin som kopplar varje instruktion till en kontroll. |
| 6 | Mänsklig kontroll. Ge uppgiften att utöva mänsklig kontroll till personer med nödvändig kompetens, utbildning och auktoritet, och ge dem det stöd de behöver. | ArtikelArt. 26.2 | Så visar ni detNamngivna ansvariga per system, deras utbildningsregister, deras befogenhet att stoppa eller åsidosätta systemet och eskaleringsvägen. |
| 7 | Indata. Där ni har kontroll över indata, se till att de är relevanta och tillräckligt representativa för det avsedda ändamålet. | ArtikelArt. 26.4 | Så visar ni detEn beskrivning av indatakällorna och en daterad bedömning av relevans och representativitet. |
| 8 | Övervakning. Övervaka systemet på grundval av bruksanvisningen. Om det kan utgöra en risk, informera leverantören eller distributören och marknadskontrollmyndigheten och avbryt användningen. Rapportera allvarliga incidenter. | ArtikelArt. 26.5 | Så visar ni detEn övervakningslogg, en incidentrutin med kontaktuppgifter till leverantör och myndighet, och dokumentation av varje anmälan eller avbrott. |
| 9 | Loggar. Spara de loggar som systemet med hög risk genererar automatiskt, i den mån de står under er kontroll, under en period som är lämplig för det avsedda ändamålet och i minst sex månader, om inte annat föreskrivs i unionsrätten eller nationell rätt, i synnerhet om skydd av personuppgifter. | ArtikelArt. 26.6 | Så visar ni detLagringsinställning och lagringsplats för systemets loggar, raderingsschemat och en exempelexport som visar sex månader eller mer. |
| 10 | Informera arbetstagare. Innan ett system med hög risk tas i bruk eller används på arbetsplatsen informerar arbetsgivaren arbetstagarrepresentanterna och de berörda arbetstagarna. | ArtikelArt. 26.7 | Så visar ni detDet daterade meddelandet till personalen och protokollet eller brevet till de fackliga företrädarna. |
| 11 | Informera berörda personer. När ett system enligt bilaga III fattar eller bidrar till beslut om fysiska personer, informera dem om att systemet används på dem. | ArtikelArt. 26.11 | Så visar ni detInformationstexten och var och när den visas för de berörda. |
| 12 | Konsekvensbedömning avseende grundläggande rättigheter, där den krävs: offentligrättsliga organ, privata enheter som tillhandahåller offentliga tjänster och tillhandahållare av system för kreditvärdighet eller prissättning av liv- och sjukförsäkring (bilaga III punkt 5 b och c) bedömer inverkan före första användningen och underrättar marknadskontrollmyndigheten om resultatet. Kritisk infrastruktur (bilaga III punkt 2) är undantagen. | ArtikelArt. 27, art. 26.9 | Så visar ni detDen genomförda bedömningen (processer, period och frekvens för användningen, berörda grupper, risker, mänsklig kontroll, åtgärder och klagomålsmekanismer), den skickade underrättelsen och hänvisningar till konsekvensbedömningen avseende dataskydd enligt artikel 35 i GDPR. |
3. Transparens
Artikel 50 gäller från den 2 augusti 2026.
| Nr | Vad ska göras | Artikel | Så visar ni det |
|---|---|---|---|
| 13 | Märkning hos leverantören. Leverantörer av AI-system som genererar syntetiskt ljud-, bild-, video- eller textinnehåll ska märka utdata i ett maskinläsbart format som artificiellt genererade eller manipulerade. Det är leverantörens skyldighet. För system som släppts ut på marknaden före den 2 augusti 2026 gäller den från den 2 december 2026. | ArtikelArt. 50.2, art. 111.4 | Så visar ni detFör varje generativt verktyg i registret: leverantörens uppgift eller dokumentation om hur utdata märks, med datum då ni kontrollerade den. |
| 14 | Deepfakes och text av allmänt intresse. Upplys om att deepfake-innehåll i bild, ljud eller video har genererats artificiellt eller manipulerats. Upplys om AI-genererad eller manipulerad text som publiceras för att informera allmänheten om frågor av allmänt intresse, om den inte har granskats av en människa eller varit föremål för redaktionell kontroll och någon bär det redaktionella ansvaret. | ArtikelArt. 50.4 | Så visar ni detEn märkningsregel i publiceringsflödet, exempel på märkt innehåll och namnet på den som bär det redaktionella ansvaret för granskad text. |
| 15 | Känsloigenkänning och biometrisk kategorisering. Informera de personer som exponeras för ett sådant system. | ArtikelArt. 50.3 | Så visar ni detInformationstexten och var den visas, eller en notering i registret om att inget sådant system används. |
4. Dokument att begära från modelleverantörer
Skyldigheterna för AI-modeller för allmänna ändamål ligger hos leverantörerna och gäller sedan den 2 augusti 2025.
| Nr | Vad ska göras | Artikel | Så visar ni det |
|---|---|---|---|
| 16 | Dokumentation om AI-modeller för allmänna ändamål. Om ni bygger in en sådan modell i ett eget AI-system, begär den information och dokumentation som leverantören ska göra tillgänglig för leverantörer längre ned i kedjan, samt den offentliga sammanfattningen av träningsinnehållet och upphovsrättspolicyn. Modeller med öppen källkod är undantagna från dokumentationskravet om de inte medför systemrisk. | ArtikelArt. 53.1 b, c, d, bilaga XII | Så visar ni detEn mapp per modell med leverantörens dokumentation, länk till sammanfattningen av träningsinnehållet, upphovsrättspolicy, villkor för personuppgiftsbehandling och hämtningsdatum, länkad från registret. |
Så hjälper en gateway med underlaget
Flera rader ovan behöver samma sak: en aktuell bild av vilka modeller och leverantörer varje applikation använder, och en historik över vem som ändrade reglerna. När varje AI-anrop går genom en gateway byggs den bilden upp av sig själv.
