Är vår användning av LLM:er hög risk enligt AI-förordningen? Bilaga III för företag som använder AI-API:er
Senast uppdaterad
Enligt AI-förordningen, förordning (EU) 2024/1689, är en modell inte hög risk för att den är kraftfull. En användning är hög risk på grund av sitt ändamål. Artikel 6.2 gör varje AI-system i bilaga III till hög risk, artikel 6.3 undantar en snäv grupp, och profilering av personer håller dem kvar. Reglerna för system i bilaga III gäller från den 2 december 2027, sedan förordning (EU) 2026/1744 flyttade datumet.
Sidan går igenom bedömningen för ett företag som använder ChatGPT, Claude, Copilot eller LLM-API:er, klassificerar åtta vanliga användningar och visar vad som ändras för er som tillhandahållare när en användning är hög risk. Citaten kommer från EUT, kontrollerade den 10 november 2026. Detta är inte juridisk rådgivning.
Skapa företagskontoeller skriv till contact@standardcompute.com
EnglishDeutschFrançaisNederlandsEspañolItalianoNorskDanskSuomiPolski
Korta svar
- Är det hög risk att använda ChatGPT, Claude eller ett LLM-API enligt AI-förordningen?
- Inte i sig. Klassificeringen följer användningen. En intern kodassistent, ett skrivverktyg eller en supportchattbot finns inte i bilaga III. Samma modell blir en del av ett AI-system med hög risk när ni använder den för att sålla cv:n, utvärdera anställda, bedöma kreditvärdighet, prissätta liv- eller sjukförsäkring eller betygsätta elever.
- Vilka LLM-användningar är hög risk enligt bilaga III?
- För de flesta företag gäller punkt 4 a (rekrytering och urval, inklusive att analysera och filtrera platsansökningar och utvärdera kandidater), punkt 4 b (beslut om arbetsvillkor, befordran eller uppsägning, uppgiftsfördelning efter beteende eller egenskaper, övervakning och utvärdering av anställda), punkt 5 b (kreditvärdighet och kreditbetyg för fysiska personer), punkt 5 c (riskbedömning och prissättning inom liv- och sjukförsäkring) och punkt 3 (utbildning, till exempel utvärdering av läranderesultat).
- Kan en användning i bilaga III slippa klassificeringen som hög risk?
- Ja, enligt artikel 6.3, om systemet inte medför en betydande risk för skada och uppfyller ett av fyra villkor, till exempel en snäv processuell uppgift eller en förberedande uppgift. Leverantören dokumenterar bedömningen och registrerar systemet enligt artikel 49.2. Undantaget gäller aldrig när systemet utför profilering av fysiska personer.
- När gäller reglerna för hög risk?
- Från den 2 december 2027 för system i bilaga III och från den 2 augusti 2028 för AI-system i produkter som omfattas av bilaga I, enligt artikel 113 i dess lydelse enligt förordning (EU) 2026/1744. AI-kunnighet enligt artikel 4 har gällt sedan den 2 februari 2025.
Bedömningen i fyra frågor
Gå igenom frågorna för varje användning. Samma LLM kan ingå i en vardaglig användning i ett team och i en användning med hög risk i ett annat.
