Checklista · EU AI Act · 2026
Checklista för EU:s AI-förordning (EU AI Act)
En praktisk checklista som tar er från "vi vet inte vad som gäller" till en dokumenterad efterlevnad av EU:s AI-förordning — med riskklassificering, roller, dokumentationskrav och tidslinje fram till 2027.
Framtagen av aimognad.se · Senast uppdaterad augusti 2026.
Därför behöver ni checklistan nu
EU AI Act fasas in stegvis. Förbuden mot oacceptabel AI gäller redan, transparenskraven för generativ AI är på plats och kraven på högrisksystem slår igenom under 2026–2027. De flesta svenska bolag är leverantörer eller tillhandahållare av begränsad risk-system — men vet inte om det, eftersom ingen har gjort inventeringen.
Checklistan gör två saker: den tvingar fram en komplett inventering av era AI-system, och den kopplar varje system till de konkreta krav som gäller för just den risknivån. Det är också den dokumentation en tillsynsmyndighet, en kund eller en upphandlare frågar efter först.
Vad checklistan täcker
1. Inventering av AI-system
Alla system, inbyggd AI i SaaS-verktyg, egenutvecklade modeller och AI-agenter. Ägare, syfte, datakällor och användargrupper per system.
2. Roll enligt förordningen
Är ni leverantör (provider), tillhandahållare (deployer), importör eller distributör? Rollen avgör vilka skyldigheter som faller på er.
3. Riskklassificering
Oacceptabel risk (förbjuden), hög risk, begränsad risk (transparens) eller minimal risk — per system, dokumenterat och daterat.
4. Krav på högrisksystem
Riskhanteringssystem, datastyrning, teknisk dokumentation, loggning, mänsklig tillsyn, robusthet och överensstämmelsebedömning.
5. Transparenskrav
Märkning av AI-interaktion, syntetiskt innehåll och deepfakes. Information till anställda vid AI-stöd i arbetsledning.
6. AI-kompetens (Art. 4)
Dokumenterad plan för att säkerställa tillräcklig AI-kunskap hos personal som utvecklar eller använder AI-system.
7. Leverantörer och GPAI
Krav i avtal med modell- och verktygsleverantörer: modellkort, dokumentation, ändringsavisering och rätt till information.
8. Uppföljning och incidenter
Övervakning efter driftsättning, rapportering av allvarliga incidenter och plan för återkommande omprövning av klassificeringen.
Checklistan i sin helhet
Kopiera texten nedan, byt ut hakparenteser mot er information och anpassa efter er organisation.
# Checklista – EU:s AI-förordning (EU AI Act)
Organisation: [Företagsnamn]
Ansvarig: [Roll, t.ex. CIO/CTO]
Granskare: [DPO / jurist]
Datum: [ÅÅÅÅ-MM-DD]
Version: 1.0
## 1. Inventering
[ ] Alla AI-system är listade i ett register (namn, syfte, ägare, leverantör).
[ ] Inbyggd AI i befintliga SaaS-verktyg är inventerad (CRM, HR, support, kontorspaket).
[ ] Egenutvecklade modeller och AI-agenter är med i registret.
[ ] Datakällor och kategorier av data per system är dokumenterade.
[ ] Registret har en utpekad ägare och uppdateras minst kvartalsvis.
## 2. Roll enligt förordningen
[ ] Per system: är vi leverantör, tillhandahållare, importör eller distributör?
[ ] Fall där vi väsentligt ändrar ett system och därmed blir leverantör är identifierade.
[ ] Rollen är dokumenterad per system, inte bara på bolagsnivå.
## 3. Riskklassificering
[ ] Inga system faller under förbjuden AI (social poängsättning, manipulativa tekniker,
känsloigenkänning på arbetsplats/skola, otillåten biometrisk kategorisering).
[ ] Högrisksystem är identifierade (rekrytering, kreditbedömning, utbildning,
kritisk infrastruktur, tillgång till samhällstjänster, viss biometri).
[ ] System med transparenskrav är identifierade (chattbotar, syntetiskt innehåll).
[ ] Klassificeringen är daterad, motiverad i text och godkänd av ansvarig.
## 4. Krav på högrisksystem (om tillämpligt)
[ ] Riskhanteringssystem över hela livscykeln är etablerat.
[ ] Datastyrning: träningsdata är relevant, representativ och kontrollerad för bias.
