Vad kräver AI-förordningen av ett företag som använder LLM:er internt?

Som tillhandahållare vidtar ni åtgärder för att främja AI-kunnigheten hos den personal som arbetar med AI (artikel 4, sedan den 2 februari 2025). Från den 2 augusti 2026 upplyser ni om det när ni publicerar deepfakes eller AI-genererad text som ska informera allmänheten i frågor av allmänt intresse (artikel 50). Använder ni AI för ett ändamål med hög risk enligt bilaga III, till exempel rekrytering eller kreditprövning, tillkommer skyldigheterna i artikel 26 från den 2 december 2027.

Vi använder LLM-API:er internt. Vad ändrades i augusti 2026?

Sedan den 2 augusti 2026 gäller transparenskraven i artikel 50. Kravet på AI-kunnighet gäller sedan den 2 februari 2025, och tillhandahållarnas skyldigheter vid användning med hög risk enligt bilaga III börjar gälla den 2 december 2027.

Tar Standard Compute över våra skyldigheter enligt AI-förordningen?

Skyldigheterna ligger hos ert företag som tillhandahållare. Standard Compute ger underlaget och reglerna som arbetet bygger på: en anropslogg med modell, leverantör och regionregel i 12 månader, en administratörslogg, tillåtelselistor för modeller och leverantörer och Europa-regeln.

Sparar anropsloggen våra prompter?

Nej. Anropsloggar innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar. Vi behandlar era prompter i minnet för att betjäna varje anrop och skriver dem aldrig till lagring eller loggar.

Vad bör inköp fråga en LLM-leverantör om AI-förordningen och GDPR?

Var prompter behandlas, om innehåll sparas eller används för träning, vilka underbiträdena är och vilket underlag ni får. Standard Compute svarar med Europa-regeln, noll datalagring, ett personuppgiftsbiträdesavtal som ni skriver under i instrumentpanelen, en offentlig lista över underbiträden med 14 dagars förvarning och en anropslogg över 12 månader.

Blir vi modelleverantör av att anropa Claude, GPT eller Gemini via API?

Nej. Förordningen kallar ett företag som under eget överinseende använder ett AI-system för tillhandahållare. Leverantör av en modell är det företag som utvecklar den och släpper ut den på marknaden.

AI-förordningen: vilka skyldigheter har företag som använder LLM:er?

Senast uppdaterad 9 november 2026

För ett företag som använder LLM:er via API eller som assistenter handlar AI-förordningen främst om skyldigheter som tillhandahållare: AI-kunnighet hos personalen (artikel 4, sedan den 2 februari 2025), upplysning om deepfakes och om AI-genererad text i frågor av allmänt intresse (artikel 50, från den 2 augusti 2026) och, bara vid användning med hög risk enligt bilaga III, skyldigheterna i artikel 26 från den 2 december 2027, bland annat att spara automatiskt genererade loggar i minst sex månader.

Standard Compute står för den praktiska delen: modell, betjänande leverantör och gällande regionregel för varje anrop, sparade i 12 månader och exporterbara, plus en administratörslogg, tillåtelselistor för modeller och leverantörer och Europa-regeln.

Sidan sammanfattar de officiella texterna med artikel och datum. Vad som gäller för ert företag avgör er juridiska avdelning.

Skapa en företagsarbetsytaeller skriv till contact@standardcompute.com

English Deutsch Français Nederlands Italiano Español Norsk Dansk Suomi Polski

Korta svar

Vad kräver AI-förordningen av ett företag som använder LLM:er internt?: Som tillhandahållare vidtar ni åtgärder för att främja AI-kunnigheten hos den personal som arbetar med AI (artikel 4, sedan den 2 februari 2025). Från den 2 augusti 2026 upplyser ni om det när ni publicerar deepfakes eller AI-genererad text som ska informera allmänheten i frågor av allmänt intresse (artikel 50). Använder ni AI för ett ändamål med hög risk enligt bilaga III, till exempel rekrytering eller kreditprövning, tillkommer skyldigheterna i artikel 26 från den 2 december 2027.
Vem bär skyldigheterna för AI-modeller för allmänna ändamål?: Leverantörerna av modellerna. Deras skyldigheter i kapitel V gäller sedan den 2 augusti 2025. Ett företag som använder GPT, Claude eller Gemini via ett API är tillhandahållare av det AI-system som det använder.
Måste vi logga vår användning av LLM:er?: Förordningen kräver loggar vid användning med hög risk: enligt artikel 26.6 sparar tillhandahållare de loggar som ett AI-system med hög risk genererar automatiskt, i den mån de står under deras kontroll, i minst sex månader, om inte unionsrätten eller nationell rätt, i synnerhet om skydd av personuppgifter, föreskriver annat. Oavsett det är en uppgift om vilka modeller och leverantörer varje applikation använder utgångspunkten för en förteckning över era AI-system. Den uppgiften registrerar en gateway.