| Fråga | Var i AI-förordningen | Om ja |
|---|---|---|
| 1. Ligger användningen inom något av de åtta områdena i bilaga III? Biometri, kritisk infrastruktur, utbildning, anställning, väsentliga privata och offentliga tjänster, brottsbekämpning, migration och gränskontroll, rättskipning och demokratiska processer. | Var i AI-förordningen: Artikel 6.2, bilaga III punkterna 1–8 | Om ja: Gå till fråga 2. Om nej är användningen inte hög risk enligt bilaga III. |
| 2. Motsvarar den en viss punkt, till exempel att filtrera platsansökningar (4 a) eller fastställa ett kreditbetyg (5 b)? | Var i AI-förordningen: Bilaga III, leden | Om ja: Gå till fråga 3. En användning som bara ligger nära ett område omfattas inte. |
| 3. Utför systemet profilering av fysiska personer, det vill säga utvärderar det personliga aspekter som arbetsprestation, ekonomisk situation, beteende eller tillförlitlighet? | Var i AI-förordningen: Artikel 6.3 tredje stycket; artikel 3.52 och artikel 4.4 i GDPR | Om ja: Den är hög risk. Undantaget kan inte användas. |
| 4. Påverkar den inte utfallet väsentligt och uppfyller den ett av de fyra villkoren i artikel 6.3? | Var i AI-förordningen: Artikel 6.3 första och andra styckena; artikel 6.4 | Om ja: Den kan falla utanför hög risk. Leverantören dokumenterar bedömningen och registrerar den enligt artikel 49.2. |
Sammanfattning av förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744, kontrollerad den 10 november 2026. Inte juridisk rådgivning.
Vanliga LLM-användningar, klassificerade
Tabellen är vår läsning av bilaga III för typiska användningar av LLM-API:er. Avgörande är det avsedda ändamålet, som enligt artikel 3.12 är den användning som ett AI-system är avsett för, inbegripet det specifika sammanhanget och de specifika villkoren för användningen.
| Användning | Bilaga III | Vår läsning |
|---|---|---|
| Intern kodassistent (Claude Code, Copilot, en agent på ett LLM-API) | Bilaga III: Inte listad | Vår läsning: Inte hög risk. AI-kunnighet enligt artikel 4 gäller för dem som använder den. |
| Kundtjänstchatt | Bilaga III: Inte listad som sådan | Vår läsning: Inte hög risk så länge den besvarar frågor. Bygger ni den själva är ni dess leverantör, och artikel 50.1 kräver att människor informeras om att de interagerar med ett AI-system, om det inte är uppenbart. Den hamnar i bilaga III om den beslutar om kredit (5 b) eller offentliga förmåner (5 a). |
| Utkast, sammanfattning och översättning av dokument | Bilaga III: Inte listad | Vår läsning: Inte hög risk för vanliga affärsdokument. Behöver en ny bedömning när resultatet utvärderar personer inom ett område i bilaga III, till exempel ett utkast till medarbetarbedömning. |
| Sålla, rangordna eller filtrera cv:n | Bilaga III: Punkt 4 a | Vår läsning: Hög risk. Att utvärdera kandidater är profilering, så undantaget i artikel 6.3 kan inte användas. |
| Övervakning och utvärdering av anställda, uppgiftsfördelning efter beteende | Bilaga III: Punkt 4 b | Vår läsning: Hög risk när systemet fördelar uppgifter utifrån individuellt beteende eller personliga egenskaper eller övervakar och utvärderar prestationer och beteende. |
| Kreditbetyg för fysiska personer | Bilaga III: Punkt 5 b | Vår läsning: Hög risk. System för att upptäcka ekonomiska bedrägerier är undantagna. En konsekvensbedömning avseende grundläggande rättigheter krävs (artikel 27). |
| Riskbedömning och prissättning inom liv- och sjukförsäkring | Bilaga III: Punkt 5 c | Vår läsning: Hög risk. Motorfordons-, egendoms- och andra skadeförsäkringar omfattas inte av punkt 5 c. En konsekvensbedömning avseende grundläggande rättigheter krävs (artikel 27). |
| Rätta prov eller utvärdera läranderesultat | Bilaga III: Punkt 3 b | Vår läsning: Hög risk vid utbildningsinstitutioner och yrkesutbildningsinstitutioner på alla nivåer, även när resultaten styr inlärningsprocessen. |
Vår läsning av bilaga III, kontrollerad den 10 november 2026. Era egna omständigheter avgör klassificeringen. Inte juridisk rådgivning.
