AI-förordningen i finländska myndigheter: förberedelser inför december 2027

01Utgångsläget hösten 2026

AI-förordningen (öppnar en extern webbplats), förordning (EU) 2024/1689, började gälla 1 augusti 2024 och tillämpas i etapper. I juli 2026 antogs den digitala omnibusförordningen om AI, förordning (EU) 2026/1744 (öppnar en extern webbplats), som sköt fram kraven på system med hög risk och ändrade flera andra bestämmelser. Ändringsförordningen trädde i kraft 27 juli 2026, bara dagar innan de ursprungliga högriskreglerna skulle ha börjat tillämpas.

Därmed gäller en del skyldigheter redan, några kommer vid årsskiftet och de tyngsta för myndigheter som använder AI börjar gälla i december 2027.

Omnibusen ändrade också artikel 4 om AI-kunnighet. Leverantörer och tillhandahållare ska numera vidta åtgärder som stöder personalens kunnighet, i stället för att se till att kunnigheten är tillräcklig. Skyldigheten finns kvar, men det som ska visas upp är ett annat. Utbildning anpassad till varje roll, och en förteckning över vem som gått den, är fortfarande ett förnuftigt svar.

02Tillsynen i Finland

I Finland kompletteras förordningen av lagen om tillsyn över vissa system för artificiell intelligens (1377/2025), som trädde i kraft 1 januari 2026. Lagen fördelar tillsynen på flera myndigheter: dataombudsmannen ser till att förbuden i artikel 5 följs, Transport- och kommunikationsverket Traficom har tillsyn över transparenskraven i artikel 50 och fungerar som gemensam kontaktpunkt, och sektorsmyndigheterna har tillsyn över AI-system med hög risk inom sina områden. Större påföljdsavgifter beslutas av påföljdsavgiftsnämnden för tillsynen över system för artificiell intelligens, som finns vid Traficom.

En tvåspråkig myndighet har dessutom språklagen (423/2003) att ta hänsyn till. Allmänheten ska betjänas på finska och svenska, och i ett förvaltningsärende är handläggningsspråket partens språk. En AI-assistent, ett verktyg som sammanfattar handlingar eller ett stöd för beredningen av beslut måste därför fungera lika bra på båda språken, och den som granskar förslaget ska kunna pröva det på det språk ärendet handläggs på. Ansvaret enligt språklagen stannar hos myndigheten, också när den anlitar en privat aktör.

03Leverantör eller tillhandahållare?

De flesta myndigheter är tillhandahållare, det vill säga de använder ett AI-system på eget ansvar. Den som utvecklar ett AI-system, eller beställer utvecklingen, och tar det i bruk under eget namn är leverantör. Det gäller också system som byggs av den egna IT-enheten eller av en konsult enligt myndighetens specifikation.

Rollerna kan dessutom förändras. Enligt artikel 25 får en tillhandahållare leverantörens skyldigheter om den gör en väsentlig ändring i ett system med hög risk, eller ändrar ändamålet så att systemet blir ett system med hög risk. Ange därför rollerna redan i upphandlingsdokumenten och avtalen, så att de inte blir en överraskning vid en granskning.

04Vilka användningsfall räknas som hög risk?

Bilaga III anger områdena där AI-system räknas som högrisksystem. För den offentliga sektorn är dessa de viktigaste:

• Tillgång till offentliga tjänster och förmåner: bedömning av rätten till förmåner och beslut om att bevilja, minska, upphäva eller återkalla förmåner och tjänster.
• Migration, asyl och gränskontroll, brottsbekämpning och rättskipning.
• Utbildning: antagning, bedömning av studieresultat och övervakning vid prov.
• Anställning: rekrytering, befordran, fördelning av arbete och uppföljning av personal. Ämbetsverk, välfärdsområden och kommuner är också arbetsgivare.
• Kritisk infrastruktur: säkerhetskomponenter i driften av digital infrastruktur, vägtrafik samt vatten-, gas-, värme- och elförsörjning.

