AI-förordningen och harmoniserade standarder: den första är publicerad

En harmoniserad standard är en europeisk standard vars hänvisning publiceras i Europeiska unionens officiella tidning. Den som följer den presumeras uppfylla de krav standarden täcker, enligt kommissionens sida om harmoniserade standarder. EU-kommissionen har nu publicerat hänvisningen till den första sådana standarden för AI-förordningen. Arbetet för er handlar om att följa vilka standarder som kopplas till vilka krav.

Kort sagt

• Hänvisningen till den första harmoniserade standarden som stödjer AI-förordningen är publicerad i EU:s officiella tidning, enligt EU-kommissionen.
• Den som följer en harmoniserad standard presumeras uppfylla de krav standarden täcker, enligt kommissionen.
• Börja nu med ett kravregister där varje krav kopplas till bevis, ansvarig och, när den finns, en standard.

Vad har hänt med den första harmoniserade standarden?

EU-kommissionen skriver att den har publicerat hänvisningen till den första harmoniserade standarden som stödjer genomförandet av AI-förordningen i Europeiska unionens officiella tidning, EUT. Notisen ligger i kommissionens AI-bibliotek, och därifrån hittar ni vägen vidare till själva publiceringen.

Vad notisen säger

Enligt kommissionens notis gäller hänvisningen EN 18286:2026, en standard för kvalitetsledningssystem under AI-förordningen, och den publicerades genom genomförandebeslut (EU) 2026/2274. Presumtionen gäller artikel 17, kravet på att leverantörer av högrisksystem ska ha ett kvalitetsledningssystem. Notisen säger också att fler harmoniserade standarder förväntas följa, men inte vilka eller när.

Varför publiceringen i EUT är själva händelsen

Harmoniserade standarder tas fram av de europeiska standardiseringsorganisationerna efter en begäran från kommissionen. Först när hänvisningen publiceras i EUT ger standarden presumtion om överensstämmelse, enligt kommissionens sida om harmoniserade standarder. Innan dess är den ett tekniskt dokument bland andra.

Vad är en harmoniserad standard under AI-förordningen?

Lag, standard och vägledning

Förordningen anger vad ett högrisksystem ska uppnå: riskhantering, data av hög kvalitet, loggning, detaljerad dokumentation, tydlig information till den som använder systemet, mänsklig tillsyn samt robusthet, cybersäkerhet och noggrannhet, enligt kommissionens översikt över AI-förordningen. Standarden beskriver hur, i tekniska termer som går att granska. Vägledningar hjälper till med tolkningen men ger ingen presumtion.

Presumtion om överensstämmelse

Ett system som överensstämmer med en harmoniserad standard presumeras uppfylla de krav standarden täcker, enligt kommissionen. Granskaren utgår då från att kravet är uppfyllt så länge inget visar motsatsen. Presumtionen gäller krav för krav, och den sträcker sig aldrig längre än standarden själv.

Frivillig, med större bevisbörda för andra vägar

Det är frivilligt att följa en harmoniserad standard, enligt kommissionen. Standarden är ett frivilligt sätt att visa att kravet är uppfyllt. Väljer ni en annan lösning får ni själva visa att den uppfyller kravet, och det kräver mer egen dokumentation.

Vad betyder det för er i praktiken?

Om ni är leverantör av högrisk-AI

Kraven på själva systemet ligger på leverantören, enligt kommissionens översikt. Den första standarden avser bara kvalitetsledningssystemet i artikel 17, enligt kommissionens notis, och kan stödja just den delen av er tekniska dokumentation. Övriga högriskkrav, som loggning och mänsklig tillsyn, har ännu ingen harmoniserad standard att luta sig mot. Skriv ut vilka krav ni hävdar presumtion för och vilka ni visar på annat sätt, så att den som granskar ser gränsen direkt.