[ ] Teknisk dokumentation finns och hålls aktuell.
[ ] Automatisk loggning är påslagen och loggar sparas enligt policy.
[ ] Mänsklig tillsyn är designad in – med befogenhet att stoppa systemet.
[ ] Noggrannhet, robusthet och cybersäkerhet är testade och dokumenterade.
[ ] Bruksanvisning till tillhandahållare finns (om vi är leverantör).
[ ] Överensstämmelsebedömning och CE-märkning är planerad/genomförd.
## 5. Transparens
[ ] Användare informeras tydligt när de interagerar med AI.
[ ] AI-genererat eller manipulerat innehåll märks maskinläsbart och synligt.
[ ] Anställda informeras när AI används i arbetsledning eller bedömning.
## 6. AI-kompetens (Art. 4)
[ ] Utbildningsplan finns för medarbetare som utvecklar eller använder AI.
[ ] Genomförd utbildning är dokumenterad per roll.
[ ] Nyanställda får AI-introduktion som del av onboarding.
## 7. Leverantörer och GPAI-modeller
[ ] Avtal med AI-leverantörer innehåller dokumentations- och informationskrav.
[ ] Modellkort/systemkort är inhämtade för centrala modeller.
[ ] Leverantören meddelar oss vid väsentliga modelländringar.
[ ] Datalokalisering och underbiträden är kartlagda (se PUB-avtal).
## 8. Drift, uppföljning och incidenter
[ ] Process för övervakning efter driftsättning är beskriven.
[ ] Process för rapportering av allvarliga incidenter finns och är testad.
[ ] Klassificering och dokumentation omprövas minst årligen.
[ ] Ansvar och eskaleringsväg är skriftligt utpekade.
## Tidslinje att bevaka
[ ] Förbjuden AI och AI-kompetenskrav – gäller sedan februari 2025.
[ ] GPAI-skyldigheter – gäller sedan augusti 2025.
[ ] Högriskkrav och nationell tillsyn – fasas in 2026–2027.
[ ] Pågående ändringsförslag (digital omnibus) bevakas kvartalsvis.
Kommentarer och avvikelser:
[Fritext]Innan ni stänger arbetet
- AI-registret är komplett och har en namngiven ägare.
- Varje system har en daterad och motiverad riskklassificering.
- Roll enligt förordningen är bestämd per system, inte generellt.
- Transparensmärkning är på plats i alla kundvända AI-flöden.
- Utbildningsplan för AI-kompetens är beslutad och budgeterad.
- Leverantörsavtal är genomgångna med avseende på AI-krav.
- Incidentprocessen för AI är testad minst en gång.
- Nästa revisionsdatum är inbokat i kalendern.
Vanliga frågor
Gäller EU AI Act för små svenska företag?
Ja. Förordningen är riskbaserad, inte storleksbaserad. Ett bolag med tio anställda som använder AI i rekrytering hanterar ett högrisksystem, medan ett stort industribolag med enbart interna produktivitetsverktyg oftast landar i minimal risk. Det är användningen som avgör, inte antalet anställda.
Vad är skillnaden mellan leverantör och tillhandahållare?
Leverantör (provider) utvecklar eller släpper ett AI-system på marknaden under eget namn. Tillhandahållare (deployer) använder ett system i sin verksamhet. De flesta svenska bolag är tillhandahållare — men om ni väsentligt ändrar ett system eller sätter ert varumärke på det kan ni bli leverantör och få betydligt fler skyldigheter.
Räcker checklistan som dokumentation vid tillsyn?
Checklistan är strukturen, inte bevisen. Den visar att ni arbetat systematiskt, men varje ikryssad punkt behöver kunna kopplas till ett underlag: registret, klassificeringsbeslutet, utbildningsloggen eller leverantörsavtalet. Spara underlagen tillsammans med checklistan.
Hur ofta ska klassificeringen göras om?
Minst årligen, och alltid när ni byter modell eller leverantör, tar systemet till ett nytt användningsområde eller när nya delar av förordningen träder i kraft.
Mallen är en utgångspunkt och utgör inte juridisk rådgivning. Låt jurist eller dataskyddsombud granska och anpassa dokumentet innan ni använder det skarpt.
Vill ni veta var ni står?
Gör vår kostnadsfria AI-mognadsanalys och få en nulägesbild med konkreta rekommendationer — eller hämta fler mallar och checklistor.