Att ett system hör till ett område i bilaga III är inte hela svaret. Enligt artikel 6.3 räknas systemet inte som högrisksystem om det inte innebär någon betydande risk för skada, till exempel när det sköter en avgränsad processuell uppgift, förbättrar ett arbete som en människa redan har gjort, upptäcker mönster utan att ersätta människans bedömning eller utför ett förberedande moment. Ett system som profilerar personer räknas alltid som högrisksystem. Den som stöder sig på undantaget ska dokumentera sina skäl.

Många nyttiga verktyg är inte högrisksystem över huvud taget, till exempel skrivstöd, sökning i egna dokument, översättning och sammanfattning. För dem gäller transparenskraven och dataskyddsförordningen, men inte högriskreglerna. Om AI används för att översätta mellan finska och svenska ska en människa ändå granska texten före publiceringen; skyldigheterna enligt språklagen ligger kvar hos myndigheten.

05Skyldigheter för den som använder högrisksystem

Från 2 december 2027 har en myndighet som använder ett högrisksystem enligt bilaga III skyldigheter enligt artikel 26 (öppnar en extern webbplats). De viktigaste är att

• använda systemet enligt leverantörens bruksanvisning och med lämpliga tekniska och organisatoriska åtgärder,
• låta personer med rätt kompetens, utbildning och befogenheter utöva den mänskliga kontrollen och ge dem det stöd de behöver,
• se till att de indata som myndigheten själv råder över är relevanta och tillräckligt representativa för ändamålet,
• följa driften och utan onödigt dröjsmål meddela leverantören och myndigheterna om risker och allvarliga incidenter,
• bevara de loggar som systemet skapar automatiskt i minst sex månader, om inte annan EU-rätt eller nationell rätt föreskriver något annat,
• informera personalens företrädare och de anställda som berörs innan ett högrisksystem används på arbetsplatsen,
• som offentlig myndighet registrera användningen i EU-databasen innan systemet tas i bruk (artikel 26.8 och artikel 49); ett system som saknar registrering får inte användas,
• informera enskilda när ett högrisksystem används för att fatta eller stödja beslut om dem (artikel 26.11); de har också rätt att få enskilda beslut förklarade (artikel 86), och i en tvåspråkig myndighet ges informationen och förklaringen på handläggningsspråket, alltså partens språk.

Konsekvens­bedömning för grundläggande rättigheter

Enligt artikel 27 (öppnar en extern webbplats) ska offentligrättsliga organ, och privata aktörer som sköter offentliga tjänster, bedöma konsekvenserna för grundläggande rättigheter innan de börjar använda de flesta system i bilaga III. System för kritisk infrastruktur omfattas inte. Bedömningen innehåller

1. 01en beskrivning av de processer där systemet används, i linje med dess ändamål;
2. 02hur länge och hur ofta systemet ska användas;
3. 03vilka grupper av personer som sannolikt berörs;
4. 04vilka särskilda risker för skada dessa personer utsätts för;
5. 05hur den mänskliga kontrollen är ordnad;
6. 06vad som görs om riskerna förverkligas, bland annat den interna styrningen och möjligheterna att klaga.

Resultatet meddelas marknadskontrollmyndigheten. Bedömningen kompletterar, och kan bygga på, en konsekvensbedömning för dataskydd enligt artikel 35 i dataskyddsförordningen, så det lönar sig att göra dem samtidigt. Enligt artikel 27.5 ska AI-byrån ta fram ett mallformulär; se efter hur långt det har kommit innan du utvecklar ett eget. I vissa länder finns redan metoder, till exempel den nederländska regeringens Impact Assessment Mensenrechten en Algoritmes (IAMA).