Bilaga III punkt 4 a lyder: ”AI-system som är avsedda att användas för rekrytering eller urval av fysiska personer, särskilt för att publicera riktade platsannonser, analysera och filtrera platsansökningar och utvärdera kandidater.”
Punkt 4 b lyder: ”AI-system som är avsedd att användas för att fatta beslut som påverkar villkoren för arbetsrelaterade förhållanden, befordringar och uppsägningar av arbetsrelaterade avtalsförhållanden, för uppgiftsfördelning på grundval av individuellt beteende eller personlighetsdrag eller egenskaper eller för att övervaka och utvärdera personers prestationer och beteende inom ramen för sådana förhållanden.”
Punkt 5 b lyder: ”AI-system som är avsedda att användas för att utvärdera fysiska personers kreditvärdighet eller fastställa deras kreditbetyg, med undantag för AI-system som används i syfte att upptäcka ekonomiska bedrägerier.” Punkt 5 c lyder: ”AI-system som är avsedda att användas för riskbedömning och prissättning i förhållande till fysiska personer när det gäller livförsäkring och sjukförsäkring.”
Artikel 6.3: undantaget och profilering
Artikel 6.3 tar ett system i bilaga III ur hög risk när det inte medför en betydande risk för skada på fysiska personers hälsa, säkerhet eller grundläggande rättigheter, bland annat genom att inte i väsentlig grad påverka resultatet av beslutsfattandet. Ett av fyra villkor ska vara uppfyllt: systemet utför en snäv processuell uppgift; det förbättrar resultatet av en tidigare slutförd mänsklig aktivitet; det upptäcker beslutsmönster eller avvikelser utan att ersätta eller påverka den mänskliga bedömningen utan ordentlig mänsklig granskning; eller det utför en förberedande uppgift inför en bedömning som är relevant för en användning i bilaga III.
Tredje stycket lyder: ”Utan hinder av första stycket ska ett AI-system som avses i bilaga III alltid anses vara ett AI-system med hög risk om det utför profilering av fysiska personer.” Ett verktyg som rangordnar kandidater eller poängsätter anställda utvärderar människor och kan inte använda undantaget.
Enligt artikel 6.4 är det leverantören som gör bedömningen, dokumenterar den innan systemet släpps ut på marknaden eller tas i bruk och lämnar dokumentationen till nationella myndigheter på begäran. Enligt artikel 49.2 registrerar leverantören också sig själv och systemet i EU-databasen. Förordning (EU) 2026/1744 behöll registreringen och minskade de uppgifter som krävs genom att stryka punkterna 7 och 9 i bilaga VIII avsnitt B. Den ändrade inte artikel 6.3, artikel 6.4 eller bilaga III.
Artikel 6.5 krävde att kommissionen senast den 2 februari 2026 skulle ta fram riktlinjer med praktiska exempel. Kommissionen publicerade ett utkast den 19 maj 2026 för samråd. Den 10 november 2026 hade ingen slutlig version antagits, så sidan bygger inte på utkastet. Enligt artikel 7 kan kommissionen lägga till eller ändra användningsfall i bilaga III genom delegerade akter.
När ert företag blir leverantör
De flesta företag som använder AI är tillhandahållare: de använder ett AI-system under eget ansvar (artikel 3.4). Ett företag som bygger ett eget verktyg för cv-sållning eller poängsättning på ett LLM-API och tar det i bruk i eget namn är leverantör av det systemet (artikel 3.3), med leverantörens skyldigheter för system med hög risk, inklusive bedömningen av överensstämmelse.
Artikel 25.1 lägger till tre fall där en tillhandahållare blir leverantör av ett system med hög risk: den sätter sitt namn eller varumärke på det; den gör en väsentlig ändring så att det förblir hög risk; eller den ändrar det avsedda ändamålet för ett AI-system, ”inklusive ett AI-system för allmänna ändamål, som inte har klassificerats som ett AI-system med hög risk”, så att det blir hög risk. Att sätta en allmän assistent på platsansökningar är fallet att hålla ögonen på.