Vilka tidsfrister i AI-förordningen gäller för företag?

Datumen kommer från artiklarna 113 och 111 i förordning (EU) 2024/1689, i den lydelse som ändrats genom den digitala omnibusförordningen om AI.

Tidsfrister i AI-förordningen
Datum	Vad som gäller	Officiell källa
1 augusti 2024	Vad som gäller: AI-förordningen, förordning (EU) 2024/1689, träder i kraft.	Officiell källa: EUR-Lex
2 februari 2025	Vad som gäller: Kapitel I börjar tillämpas, bland annat kravet på AI-kunnighet i artikel 4.	Officiell källa: Artikel 113, artikel 4
2 augusti 2025	Vad som gäller: Skyldigheterna för leverantörer av AI-modeller för allmänna ändamål (kapitel V) börjar tillämpas.	Officiell källa: Artikel 113
2 augusti 2026	Vad som gäller: Förordningen börjar tillämpas generellt, inklusive transparenskraven i artikel 50.	Officiell källa: Artikel 113, artikel 50
2 december 2026	Vad som gäller: Övergångstiden i artikel 111.4 löper ut: leverantörer av system som släppts ut på marknaden före den 2 augusti 2026 ska märka syntetiska utdata i maskinläsbart format enligt artikel 50.2.	Officiell källa: Artikel 111
2 december 2027	Vad som gäller: Kraven för AI-system med hög risk enligt bilaga III, till exempel rekrytering, anställning, kreditprövning och utbildning, inklusive tillhandahållarnas skyldigheter i artikel 26.	Officiell källa: Artikel 113, artikel 26
2 augusti 2028	Vad som gäller: Kraven för AI med hög risk i produkter som omfattas av EU:s harmoniseringslagstiftning i bilaga I.	Officiell källa: Artikel 113

Sammanfattning av de officiella texterna, kontrollerad den 9 november 2026. Inte juridisk rådgivning.

Är vi leverantör eller tillhandahållare när vi använder en LLM via API?

Förordningen kallar varje fysisk eller juridisk person, myndighet eller annat organ som under eget överinseende använder ett AI-system för tillhandahållare (artikel 3.4), utom vid personlig verksamhet av icke-yrkesmässig karaktär. Ett företag som anropar GPT, Claude eller Gemini via ett API eller ger sin personal en AI-assistent är tillhandahållare av det systemet. Det är den svenska lydelsens term för det som på engelska heter deployer.

Skyldigheterna för AI-modeller för allmänna ändamål i kapitel V, till exempel teknisk dokumentation och information till leverantörer längre ned i kedjan, ligger hos de företag som utvecklar modellerna och släpper ut dem på marknaden.

Vad kräver artikel 50 från den 2 augusti 2026?

Leverantörer av AI-system som genererar syntetiskt ljud-, bild-, video- eller textinnehåll märker utdata i ett maskinläsbart format som artificiellt genererade eller manipulerade (artikel 50.2). För system som släppts ut på marknaden före den 2 augusti 2026 gäller det enligt artikel 111.4 från den 2 december 2026.

Tillhandahållare upplyser om att bild-, ljud- eller videoinnehåll som utgör en deepfake har genererats artificiellt eller manipulerats (artikel 50.4). Detsamma gäller AI-genererad eller manipulerad text som publiceras för att informera allmänheten i frågor av allmänt intresse, om inte texten har granskats av en människa eller varit föremål för redaktionell kontroll och någon bär det redaktionella ansvaret. Tillhandahållare av system för känsloigenkänning eller biometrisk kategorisering informerar de personer som berörs (artikel 50.3).

Hur länge måste tillhandahållare spara loggar?

Bara vid användning med hög risk. Den som använder AI för ett ändamål i bilaga III, till exempel urval av sökande, arbetsledning, kreditprövning eller utbildning, använder ett AI-system med hög risk. Artikel 26 kräver då från den 2 december 2027 bland annat att systemet används enligt leverantörens bruksanvisning, att den mänskliga kontrollen anförtros personer med rätt kompetens och att driften övervakas.

Artikel 26.6: tillhandahållare sparar de loggar som AI-systemet med hög risk genererar automatiskt, i den mån de står under deras kontroll, under en period som är lämplig för det avsedda ändamålet och i minst sex månader, om inte annat föreskrivs i unionsrätten eller nationell rätt, i synnerhet om skydd av personuppgifter.

Vilket underlag ger en AI-gateway?

Standard Compute samlar Claude, GPT, Gemini och öppna modeller under ett företagskonto, med en nyckel för varje person och varje applikation. Förteckningen över AI-system, användningspolicyn och underlaget finns då på ett ställe.

Varje administratörsändring registreras med värde före och efter, och ni kan exportera en uppgift om varje anrop med modell, betjänande leverantör och gällande regionregel, sparad i 12 månader. Anropsloggar innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar.

