EU:s förordning om artificiell intelligens har rullats ut i steg sedan den trädde i kraft 1 augusti 2024. Det senaste steget, transparenskraven för AI som skapar text, bild, ljud och video, började gälla 2 augusti 2026 och är det som berör flest bolag i praktiken. Vilka krav som gäller för ett bolag beror på hur riskfylld AI-användningen är och vilken roll bolaget ger den. I den här artikeln går vi igenom förordningens fyra risknivåer, vem som omfattas och vilka regler som gäller nu och vilka som börjar gälla senare.
Risknivåer avgör vem som omfattas
AI-förordningen bygger på principen att ju större skada ett AI-system kan orsaka, desto hårdare regler ska det falla under. Alla AI-system delas därför in i fyra risknivåer, från förbjudna till i princip oreglerade. Nivån bestäms av vad systemet används till. Samma AI-verktyg kan dock hamna på olika nivåer beroende på hur det används, till exempel skulle samma system kunna skriva produkttexter och hantera ansökningar och välja ut lämpliga kandidater för en anställning inom bolaget. För ett bolag är första steget att ta reda på vilken nivå varje typ av AI-användning hamnar på.
Oacceptabel risk: förbjudet
AI som hotar människors säkerhet, rättigheter eller försörjning är förbjuden i EU. Hit hör bland annat manipulation av människors beteende, social poängsättning och känsloigenkänning på arbetsplatser och i skolor. För ett börsbolag kan det handla om ett verktyg som analyserar anställdas ansiktsuttryck i videomöten för att mäta engagemang, eller en konsumentapp som använder AI för att utnyttja kunders sårbarheter. Under sommaren 2026 lade EU också till förbud mot att skapa intimt material utan samtycke och flertalet ytterligare punkter kopplade till sexualbrott. De nya förbunden träder i kraft den 2 december 2026.
Hög risk: omfattande krav
AI-system med hög risk, till exempel sådana som används för att diagnostisera sjukdomar, i självkörande fordon eller för biometrisk identifiering, måste uppfylla stränga krav för att få släppas ut på den europeiska marknaden. Kraven omfattar bland annat noggrann testning, transparens och mänsklig tillsyn. I ett börsbolag kan det i stället handla om AI som sorterar CV:n vid rekrytering, en bank som låter AI bedöma privatpersoners kreditvärdighet, eller ett medicinteknikbolag med AI inbyggd i sina produkter. Kraven gäller från 2 december 2027, och för AI i reglerade produkter från 2 augusti 2028.
Begränsad risk: krav på öppenhet
AI med begränsad risk, som chattbotar och AI som skapar innehåll, omfattas av transparenskrav. Användarna ska få veta att innehållet är AI-genererat, så att de kan fatta välgrundade beslut om hur det används. Ett undantag är AI-genererad text som har granskats noggrant av en redaktör som tar ansvar för publiceringen, och den behöver inte märkas. För ett börsbolag gäller kraven till exempel en AI-chatt på investerarwebbplatsen som svarar på frågor om rapportdatum och utdelning, AI-genererade bilder i årsredovisningen eller en AI-skapad video där vd:n tycks tala. Kraven gäller sedan 2 augusti 2026.
Minimal risk: inga särskilda krav
De flesta AI-system utgör ingen risk. AI i spel eller skräppostfilter kan användas fritt utan särskilda krav. I ett börsbolag finns till exempel ett verktyg som sorterar inkommande investerarfrågor, AI som hjälper ekonomiavdelningen att stämma av fakturor, eller ett skrivstöd som tar fram interna utkast. Det enda krav som ställs är att bolaget ska arbeta för att personalen förstår de AI-verktyg dem använder.
Bra att veta
Nivåerna utesluter inte varandra. Transparenskraven gäller oavsett riskklass, så även en enkel IR-chatt måste tala om att den är en AI. De stora AI-modellerna bakom dagens AI-assistenter regleras dessutom separat. Modeller utan systemrisk har begränsade krav, till exempel på transparens, medan modeller med systemrisk måste följa strängare regler. Risknivån visar vilka regler som gäller för en viss AI-användning. Vem som ska följa dem avgörs av bolagets roll.
Ansvaret fördelas via roller
Varje risknivå fördelar ansvaret olika mellan fem definierade roller.
Leverantör: utvecklar ett AI-system, eller låter utveckla det, och släpper ut det under eget namn eller varumärke.