Förordning (EU) 2026/1744 ersatte artikel 25.2: den ursprungliga leverantören samarbetar med den nya leverantören, bland annat genom att tillhandahålla teknisk dokumentation, informera om kända begränsningar och felmoder och ge riktad teknisk åtkomst för tester, om den inte tydligt har angett att systemet inte får göras om till ett system med hög risk.
Vad som ändras för en tillhandahållare när en användning är hög risk
Skyldigheterna gäller för system i bilaga III från den 2 december 2027. Artikel 26 ändrades inte genom förordning (EU) 2026/1744.
| Skyldighet | Bestämmelse | Vad ni gör |
|---|---|---|
| Använda systemet enligt bruksanvisningen | Bestämmelse: Artikel 26.1 | Vad ni gör: Hämta leverantörens bruksanvisning och bygg processen kring den |
| Mänsklig tillsyn | Bestämmelse: Artikel 26.2 | Vad ni gör: Utse de personer som utövar tillsyn och ge dem nödvändig kompetens, utbildning, befogenhet och stöd |
| Relevanta och representativa indata | Bestämmelse: Artikel 26.4 | Vad ni gör: Där ni kontrollerar indata, kontrollera att de passar det avsedda ändamålet |
| Övervaka, rapportera, avbryta | Bestämmelse: Artikel 26.5 | Vad ni gör: Övervaka driften, informera leverantören och marknadskontrollmyndigheten om risker, avbryt användningen vid behov, rapportera allvarliga incidenter |
| Spara loggarna | Bestämmelse: Artikel 26.6 | Vad ni gör: Spara de loggar som systemet genererar automatiskt, i den mån de är under er kontroll, i minst sex månader |
| Informera arbetstagare | Bestämmelse: Artikel 26.7 | Vad ni gör: Informera arbetstagarrepresentanter och berörda arbetstagare innan ett system med hög risk används på arbetsplatsen |
| Informera berörda personer | Bestämmelse: Artikel 26.11 | Vad ni gör: Tala om för personer att beslut om dem fattas eller stöds av ett system med hög risk |
| Konsekvensbedömning avseende dataskydd | Bestämmelse: Artikel 26.9 | Vad ni gör: Använd leverantörens information enligt artikel 13 i er konsekvensbedömning enligt artikel 35 i GDPR |
| Konsekvensbedömning avseende grundläggande rättigheter | Bestämmelse: Artikel 27 | Vad ni gör: Krävs för offentligrättsliga organ, privata aktörer som tillhandahåller offentliga tjänster och tillhandahållare av system för kreditbetyg (5 b) och liv- och sjukförsäkring (5 c); den kan hänvisa till er konsekvensbedömning avseende dataskydd |
| Förklara beslut på begäran | Bestämmelse: Artikel 86.1 | Vad ni gör: Ge berörda personer tydliga och meningsfulla förklaringar av AI-systemets roll i beslut med rättsverkan eller liknande betydande påverkan |
Sammanfattning av artiklarna 26, 27 och 86 i förordning (EU) 2024/1689, kontrollerad den 10 november 2026. Inte juridisk rådgivning.
Datumen
| Datum | Vad som gäller | Bestämmelse |
|---|---|---|
| 2 februari 2025 | Vad som gäller: Kapitel I och II, inklusive AI-kunnighet (artikel 4) och de förbjudna användningsområdena | Bestämmelse: Artikel 113 tredje stycket a |
| 2 augusti 2026 | Vad som gäller: Allmänt tillämpningsdatum, inklusive transparenskraven i artikel 50 | Bestämmelse: Artikel 113 |
| 2 december 2027 | Vad som gäller: Regler för hög risk för system i bilaga III, inklusive artiklarna 26 och 27 | Bestämmelse: Artikel 113 tredje stycket c i, i dess lydelse enligt förordning (EU) 2026/1744 |
| 2 augusti 2028 | Vad som gäller: Regler för hög risk för AI-system i produkter som omfattas av bilaga I | Bestämmelse: Artikel 113 tredje stycket c ii, i dess lydelse enligt förordning (EU) 2026/1744 |
| 2 augusti 2030 | Vad som gäller: System med hög risk som används av offentliga myndigheter, även befintliga | Bestämmelse: Artikel 111.2, ersatt genom förordning (EU) 2026/1744 |
Enligt texten i EUT, kontrollerad den 10 november 2026. Inte juridisk rådgivning.
