AI-förordningen för offentlig sektor: vad som ska vara klart till december 2027

01Läget hösten 2026

AI-förordningen (öppnar en extern webbplats), förordning (EU) 2024/1689, trädde i kraft den 1 augusti 2024 och börjar gälla i etapper. I juli 2026 antog EU den digitala omnibusen om AI, förordning (EU) 2026/1744 (öppnar en extern webbplats), som sköt upp reglerna om hög risk och ändrade flera andra bestämmelser. Den trädde i kraft den 27 juli 2026, några dagar före det ursprungliga datumet för hög risk.

Resultatet är en tidslinje där vissa skyldigheter redan gäller, några kommer i slutet av året och de tyngsta för offentliga tillhandahållare följer i december 2027. I Sverige har regeringen gett PTS, IMY, Finansinspektionen och Läkemedelsverket uppdrag som marknadskontrollmyndigheter enligt AI-förordningen till och med den 31 december 2026; PTS är gemensam kontaktpunkt. Uppdraget bygger på ett regeringsbeslut av den 4 juni 2026, där Swedac också är anmälande myndighet.

Omnibusen skrev också om artikel 4 om AI-kunnighet. Leverantörer och tillhandahållare ska nu vidta åtgärder för att främja utvecklingen av medarbetarnas AI-kunnighet, i stället för att säkerställa en tillräcklig nivå. Skyldigheten finns kvar; det du behöver visa har ändrats. Utbildning som passar varje roll, och en dokumentation av den, är fortfarande det rimliga svaret.

02Är du leverantör eller tillhandahållare?

De flesta statliga myndigheter, regioner och kommuner är tillhandahållare: de använder ett AI-system under eget överinseende. Du är leverantör när du utvecklar ett AI-system, eller låter utveckla det, och tar det i bruk i eget namn. Det gäller också system som byggs internt eller av en konsult efter din kravställning.

Rollerna kan också skifta. Enligt artikel 25 tar en tillhandahållare som väsentligt ändrar ett system med hög risk, eller ändrar dess avsedda ändamål så att det blir ett system med hög risk, på sig leverantörens skyldigheter. Skriv in de avsedda rollerna i upphandlingsdokumenten och avtalen, så att ingen upptäcker dem först vid en granskning.

03Vilka av dina användningsfall har hög risk?

Bilaga III räknar upp de områden där AI-system anses ha hög risk. För offentliga aktörer är de mest relevanta:

• Tillgång till grundläggande offentliga tjänster och förmåner: bedömning av rätt till förmåner och tjänster, och beslut om att bevilja, minska, upphäva eller återkalla dem.
• Migration, asyl och gränskontroll, brottsbekämpning och rättskipning.
• Utbildning och yrkesutbildning: antagning, bedömning av studieresultat och övervakning vid prov.
• Anställning: rekrytering, befordran, fördelning av arbetsuppgifter och övervakning av personal. Offentliga aktörer är också arbetsgivare.
• Kritisk infrastruktur: säkerhetskomponenter i förvaltningen av digital infrastruktur, vägtrafik och försörjning av vatten, gas, värme och el.

Att ett system hör till ett område i bilaga III avslutar inte analysen. Enligt artikel 6.3 har ett system inom ett sådant område inte hög risk när det inte medför en betydande risk för skada, till exempel för att det utför en snäv processuell uppgift, förbättrar resultatet av ett arbete som en människa redan har gjort, upptäcker mönster utan att ersätta en mänsklig bedömning eller utför en förberedande uppgift. Ett system som profilerar personer har alltid hög risk. Om du stöder dig på undantaget ska du dokumentera resonemanget. Inom flera av dessa områden, bland annat offentliga förmåner, utbildning och anställning, är PTS marknadskontrollmyndighet enligt det svenska uppdraget; för brottsbekämpning, migration och rättskipning är det IMY.

Många användbara verktyg har inte hög risk alls: skrivstöd, intern kunskapssökning, översättning och sammanfattning. Transparenskraven och dataskyddsförordningen (GDPR) gäller fortfarande för dem, men inte reglerna om hög risk.

04Vad tillhandahållare av system med hög risk ska göra

Från den 2 december 2027 har en offentlig aktör som använder ett system med hög risk enligt bilaga III skyldigheter enligt artikel 26 (öppnar en extern webbplats). De viktigaste:

• Använd systemet enligt leverantörens bruksanvisning, med lämpliga tekniska och organisatoriska åtgärder.
• Ge den mänskliga kontrollen till personer med nödvändig kompetens, utbildning och befogenhet, och ge dem stöd.
• Se till att indata som du styr över är relevanta och tillräckligt representativa för det avsedda ändamålet.
• Övervaka driften och informera leverantören och myndigheterna utan onödigt dröjsmål om risker och allvarliga incidenter.
• Spara de automatiskt genererade loggarna i minst sex månader, om inte annan unionsrätt eller nationell rätt säger något annat.
• Informera arbetstagarrepresentanter och berörda medarbetare innan ett system med hög risk används på arbetsplatsen.
• Som offentlig myndighet: registrera din användning av systemet i EU-databasen innan det tas i bruk (artikel 26.8 och artikel 49). Ett system som inte är registrerat får inte användas.
• Informera människor när ett system med hög risk används för att fatta, eller hjälpa till att fatta, beslut om dem (artikel 26.11). Den som berörs har också rätt till en förklaring av enskilda beslut (artikel 86).