Tillhandahållare: använder ett AI-system i sin yrkesmässiga verksamhet.
Importör: för in AI-system från länder utanför EU.
Distributör: säljer AI-system vidare utan att vara leverantör eller importör.
Ombud: sköter en utländsk leverantörs skyldigheter inom EU
Förbuden gäller alla roller, eftersom ingen får släppa ut eller använda förbjuden AI. Vid hög risk ligger tyngden hos leverantören, som ska bygga in kraven innan systemet säljs, medan tillhandahållaren ansvarar för hur systemet används. Transparenskraven under den näst lägsta nivån delas upp. Leverantören ser till att en chatt talar om att den är en AI och att AI-genererat innehåll märks maskinläsbart. Tillhandahållaren ska upplysa om AI-genererat innehåll och om AI-text i frågor av allmänt intresse. För minimal risk finns inga särskilda krav för någon roll, utöver att både leverantörer och tillhandahållare ska främja AI-kunnigheten hos sin personal. Förordningen skiljer på fem roller:
För de flesta börsbolag är det skillnaden mellan de två rollerna det första som avgör. Ett bolag som köper en färdig AI-tjänst är tillhandahållare, medan det företag som utvecklat tjänsten är leverantör. Vad rollerna innebär i praktiken, och när ett bolag kan byta roll, går vi igenom senare i artikeln.
Det här gäller nu
AI-förordningen har över hundra artiklar, men de flesta riktar sig inte till vanliga börsbolag som använder AI i verksamheten på ett eller annat sätt. Förordningen vänder sig i stället till dem som utvecklar de stora AI-modellerna och till EU:s och medlemsstaternas myndigheter med beskriver hur tillsynen ska organiseras. Kvar finns åtta artiklar som är viktiga att känna till för börsbolag varav fyra gäller redan nu. De övriga fyra rör högrisksystem och börjar gälla från december 2027 och framåt.
De fyra artiklarna som gäller nu presenteras nedan, men i korthet kan de sammanfattas som följer: Artikel 4 kräver att bolaget arbetar för att personalen förstår de AI-verktyg den använder. Artikel 5 anger vilken AI som är förbjuden. Artikel 50 innehåller transparenskraven och artikel 99 anger sanktionerna om kraven inte följs.
Artikel 4: AI-kunnighet
Alla bolag som använder AI i sin verksamhet ska arbeta för att personalen förstår de verktyg den använder. Kunskapsnivån ska anpassas efter vad personen redan kan och i vilket sammanhang AI-verktygen används. Kravet gäller oavsett risknivå, men bolaget behöver inte garantera att varje anställd når en viss nivå. I praktiken räcker det oftast med intern utbildning och en enkel dokumentation av vad som har gjorts.
Artikel 5: förbjuden AI
Förbuden mot bland annat manipulativ AI, social poängsättning och känsloigenkänning på arbetsplatsen gäller redan sedan tidigare. Få börsbolag berörs, men det är värt att kontrollera att inga verktyg i verksamheten gör något av detta. Sommaren 2026 lades ytterligare ett förbud till i artikel 5. Detta är det tidigare nämnda förbudet mot AI som skapar material kopplat till sexualbrott som börjar gälla 2 december 2026.
Artikel 50: transparenskraven
Artikel 50 är den del av förordningen som berör flest börsbolag i dag. Kraven är fördelade mellan den som tillverkar AI-verktyget och den som använder det:
Chatt på webbplatsen (50.1). Den som besöker en AI-chatt, till exempel på investerarwebbplatsen, ska få veta att den pratar med en AI, om det inte redan är uppenbart.
Maskinläsbar märkning (50.2). AI-genererad text, bild, ljud och video ska vara märkt så att den kan upptäckas som AI-genererad, till exempel med vattenstämpel eller metadata. Kravet riktar sig till verktygsleverantören, inte till bolaget. Generativa verktyg som fanns på marknaden före 2 augusti 2026 har till 2 december 2026 på sig. Enkel redigering, som rättstavning, omfattas inte.
Deepfakes (50.4). AI-bilder, AI-ljud och AI-video som föreställer verkliga personer, platser eller händelser och kan uppfattas som äkta ska märkas av bolaget som publicerar dem. Är innehållet uppenbart konstnärligt eller satiriskt räcker en diskret upplysning.