Bestäm vilka modeller varje nyckel får använda och vilka inferensleverantörer som får behandla er data, för hela företaget, ett team eller en nyckel. Lägre nivåer kan bara snäva in reglerna, och reservvägar kan aldrig gå runt er lista. Med en Europa-regel betjänas varje anrop, även nya försök och reservvägar, bara av godkända europeiska inferensslutpunkter.

Vad gatewayen registrerar och vilket arbete det stöder
Funktion	Vad den gör	Stöder
Export av anropsloggen	Vad den gör: Modell, betjänande leverantör och regionregel för varje anrop, sparat i 12 månader och exporterbart	Stöder: Underlag om användning, förteckning över AI-system
Administratörslogg	Vad den gör: Varje administratörsändring med värde före och efter	Stöder: Historik för användningspolicyn
Tillåtelselista för modeller	Vad den gör: Bara de modeller ni godkänner för varje applikation eller person	Stöder: Användningspolicy
Tillåtelselista för leverantörer	Vad den gör: Bara godkända inferensleverantörer; nya bara med en administratörs godkännande	Stöder: Val av leverantörer
En nyckel per person och applikation	Vad den gör: Användningen kopplas till en person eller applikation från första anropet	Stöder: Förteckning över AI-system
Europa-regel	Vad den gör: Anrop, nya försök och reservvägar bara via godkända europeiska inferensslutpunkter	Stöder: GDPR-arbete
Single sign-on	Vad den gör: Microsoft Entra ID eller en annan SAML-identitetsleverantör	Stöder: Underlag om åtkomst

Standard Compute-instrumentpanelen, administratörslogg: ändringar av regionregel, noll datalagring, utgiftstak, modellval för en applikationsnyckel och SSO-domän, var och en med värde före och efter. — Administratörsloggen: varje ändring av regler, budgetar och nycklar med värde före och efter. Företaget är ett exempel, och instrumentpanelen är på engelska.

Uppgifterna är gatewayens underlag om användningen av modeller och leverantörer. Loggarna i artikel 26.6 är de som ett AI-system med hög risk själv genererar. Vad förordningen kräver av ert företag avgör er juridiska avdelning, och underlaget för det arbetet finns samlat hos Standard Compute.

Frågor från IT, säkerhet och inköp

Vi använder LLM-API:er internt. Vad ändrades i augusti 2026?: Sedan den 2 augusti 2026 gäller transparenskraven i artikel 50. Kravet på AI-kunnighet gäller sedan den 2 februari 2025, och tillhandahållarnas skyldigheter vid användning med hög risk enligt bilaga III börjar gälla den 2 december 2027.
Tar Standard Compute över våra skyldigheter enligt AI-förordningen?: Skyldigheterna ligger hos ert företag som tillhandahållare. Standard Compute ger underlaget och reglerna som arbetet bygger på: en anropslogg med modell, leverantör och regionregel i 12 månader, en administratörslogg, tillåtelselistor för modeller och leverantörer och Europa-regeln.
Sparar anropsloggen våra prompter?: Nej. Anropsloggar innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar. Vi behandlar era prompter i minnet för att betjäna varje anrop och skriver dem aldrig till lagring eller loggar.
Vad bör inköp fråga en LLM-leverantör om AI-förordningen och GDPR?: Var prompter behandlas, om innehåll sparas eller används för träning, vilka underbiträdena är och vilket underlag ni får. Standard Compute svarar med Europa-regeln, noll datalagring, ett personuppgiftsbiträdesavtal som ni skriver under i instrumentpanelen, en offentlig lista över underbiträden med 14 dagars förvarning och en anropslogg över 12 månader.
Blir vi modelleverantör av att anropa Claude, GPT eller Gemini via API?: Nej. Förordningen kallar ett företag som under eget överinseende använder ett AI-system för tillhandahållare. Leverantör av en modell är det företag som utvecklar den och släpper ut den på marknaden.

Källor

Förordning (EU) 2024/1689 (AI-förordningen), EUR-Lex, svensk version, kontrollerat 9 november 2026
Förordning (EU) 2026/1744 (digital omnibusförordning om AI), EUR-Lex, kontrollerat 9 november 2026
Artikel 4, Europeiska kommissionens AI Act Service Desk, kontrollerat 9 november 2026
Artikel 26, AI Act Service Desk, kontrollerat 9 november 2026
Artikel 50, AI Act Service Desk, kontrollerat 9 november 2026
Artikel 111, AI Act Service Desk, kontrollerat 9 november 2026
Artikel 113, AI Act Service Desk, kontrollerat 9 november 2026

Skapa ert företag, sätt era regler för modeller och leverantörer och starta den anropslogg som ert arbete med AI-förordningen bygger på.

Skapa en företagsarbetsyta