Vad förordning (EU) 2026/1744 ändrade i övrigt, bland annat de två nya förbjudna användningsområdena från den 2 december 2026, finns på sidan om den digitala omnibusförordningen om AI.
Checklista för företag som använder LLM:er
| Steg | Vad ni gör | Var ni börjar |
|---|---|---|
| 1. Lista varje användning | Vad ni gör: En rad per användning: team, ändamål, modell eller leverantör, vem som berörs, om personer utvärderas | Var ni börjar: Checklista för AI-förordningen |
| 2. Klassificera varje användning | Vad ni gör: Gå igenom de fyra frågorna ovan och anteckna svaret, punkten i bilaga III och datumet | Var ni börjar: Den här sidan |
| 3. Markera profilering | Vad ni gör: Markera varje användning som utvärderar kandidater, anställda, kunder eller elever | Var ni börjar: Artikel 6.3 tredje stycket |
| 4. Kontrollera om ni är leverantör | Vad ni gör: Egna verktyg på ett LLM-API och varje ändring av det avsedda ändamålet enligt artikel 25.1 | Var ni börjar: AI-förordningens skyldigheter |
| 5. Planera tillhandahållarens skyldigheter | Vad ni gör: Ansvariga för tillsyn, lagring av loggar, information till arbetstagare, information till berörda personer, konsekvensbedömning avseende dataskydd och, där det krävs, avseende grundläggande rättigheter | Var ni börjar: Tabellen ovan |
| 6. Fråga era leverantörer | Vad ni gör: Avsett ändamål, bruksanvisning, loggar, registreringsstatus och vilka modeller och leverantörer som behandlar era uppgifter | Var ni börjar: Kravspecifikation för en AI-plattform |
| 7. Utbilda de inblandade | Vad ni gör: Den som utövar tillsyn över användningar med hög risk behöver mer än grundmodulen | Var ni börjar: AI-kunnighet enligt artikel 4 |
| 8. Bedöm på nytt vid ändringar | Vad ni gör: Gör om bedömningen när en användning, en leverantör eller ändamålet ändras, och när kommissionen antar sina riktlinjer om artikel 6 | Var ni börjar: Daterad förteckning över beslut |
Inte juridisk rådgivning. Er juridiska avdelning avgör vad AI-förordningen kräver av ert företag.
Vad en gateway gör och inte gör
En gateway gör inte en användning med hög risk förenlig med AI-förordningen. Den klassificerar inte era användningar, utövar inte mänsklig tillsyn, gör ingen konsekvensbedömning avseende grundläggande rättigheter och skapar inte de loggar som ett system med hög risk ska generera. Det ligger kvar hos leverantören och hos er som tillhandahållare.
Det den kan göra är att hålla reda på vilka modeller och leverantörer varje användning körs på. Standard Compute är ett alternativ för modell-API:er, Claude Code och Claude Desktop: varje person och varje app får en egen nyckel, allt under ett företagskonto, och ni bestämmer vilka modeller varje nyckel får använda. Välj exakt vilka inferensleverantörer som får behandla era uppgifter, för hela företaget, ett team eller en enskild nyckel.
Varje administratörsändring registreras med värdet före och efter, och ni kan exportera en förteckning över varje anrop med modellen, leverantören som hanterade det och den regionregel som gällde, sparad i 12 månader. Anropsposterna innehåller bara metadata, aldrig era prompter eller svar.