AI-text (50.4). AI-genererad text som ska informera allmänheten i frågor av allmänt intresse ska märkas. Det gäller inte om en redaktör har granskat texten och bolaget eller om en person bär det redaktionella ansvaret.
Hur upplysningen ges (50.5). Upplysningen ska vara tydlig, komma senast när läsaren eller användaren först möter innehållet och fungera även för den som till exempel använder skärmläsare.
Känsloigenkänning (50.3). Den som använder AI för att tolka människors känslor eller kategorisera dem utifrån biometri ska informera de berörda. Detta är sällan aktuellt för börsbolag.
Syftet med artikel 50 är att den som interagerar med bolagets AI, eller material skapat med AI, inte ska vilseledas av materialet eller konversationen. Bolaget behöver hålla koll på var användningen av AI syns utåt, till exempel en chatt på webbplatsen, AI-genererade bilder och videor eller texter som tagits fram med AI-stöd. En chatt behöver en tydlig upplysning redan när den öppnas, till exempel genom att kallas "AI-assistent". För texter räcker det att en utsedd person granskar och godkänner dem före publicering, och att den granskningen går att visa i efterhand.
Bilder och videor som föreställer verkliga personer eller händelser och kan uppfattas som äkta behöver en synlig märkning nära innehållet, till exempel en bildtext. Det räcker inte att märkningen bara ligger i filens metadata. Andra AI-bilder, som illustrationer eller stiliserade omslagsbilder, behöver ingen synlig märkning. För dem räcker det att verktyget har märkt bilden maskinläsbart. Det är också klokt att kontrollera att AI-verktygen bolaget använder märker sitt innehåll. Sådan märkning försvinner ibland när bilder laddas upp i ett publiceringssystem.
Artikel 99: sanktioner
Artikel 99 anger hur höga sanktionsavgifter ett bolag kan få om det bryter mot förordningen. Avgifterna är indelade i tre nivåer efter hur allvarlig överträdelsen är. För ett börsbolag som använder AI i sin kommunikation är det främst den mellersta nivån som är aktuell, eftersom den omfattar transparenskraven.
| Överträdelse | Högsta sanktionsavgift |
|---|---|
| Förbjuden AI (artikel 5) | 35 miljoner euro eller 7 % av global årsomsättning |
| Övriga skyldigheter, bland annat transparenskraven i artikel 50 | 15 miljoner euro eller 3 % av global årsomsättning |
| Felaktig, ofullständig eller vilseledande information till myndighet | 7,5 miljoner euro eller 1 % av global årsomsättning |
Beloppen är tak. För de flesta stora bolag väntas det högre av beloppet och procentsatsen gälla, medan för små och medelstora företag kan sanktionerna bli lägre. Inom ramen för översynen väger myndigheten in bland annat hur allvarlig överträdelsen är, hur länge den pågått och hur väl bolaget samarbetar.
Det här kommer att gälla i framtiden
Utöver de krav som redan gäller finns regler som börjar gälla de kommande åren. De rör högrisksystem, den risknivå som har de mest omfattande kraven. För de flesta börsbolag är det inte akut, men ett AI-system som köps in eller byggs i dag kan fortfarande vara i drift när reglerna börjar gälla.
Artikel 6: högrisksystem
Artikel 6 har två bilagor som avgör om ett AI-system är högrisk. Ett system kan bli högrisk på två sätt:
Bilaga I: AI i reglerade produkter. AI som är en säkerhetskomponent i, eller själv utgör, en produkt som redan omfattas av EU:s produktsäkerhetsregler och måste granskas av en extern part, till exempel medicinteknik, maskiner eller hissar.
Bilaga III: AI inom känsliga områden. AI som används inom områden där beslut kan påverka människors liv och rättigheter. Hit hör bland annat rekrytering och personalbeslut, kreditbedömning av privatpersoner, prissättning av liv- och sjukförsäkringar, utbildning och kritisk infrastruktur.
För ett börsbolag kan det handla om ett verktyg som rangordnar jobbsökande, en bank som låter AI avgöra vem som får lån eller ett medicinteknikbolag med AI i sina produkter. Ett system inom ett bilaga III-område kan ändå undantas, om det bara utför en snäv eller förberedande uppgift och inte påverkar utfallet av beslutet. Undantaget gäller aldrig system som profilerar enskilda personer, och den som använder undantaget måste dokumentera sin bedömning. Kraven gäller från 2 december 2027 för bilaga III och från 2 augusti 2028 för bilaga I.