Standard Compute samlar Claude, GPT, Gemini och öppna modeller under ett företagskonto, med en nyckel för varje person och varje app. Varje ändring som en administratör gör registreras med värdet före och efter, och ni kan exportera en post för varje anrop som visar modellen, leverantören som hanterade det och regionregeln som gällde, sparad i 12 månader. Anropsposterna innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar.
| Rad i checklistan | Vad Standard Compute registrerar eller upprätthåller |
|---|---|
| 2. Inventering | En nyckel per person och per app, de modeller varje nyckel får använda, och modell och hanterande leverantör för varje anrop. |
| 3 och 4. Klassificering och roll | Godkända modeller per nyckel, så att ett användningsfall bara körs på de modeller ni har godkänt för det. |
| 9. Loggar | En anropslogg med modell, leverantör och regionregel för varje anrop, sparad i 12 månader och exporterbar. |
| 1 och 16. Policy och leverantörsval | Listor över tillåtna leverantörer för företaget, ett team eller en nyckel. Nya leverantörer läggs aldrig till utan en administratörs godkännande, och reservvägar kan aldrig gå runt er lista. |
| Policyhistorik | En administratörslogg med värdet före och efter för varje ändring av personer, nycklar och regler. |
| Dataskydd | En Europa-regel: varje anrop, även omförsök och reservvägar, hanteras bara av godkända europeiska inferensslutpunkter. Noll datalagring: anropen går bara till slutpunkter som åtar sig att inte behålla någon kopia av era data. |
Det här är gatewayns poster över modell- och leverantörsanvändning. Loggarna i artikel 26.6 är de som ett system med hög risk själv genererar. Vad förordningen kräver av ert företag avgör er juridiska funktion. Checklistan är inte juridisk rådgivning.
Frågor
- Är det hög risk enligt AI-förordningen att använda ChatGPT, Claude eller en kodagent för kontorsarbete?
- Hög risk gäller systemen i artikel 6.1 och användningsfallen i bilaga III, till exempel rekrytering, arbetsledning, kreditvärdighet, utbildning och tillgång till väsentliga tjänster. Att skriva utkast, översätta, sammanfatta och få hjälp med kod finns inte på den listan. Samma verktyg blir högrisk när det används för ett listat ändamål, till exempel för att sålla platsansökningar eller utvärdera anställda.
- Hur länge måste en tillhandahållare spara AI-loggar?
- För system med hög risk kräver artikel 26.6 att tillhandahållare sparar de loggar som systemet genererar automatiskt, i den mån de står under deras kontroll, under en period som är lämplig för det avsedda ändamålet och i minst sex månader, om inte unionsrätten eller nationell rätt, i synnerhet om skydd av personuppgifter, föreskriver annat.
- Vem måste göra en konsekvensbedömning avseende grundläggande rättigheter?
- Enligt artikel 27 offentligrättsliga organ, privata enheter som tillhandahåller offentliga tjänster och tillhandahållare av system enligt bilaga III för kreditvärdighet eller riskbedömning och prissättning av liv- och sjukförsäkring. Bedömningen görs före första användningen och resultatet anmäls till marknadskontrollmyndigheten. Den kan hänvisa till konsekvensbedömningen avseende dataskydd enligt GDPR.
- När gäller transparensreglerna i artikel 50?
- Från den 2 augusti 2026. Tillhandahållare upplyser om deepfakes och om AI-genererad text som publiceras i frågor av allmänt intresse (artikel 50.4). Leverantörer märker syntetiska utdata i ett maskinläsbart format (artikel 50.2), och för system som släppts ut på marknaden före den 2 augusti 2026 ger artikel 111.4 dem tid till den 2 december 2026.
- Vad tillför en AI-gateway till checklistan?
- En samlad bild av vilka modeller och leverantörer varje applikation använder, och ett ställe där den godkända listan upprätthålls. Standard Compute exporterar en anropslogg med modell, leverantör och regionregel, sparad i 12 månader, registrerar varje administratörsändring med värdet före och efter och upprätthåller listor över tillåtna modeller och leverantörer.
Källor
- Förordning (EU) 2024/1689, förordning om artificiell intelligens, EUR-Lex
- Förordning (EU) 2026/1744, digital omnibusförordning om AI, EUR-Lex
- AI Act Service Desk, konsoliderad text (engelska): Artikel 4, Artikel 6, Artikel 25, Artikel 26, Artikel 27, Artikel 50, Artikel 53, Artikel 111, Artikel 113, Bilaga III
Relaterat
Låt varje AI-anrop gå genom ett företagskonto och håll inventeringen och posterna på ett ställe.