De flesta som läser om AI Act börjar i fel ände. De frågar vad lagen kräver, innan de vet vilken roll de har. Men i AI Act hänger nästan varje skyldighet på en enda sak: om ni har byggt systemet eller bara använder det.
Samma verktyg, i samma användning, kan ge helt olika krav beroende på var i värdekedjan ni står. Därför är rollen det första ni behöver reda ut. Före risknivån, och före allt annat.
Fyra roller, två som är vanliga
AI Act delar in aktörerna i fyra roller. För ett litet eller medelstort företag är det egentligen två som spelar roll.
- Leverantör (provider). Ni utvecklar ett AI-system, eller släpper det under eget namn eller varumärke. Det är rollen med tyngst ansvar i hela lagen.
- Tillhandahållare (deployer). Ni använder ett AI-system i verksamheten som någon annan har byggt. Det här är den vanligaste rollen för svenska småföretag, och nästan alltid den ni har.
- Importör och distributör. Ni för in ett system till EU från ett land utanför unionen, eller säljer det vidare. Deras uppgift är i huvudsak att kontrollera att leverantören har gjort sitt.
Använder ni ChatGPT, ett CRM som poängsätter leads eller ett bokföringsprogram som föreslår konteringar, är ni tillhandahållare av de systemen. Leverantör är OpenAI, respektive den som byggt verktyget.
Varför rollen avgör allt
Skillnaden i ansvar är stor, och det är just därför distinktionen är värd att förstå. Leverantören bär kraven på hur systemet byggs. Tillhandahållaren bär kraven på hur det används.
För ett högrisksystem ser fördelningen ut så här:
| Leverantör (provider) | Tillhandahållare (deployer) | |
|---|---|---|
| Vad rollen är | Utvecklar systemet eller släpper det under eget namn | Använder systemet i sin verksamhet |
| Vanlig för svenska SME? | Ovanligt | Ja, nästan alltid |
| Kärnkrav vid hög risk | Riskhantering, teknisk dokumentation, inbyggd mänsklig tillsyn, CE-märkning och registrering i EU-databasen (artiklarna 9 till 49) | Använda enligt anvisning, utse mänsklig tillsyn, bevara loggar, informera arbetstagare och berörda personer (artikel 26) |
| Dokumentationen | Tar fram den | Begär in den och sparar den |
| AI-kunnighet (artikel 4) | Gäller | Gäller |
Transparenskraven, där de flesta får fel
Ingenstans blir rollfördelningen så missförstådd som i artikel 50, transparenskraven. De börjar gälla 2 augusti 2026, och de ligger på olika roller beroende på stycke.
Så här fördelas de:
| Krav | Vem ansvarar | Vad det betyder |
|---|---|---|
| Berätta att det är AI (50.1) | Leverantören | Systemet ska utformas så att den som möter en chatbot förstår att det är AI |
| Märka AI-genererat innehåll (50.2) | Leverantören | Utdata ska märkas maskinläsbart av den som byggt verktyget |
| Känsloigenkänning (50.3) | Tillhandahållaren | Informera de personer som exponeras för systemet |
| Deepfakes och samhällsinformation (50.4) | Tillhandahållaren | Upplys om deepfakes, och om AI-text som publiceras för att informera allmänheten i frågor av allmänt intresse |
Läs den andra raden en gång till. Kravet att märka AI-genererat innehåll ligger på leverantören, inte på er som använder verktyget. Det betyder att ett företag som låter ChatGPT skriva annonstext, produktbeskrivningar eller kundmejl inte har någon upplysningsplikt enligt AI Act. Marknadsföring är inte att informera allmänheten i frågor av allmänt intresse.
Det är en av de vanligaste missuppfattningarna, och den drar åt fel håll. Företag lägger tid på att märka nyhetsbrev som inte behöver märkas, och missar att de i stället ska verifiera att chatbottens leverantör har byggt in upplysningen.
Fråga inte i första hand vad AI Act kräver. Fråga vilken roll ni har. Svaret på det andra ger svaret på det första.
När en tillhandahållare blir leverantör utan att veta det
Rollen är inte huggen i sten. Enligt artikel 25 kan en tillhandahållare bli leverantör, med allt tyngre ansvar det för med sig, i tre situationer:
- Ni sätter ert eget namn eller varumärke på ett högrisksystem som redan finns på marknaden.
- Ni gör en väsentlig modifiering av ett högrisksystem, så att det förändras men fortfarande är högrisk.
- Ni ändrar vad ett system ska användas till, så att det blir ett högrisksystem trots att det inte var det innan.
Det tredje är lättast att snubbla på. Bygger ni ihop ett eget verktyg ovanpå en språkmodell och riktar det mot rekrytering eller kreditbedömning, kan ni ha blivit leverantör av ett högrisksystem utan att ha skrivit en rad egen AI-kod. Det är inget att vara rädd för, men det är något att veta om innan ni gör det.
Samma företag kan ha flera roller
Ni har inte en roll. Ni har en roll per system. Samma företag kan vara tillhandahållare av en chatbot, tillhandahållare av ett bokföringsverktyg och leverantör av ett eget verktyg ni byggt internt, samtidigt, med olika krav för var och en.
Därför görs bedömningen alltid per system. Börja med att skriva ner vilka AI-system ni har, och avgör rollen för ett i taget. När rollen är klar faller det mesta andra på plats.
Texten är allmän vägledning, inte juridisk rådgivning. Varje AI-system bedöms för sig.