Konsekvens­bedömningen avseende grundläggande rättigheter

Enligt artikel 27 (öppnar en extern webbplats) ska offentligrättsliga organ, och privata organisationer som tillhandahåller offentliga tjänster, göra en konsekvensbedömning avseende grundläggande rättigheter innan de börjar använda de flesta system i bilaga III. System för kritisk infrastruktur är undantagna. Bedömningen beskriver:

1. 01de processer där systemet ska användas, i linje med dess avsedda ändamål;
2. 02under vilken tid och hur ofta det ska användas;
3. 03de kategorier av personer och grupper som sannolikt påverkas;
4. 04de specifika riskerna för skada för dessa personer;
5. 05hur den mänskliga kontrollen genomförs;
6. 06vad som händer om riskerna inträffar, inklusive intern styrning och klagomålsmekanismer.

Du anmäler resultatet till marknadskontrollmyndigheten. Bedömningen kompletterar, och kan bygga på, en konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen, så gör båda tillsammans. Enligt artikel 27.5 ska AI-byrån ta fram en mall i form av ett frågeformulär; kontrollera hur långt den har kommit innan du utformar en egen. Vissa länder har redan metoder, som den nederländska regeringens Impact Assessment Mensenrechten en Algoritmes (IAMA).

05Transparenskrav som redan gäller

Sedan den 2 augusti 2026 gäller artikel 50. Leverantörer ska utforma system som interagerar med människor så att de får veta att de har att göra med ett AI-system, om det inte är uppenbart, och märka syntetiskt innehåll på ett maskinläsbart sätt. Tillhandahållare ska upplysa om deepfakes, och om AI-genererad eller manipulerad text som publiceras för att informera allmänheten i frågor av allmänt intresse, om inte en människa har granskat texten och någon har det redaktionella ansvaret. I Sverige är PTS marknadskontrollmyndighet för flera av transparenskraven enligt det nuvarande uppdraget.

För en kommun, region eller myndighet är det vanligaste fallet en chattassistent på webbplatsen eller i en e-tjänst där invånaren redan har loggat in med e-legitimation. Säg tydligt att det är ett AI-system, förklara vad det kan och inte kan hjälpa till med, och erbjud en väg till en handläggare.

06En plan för 2026 och 2027

1. 01Inventera, nu. Lista varje AI-system som används eller upphandlas, inklusive AI-funktioner i plattformar som du redan har licens för. Notera ägare, syfte, leverantör, vilka data som används och vilka personer som berörs.
2. 02Klassificera, i början av 2027. Förbjudet, hög risk (med resonemanget enligt artikel 6.3 dokumenterat), bara transparenskrav eller minimal risk. Notera för varje system om du är leverantör eller tillhandahållare.
3. 03Rätta till avtalen, under 2027. Be leverantörerna om bruksanvisningar, dokumentation om överensstämmelse och åtkomst till loggar. Gör stöd för din konsekvensbedömning och incidentrapportering till ett avtalsvillkor, och ställ kraven redan i upphandlingsdokumenten enligt LOU.
4. 04Utforma den mänskliga kontrollen. Utse rollerna, utbilda dem, ge dem befogenhet att ändra beslut och en väg för eskalering. Motverka automationsbias; vår artikel om när AI-agenter behöver mänskligt godkännande visar hur.
5. 05Ordna loggning och övervakning. Spara loggar i minst sex månader, bestäm vad som räknas som en allvarlig incident och vem som rapporterar den.
6. 06Före första användning. Gör konsekvensbedömningen avseende grundläggande rättigheter tillsammans med konsekvensbedömningen avseende dataskydd, registrera systemet i EU-databasen och informera medarbetarna och de berörda.
7. 07Håll AI-kunnigheten vid liv. Rollbaserad utbildning för användare, granskare och beslutsfattare, uppdaterad när systemen ändras, med en förteckning över vem som har utbildats.

07Sanktioner och tillsyn

Medlemsstaterna fastställer reglerna om sanktioner. Enligt artikel 99.8 bestämmer varje medlemsstat om, och i vilken utsträckning, administrativa sanktionsavgifter kan påföras offentliga myndigheter och organ som är etablerade där. Det är inget skäl att vänta. Marknadskontrollmyndigheterna kan ändå kräva korrigerande åtgärder, och ett offentligt besluts legitimitet beror på om det går att förklara och överklaga.

08Att bevaka de kommande månaderna

• Kommissionens riktlinjer om klassificering av system med hög risk (artikel 6.5), och dess befintliga riktlinjer om förbjudna AI-användningsområden (öppnar en extern webbplats).
• Harmoniserade standarder för kraven på system med hög risk, som leverantörerna kommer att använda för att visa överensstämmelse.
• Vilka svenska myndigheter som har tillsynsansvaret efter den 31 december 2026, när det nuvarande uppdraget löper ut, och deras vägledning för offentliga tillhandahållare. Från den 1 januari 2027 ger Digitaliseringsmyndigheten också vägledning om AI i den offentliga förvaltningen.
• AI-byråns mall för konsekvensbedömningen avseende grundläggande rättigheter.

Europeiska kommissionens AI Act Service Desk (öppnar en extern webbplats) håller den officiella tidplanen och förklaringar artikel för artikel uppdaterade. Spara länken och datera varje intern anteckning om förordningen: texten förändras fortfarande.