AI-reglering i EU: vad utvecklare behöver veta

EU:s AI-förordning är nu i full tillämpning och påverkar alla som bygger eller integrerar AI-system. Riskklassificeringen avgör kraven: från minimala för spamfilter till omfattande för system inom rekrytering och kreditbedömning.

För högrisksystem krävs dokumenterad riskhantering, spårbarhet och mänsklig översyn. Även den som bara använder en tredjepartsmodell har skyldigheter.

Vårt råd: utse en ansvarig, inventera era AI-användningsfall och dokumentera från dag ett. Efterlevnad i efterhand är mångdubbelt dyrare.

För utvecklare i praktiken betyder förordningen framför allt spårbarhet. Vilka data tränades modellen på? Vilka utvärderingar gjordes? Vem godkände driftsättningen? Frågor som tidigare besvarades med en axelryckning kräver nu dokumenterade svar – och de team som redan arbetar med versionshantering av modeller och data har ett rejält försprång.

Gränsdragningarna vållar fortfarande huvudbry. En chattbot för kundtjänst är lågriskklassad, men om samma bot börjar ge råd som påverkar kunders ekonomiska beslut kan klassningen ändras. Byggda system måste därför utvärderas mot faktisk användning, inte bara ursprunglig design – en process, inte en engångsövning.

För generativa modeller gäller särskilda transparenskrav: AI-genererat innehåll ska kunna identifieras, och leverantörer av grundmodeller måste redovisa träningsdata på övergripande nivå. Den som integrerar tredjepartsmodeller gör klokt i att kräva dokumentationen i avtalet – ansvaret följer med nedåt i kedjan.

Se inte regelverket enbart som börda. Flera bolag rapporterar att AI Act-arbetet tvingat fram inventeringar och kvalitetsprocesser de borde ha haft ändå – och att kunder i upphandlingar börjat fråga efter efterlevnad som konkurrensfördel.