Frågor från juridik, regelefterlevnad och inköp
- Är en AI-modell för allmänna ändamål som GPT eller Claude ett AI-system med hög risk?
- Nej. AI-modeller för allmänna ändamål har egna regler i kapitel V i AI-förordningen, som gäller modellens leverantör. Om ett system som byggs på en sådan modell är hög risk beror på dess avsedda ändamål enligt artikel 6 och bilaga III.
- Vi låter bara en LLM sammanfatta cv:n åt en rekryterare. Är det hög risk?
- Bilaga III punkt 4 a omfattar system som används för att analysera och filtrera platsansökningar och utvärdera kandidater. En sammanfattning som rangordnar, poängsätter eller filtrerar kandidater omfattas, och att utvärdera kandidater är profilering, så artikel 6.3 hjälper inte. Dokumentera ert resonemang i båda fallen.
- Ändrade förordning (EU) 2026/1744 bilaga III eller artikel 6.3?
- Nej. Den införde artikel 6.1a–6.1c om säkerhetskomponenter i produkter, flyttade datumet för bilaga III till den 2 december 2027, minskade registreringsuppgifterna i bilaga VIII och ersatte artikel 25.2 och artikel 27.4. Förteckningen över användningar med hög risk och undantaget är oförändrade.
- Är kommissionens riktlinjer om klassificering som hög risk slutliga?
- Nej. Artikel 6.5 krävde dem senast den 2 februari 2026. Kommissionen publicerade ett utkast den 19 maj 2026 för samråd, och den 10 november 2026 hade ingen slutlig version antagits. Riktlinjerna är inte rättsligt bindande.
- Är bedrägeriupptäckt vid kreditgivning hög risk?
- Punkt 5 b undantar AI-system som används i syfte att upptäcka ekonomiska bedrägerier. Ett system som också matar bedömningen av kreditvärdighet eller kreditbetyget för en fysisk person omfattas av punkt 5 b.
Relaterade sidor
- AI-förordningen: skyldigheter för företag som använder LLM:er
- Gratis checklista för AI-förordningen
- AI-kunnighet enligt AI-förordningen (artikel 4)
- Vad den digitala omnibusförordningen om AI (2026/1744) ändrade
- Gratis kravspecifikation för upphandling av en AI-plattform
- Standard Compute för företag
Källor
- Förordning (EU) 2024/1689 (AI-förordningen): artiklarna 3, 6, 7, 25, 26, 27, 49, 50, 86, 113 och bilaga III (EUR-Lex), kontrollerat 2026-11-09
- Förordning (EU) 2026/1744 (digital omnibus om AI), EUT L, 24 juli 2026: artikel 1 punkterna 8, 12, 13, 40 och 42 (EUR-Lex), kontrollerat 2026-11-09
- AI-förordningen, artikel 6: klassificeringsregler för AI-system med hög risk (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- AI-förordningen, bilaga III: AI-system med hög risk som avses i artikel 6.2 (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- AI-förordningen, artikel 25: ansvar längs AI-värdekedjan (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- AI-förordningen, artikel 26: skyldigheter för tillhandahållare av AI-system med hög risk (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- AI-förordningen, artikel 27: konsekvensbedömning avseende grundläggande rättigheter (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- AI-förordningen, artikel 49: registrering (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- AI-förordningen, artikel 113: ikraftträdande och tillämpning (AI Act Service Desk, engelska), kontrollerat 2026-11-09
- Europeiska kommissionen: utkast till riktlinjer om klassificering av AI-system med hög risk, 19 maj 2026, utkast (digital-strategy.ec.europa.eu, engelska), kontrollerat 2026-11-09
Skapa ett företagskonto, ge varje person och app en egen nyckel med de modeller och leverantörer ni godkänner, och spara administratörsloggen bredvid er klassificering av varje användning.