Om ni använder AI-system

Den som använder ett högrisksystem har egna skyldigheter, bland annat kring mänsklig tillsyn och uppföljning av hur systemet fungerar, enligt kommissionens översikt. De skyldigheterna ligger kvar hos er oavsett vilken standard leverantören följer. Standarden ger er däremot en konkret fråga att ställa till leverantören om hur kvalitetsledningssystemet är uppbyggt. Kravet på AI-kunnighet hos personalen löper parallellt, och helhetsbilden finns på sidan om AI-förordningen och AI-agenter: krav och tidsplan.

Offentlig sektor: upphandling och krav på leverantören

I en upphandling kan ni be leverantören redovisa vilka harmoniserade standarder systemet följer, för vilka krav, och hur övriga krav visas. Vår kravmall för upphandling av AI går att utgå från, och AI-förordningen i kommuner och myndigheter beskriver den offentliga vinkeln.

Hur börjar ni följa vilka standarder som hör till vilka krav?

Lägg upp ett kravregister. Ett kalkylblad räcker, så länge varje rad har:

• artikeln i förordningen
• kravet i klartext
• beviset ni kan visa i dag
• standarden som täcker kravet, eller en tom ruta tills en hänvisning finns
• ansvarig person och datum för senaste avstämning

Fyll sedan i raden för kvalitetsledningssystemet, som är den rad den första standarden täcker enligt kommissionens notis. De tomma rutorna är information i sig: där behöver ni egen bevisning eller en bevakning. Följ kommissionens AI-bibliotek och EUT för nya hänvisningar och ta in dem vid en fast avstämning, så att registret inte blir en ögonblicksbild som ingen öppnar igen. Vår checklista för EU AI Act ger kontrollpunkter att bygga registret på.

Hur ser dokumentation ut som håller vid en granskning?

En granskare vill i efterhand kunna se vad systemet föreslog, på vilket underlag, vem som godkände och när. Loggning av aktivitet och mänsklig tillsyn hör till kraven på högrisksystem, enligt kommissionens översikt.

Så kan ett sådant flöde byggas. Bokföringsagenten läser kvitton och fakturor och föreslår kontering, och inget bokförs förrän er ekonomiansvarige har godkänt förslaget. Dokumentsummeraren anger för varje punkt var i källan den står, vilket gör varje påstående kontrollerbart. Diarieföringen föreslår nämnd, handläggare och diarienummer, och en människa registrerar. De tre modulerna är demo, och ALEX arbetar i dag i Kapacitis egen verksamhet.

Allt ALEX gör skrivs in i en signerad logg med extern tidsstämpel som er revisor kan kontrollera själv, och här visar vi så verifierar ni en AI-logg själva. Hur delarna hänger ihop beskriver vi i så ser en arkitektur ut som tar regelverket på allvar. Registret säger vad som ska visas, och loggen är beviset raden pekar på.

Måste ni följa standarden, och räcker den?

Måste vi följa standarden?

Nej, den är frivillig enligt kommissionen. Den är däremot den mest direkta vägen till presumtion för de krav den täcker.

Räcker en standard för hela förordningen?

Nej. Presumtionen gäller bara de krav standarden täcker, enligt kommissionen. Övriga krav visar ni på annat sätt, och det är just de raderna i registret som behöver mest omsorg.

Var hittar jag primärkällan?

I kommissionens notis och i publiceringen i EUT som den hänvisar till. Det här är vägledning, och bedömningen i ert fall gör ni med er jurist.

Hur går ni vidare med er egen kartläggning?

Vill ni se hur spårbarhet och mänskligt godkännande kan byggas in mot ett kravregister beskriver sidan om AI i reglerade branscher hur vi tänker. Vill ni gå igenom ert eget läge kan ni boka ett samtal med oss. Alexander svarar senast nästa arbetsdag.

Källor

• EU-kommissionen: First harmonised standard supporting the AI Act published in the Official Journal (hämtad 19 oktober 2026)
• EU-kommissionen: AI Act, regulatory framework for AI (hämtad 19 oktober 2026)
• EU-kommissionen: Harmonised standards (hämtad 19 oktober 2026)