Den vanligaste föreställningen är att "hög risk" betyder avancerad teknik. Att en enkel automatisering är ofarlig medan något som använder en stor språkmodell är farligt. Det är fel, och felet kostar tid åt båda hållen.
AI Act bryr sig inte om hur systemet är byggt. Den bryr sig om vad det används till, och vem som drabbas om det blir fel.
Fyra nivåer, inte tre
Lagen delar in system i fyra nivåer:
- Oacceptabel risk. Förbjudet sedan februari 2025. Social poängsättning, manipulativa system, oriktad ansiktsskrapning.
- Hög risk. Tillåtet men hårt reglerat. Rekrytering, kreditbedömning, biometrisk identifiering, kritisk infrastruktur.
- Begränsad risk. Kräver transparens. Chatbottar ska berätta att de är AI, och viss publicering av AI-genererat innehåll ska upplysas om. Vem ansvaret ligger på beror på er roll, mer om det nedan.
- Minimal risk. Majoriteten av alla AI-system. Spamfilter, automatiseringar, rekommendationer. Inga systemspecifika riskkrav enligt AI Act, men kravet på AI-kunnighet hos personalen gäller ändå, oavsett nivå.
De flesta system i ett litet företag hamnar på minimal nivå. Det är värt att säga högt, för debatten ger ofta ett annat intryck.
Så görs bedömningen
Ordningen är bestämd, och den är logisk:
- Först: är användningen förbjuden enligt artikel 5? Då stannar det där.
- Sedan: ligger systemet i ett område som Annex III pekar ut som högrisk? Rekrytering, kredit, utbildning, brottsbekämpning och några till.
- Om ja: gäller något undantag enligt artikel 6.3?
- Till sist: träffas systemet av transparenskraven i artikel 50?
Undantaget som många missar
Steg tre är det intressanta. Att ett system ligger i ett Annex III-område gör det inte automatiskt till hög risk. Artikel 6.3 finns för system som bara utför en snäv förberedande uppgift, eller förbättrar resultatet av något en människa redan gjort, utan att påverka själva beslutet.
Ett verktyg som sorterar ansökningar i bokstavsordning är inte samma sak som ett som rangordnar kandidater efter lämplighet. Det första är administration. Det andra bedömer människor.
Men undantaget är snävare än man hoppas. Profilering av fysiska personer diskvalificerar. Gör systemet en bedömning som påverkar beslutet är det hög risk, hur enkel tekniken än är.
Frågan är inte hur smart systemet är. Frågan är vad som händer med en människa om det har fel.
Och er roll då?
Risknivån är bara halva svaret. Den andra halvan är vilken roll ni har för just det systemet. Bygger ni det själva är ni leverantör och bär tyngst ansvar. Använder ni någon annans verktyg är ni tillhandahållare, vilket är den vanligaste rollen för svenska småföretag.
Samma företag kan ha olika roller för olika system. Därför görs bedömningen per system, varje gång.
Texten är allmän vägledning, inte juridisk rådgivning. Varje AI-system bedöms för sig.