06Transparenskrav som redan gäller

Artikel 50 tillämpas sedan 2 augusti 2026. Leverantörer ska bygga system som kommunicerar med människor så att människorna förstår att de har att göra med AI, om det inte är uppenbart, och märka syntetiskt innehåll i ett maskinläsbart format. Tillhandahållare ska upplysa om deepfakes och om text som skapats eller manipulerats med AI och publiceras för att informera allmänheten i frågor av allmänt intresse, om inte texten har granskats av en människa och någon bär det redaktionella ansvaret. I Finland är det Traficom som har tillsyn över de här kraven.

Det vanligaste exemplet hos en myndighet är en chattassistent på webbplatsen eller i en kundtjänstkanal. Berätta öppet att det är AI, förklara vad assistenten kan och inte kan hjälpa till med och visa vägen till en människa. I en tvåspråkig myndighet bör assistenten klara finska och svenska lika bra, och vägen till en handläggare bör finnas på båda språken.

07Förberedelser under 2026 och 2027

1. 01Förteckna, nu. Gör en lista över alla AI-system som används eller håller på att upphandlas, också AI-funktioner i plattformar som organisationen redan har licens för. Anteckna ansvarig person, ändamål, leverantör, vilka data som används och vilka som berörs.
2. 02Klassificera, i början av 2027. Förbjudet, hög risk (med skälen enligt artikel 6.3 nedskrivna), enbart transparenskrav eller minimal risk. Anteckna för varje system om myndigheten är leverantör eller tillhandahållare.
3. 03Avtala, under 2027. Begär bruksanvisningar, dokumentation om överensstämmelse och åtkomst till loggar av leverantörerna. Gör stöd för konsekvensbedömningen och för incidentrapporteringen till ett avtalsvillkor, redan i anbudsförfrågan när systemet upphandlas enligt upphandlingslagen.
4. 04Ordna mänsklig kontroll. Utse rollerna, utbilda dem och ge dem befogenhet att gå emot systemet och en väg att eskalera. Motverka automationsbias; hur det går till beskriver vi i artikeln Var en AI-agent behöver en människas godkännande.
5. 05Ordna loggning och uppföljning. Bevara loggarna i minst sex månader och bestäm vad som räknas som en allvarlig incident och vem som anmäler den.
6. 06Innan systemet tas i bruk. Gör konsekvensbedömningen för grundläggande rättigheter tillsammans med konsekvensbedömningen för dataskydd, registrera användningen i EU-databasen och informera personalen och dem som berörs.
7. 07Håll kunnigheten aktuell. Utbildning för användare, granskare och beslutsfattare som anpassas efter rollen och uppdateras när systemen ändras, med en förteckning över vem som har deltagit.

08Påföljder och tillsyn

Påföljderna bestäms av medlemsstaterna. Enligt artikel 99.8 avgör varje medlemsstat om, och i vilken omfattning, administrativa sanktionsavgifter kan riktas mot offentliga myndigheter och organ som är etablerade där. I Finland är det påföljdsavgiftsnämnden vid Traficom som beslutar om större påföljdsavgifter. Det är ändå inget skäl att vänta. Marknadskontrollmyndigheterna kan kräva rättelse, och ett myndighetsbeslut är legitimt bara om det kan motiveras och överklagas.

09Att följa under de kommande månaderna

• Kommissionens riktlinjer för klassificering av högrisksystem (artikel 6.5), och de redan publicerade riktlinjerna om förbjudna AI-metoder (öppnar en extern webbplats).
• Harmoniserade standarder för högriskkraven, som leverantörerna kommer att använda för att visa att systemen uppfyller kraven.
• Anvisningar från Traficom, dataombudsmannen och sektorsmyndigheterna till myndigheter som använder AI.
• AI-byråns mall för konsekvensbedömningen för grundläggande rättigheter.

Kommissionens AI Act Service Desk (öppnar en extern webbplats) uppdaterar den officiella tidslinjen och förklarar förordningen artikel för artikel. Spara länken och sätt datum på varje intern anteckning om förordningen: texten förändras fortfarande.