Artikel 16 och 26: skyldigheter vid högrisk
Vid högrisk syns skillnaden mellan rollerna tydligast. Leverantören är det företag som utvecklar AI-systemet och säljer det under sitt eget namn, till exempel ett mjukvaruföretag som säljer ett rekryteringsverktyg. Enligt artikel 16 ska leverantören se till att systemet uppfyller kraven innan det släpps ut. Det innebär bland annat att:
ha ett system för att hantera risker under hela systemets livstid
säkerställa att data som systemet tränats på är relevant och tillräckligt representativ
ta fram teknisk dokumentation och en bruksanvisning
bygga in inloggning och möjlighet till mänsklig tillsyn
ha ett kvalitetsledningssystem
genomgå en bedömning av överensstämmelse, CE-märka systemet och registrera det i EU:s databas
Tillhandahållaren är det bolag som köper in systemet och använder det i sin verksamhet, till exempel ett börsbolag som låter rekryteringsverktyget sortera sina jobbansökningar. Enligt artikel 26 ansvarar tillhandahållaren för hur systemet används. Bolaget ska bland annat:
använda systemet enligt leverantörens bruksanvisning
låta personal med rätt kompetens och befogenhet övervaka systemet
se till att de uppgifter bolaget själv matar in är relevanta för ändamålet
spara systemets loggar i minst sex månader
informera de anställda innan systemet tas i bruk på arbetsplatsen
informera de personer som berörs av beslut som systemet medverkar till
kontakta leverantören och tillsynsmyndigheten om systemet orsakar risker eller allvarliga incidenter
Artikel 25: när ett bolag blir leverantör
Rollerna är dock inte låsta. Enligt artikel 25 räknas en tillhandahållare som leverantör, och tar över hela leverantörsansvaret, om bolaget:
sätter sitt eget namn eller varumärke på ett högrisksystem som någon annan har utvecklat
gör en väsentlig ändring i ett högrisksystem, så att det fortfarande är högrisk
använder ett AI-system för ett nytt ändamål som gör det till högrisk, till exempel en vanlig AI-assistent som börjar användas för att bedöma jobbsökande eller kreditvärdighet
Regeln gäller bara högrisksystem. Ett bolag som sätter sitt varumärke på en vanlig IR-chatt blir inte leverantör i den här bemärkelsen. Den som utvecklade systemet från början räknas inte längre som leverantör av den ändrade versionen, men ska hjälpa den nya leverantören med information och dokumentation. Rollen avgörs av vad bolaget faktiskt gör, så ett avtal som säger något annat ändrar inte rollen gentemot tillsynsmyndigheten. Därför är det värt att reda ut rollerna redan när ett AI-system köps in eller byggs, även om kraven börjar gälla först om några år.
Så förbereder ni er för kraven
Transparenskraven gäller redan, och högriskkraven närmar sig. Nedan listar vi fem åtgärder börsbolag bör göra idag:
Kartlägg var AI används. Gå igenom verksamheten, med särskilt fokus på det material blir offentligt: chattar, bilder, video och texter.
Fastställ rollen för varje användning. Avgör om bolaget är leverantör eller tillhandahållare, och var i avtalen ansvaret ligger. Var extra uppmärksam om ett högrisksystem lanseras under eget namn eller används för ett nytt ändamål.
Sätt rutiner för märkning och granskning. Se till att chattar upplyser om att de är AI, att AI-generat material märks tydligt och att AI-stödda texter granskas och godkänns av en utsedd person.
Kontrollera verktygen. Säkerställ att AI-verktygen märker sitt innehåll och att märkningen finns kvar hela vägen till publicering.
Dokumentera AI-kunnigheten. Utbilda personalen i de verktyg den använder och spara en enkel dokumentation av vad som har gjorts.
För de flesta börsbolag gäller AI-förordningen i dag främst hur AI används i kommunikationen, till exempel i chattar, bilder och texter. Bolag som reder ut roller och rutiner nu står också bättre rustade när högriskkraven börjar gälla.
AVA Corporate Communications hjälper börsnoterade bolag att översätta nya regelverk till konkreta arbetssätt, från AI-verktyg och rådgivning till finansiell kommunikation och IR. Kontakta oss för att diskutera hur vi kan stötta er i arbetet med AI-förordningen.
