AI Act-checklista. 22 kontrollpunkter för AI-förordningen.
Den här checklistan för AI Act ger 22 kontrollpunkter ur AI-förordningen, var och en kopplad till sin artikel och med det som räcker som bevis. Markera varje punkt På plats, Delvis eller Saknas. Förbuden och kravet på AI-kunnighet gäller redan. Högriskkraven gäller från 2 december 2027 för bilaga III och 2 augusti 2028 för bilaga I.
Datumen för högriskkraven kommer ur förordning (EU) 2026/1744 av den 8 juli 2026, som ändrar förordning (EU) 2024/1689 och trädde i kraft 27 juli 2026. Kraven i kapitel III gäller från 2 december 2027 för system enligt artikel 6.2 och bilaga III, och från 2 augusti 2028 för system enligt artikel 6.1 och bilaga I. Källan läst 2026-09-30.
Vad är AI-förordningen?
AI-förordningen (EU AI Act, förordning (EU) 2024/1689) är EU:s lag om AI-system. Den delar in system efter risk och ställer krav på den som utvecklar ett system (leverantör) och den som använder det i sin verksamhet (tillhandahållare). Checklistan nedan följer artiklarna i den ordning en granskning brukar gå.
Vill ni först veta vad förordningen betyder för en AI-agent i administrationen står det under vad AI-förordningen kräver när ni inför en AI-agent. En första riskklass per system, som underlag till punkt 02, får ni med vårt verktyg för riskklass enligt AI Act.
Så använder ni checklistan
Tjugotvå kontrollpunkter kopplade till förordningens artiklar, för svenska bolag som bygger eller använder AI och vill veta var de står. Checklistan är ingen juridisk rådgivning. Gå igenom den med den som äger tekniken och den som äger regelefterlevnaden, och räkna hur många punkter som saknas.
Här står punkterna på svenska, med lagtextens svenska termer, till exempel tillhandahållare, lagens ord för den som använder ett system.
På plats
Det finns underlag, det är granskat och det har ett datum.
Delvis
Arbetet är påbörjat men inte klart eller inte kontrollerat.
Saknas
Inget är gjort, eller bara i någons huvud.
Klassificering och riskhantering (artikel 5, 6, 9)
Klassificeringen avgör vilka av de andra punkterna som gäller er. Den görs först, per system, och skrivs ned.
Punkt 01: Förteckning över alla AI-system ni utvecklar eller använder, med syfte, datakällor och vem som använder dem.
Det här räcker som bevis: En förteckning med ett system per rad, en namngiven ägare per system och datum för senaste genomgång.
Punkt 02: Skriftlig bedömning per system: förbjuden användning, högrisk, transparenskrav eller ingen särskild skyldighet. Ange också om systemet bygger på en generell AI-modell.
Det här räcker som bevis: En daterad bedömning per system med motivering mot bilaga III och namnet på den som gjorde den.
Punkt 03: Bedömer ni att ett system i bilaga III inte är högrisk ska bedömningen dokumenteras innan systemet tas i bruk.
Det här räcker som bevis: Bedömningen, daterad före driftstart, och registreringen av systemet i EU:s databas enligt artikel 49.2.
Punkt 04: Ett system för riskhantering är infört, dokumenterat och följer varje högrisksystem under hela livscykeln.
Det här räcker som bevis: Ett riskregister som hålls uppdaterat, med ansvarig, åtgärd och datum per risk.
Punkt 05: Risker för hälsa, säkerhet och grundläggande rättigheter är identifierade och analyserade per högrisksystem, även vid felanvändning som rimligen kan förutses.
Det här räcker som bevis: Riskanalysen per system, med de scenarier ni har prövat och vem som prövade dem.
Punkt 06: Systemet testas innan det släpps ut eller tas i bruk, mot mått och tröskelvärden som är bestämda i förväg.
Det här räcker som bevis: Testprotokoll med mått, tröskelvärden och utfall, daterade före driftstart.
Data och bias (artikel 10)
Kraven på data gäller system som tränas med data. Används ingen träning gäller de testdatan.
Punkt 07: Tränings-, validerings- och testdata är relevanta, representativa och så felfria som möjligt för ändamålet.
Det här räcker som bevis: En beskrivning per dataset med ursprung, urval, storlek och kända brister.
Punkt 08: Hanteringen av data är beskriven: var den kommer ifrån, hur den samlades in och förbereddes, och för vilket ändamål personuppgifter ursprungligen samlades in.
Det här räcker som bevis: En databeskrivning som följer datan från källa till modell, med datum.
Punkt 09: Datan är granskad för bias som kan påverka hälsa, säkerhet eller grundläggande rättigheter, och det finns åtgärder för att upptäcka, förebygga och minska den.
Det här räcker som bevis: Biasgranskningen med datum, vilka grupper och egenskaper som prövades och vilka åtgärder som vidtogs.
Punkt 10: Datan speglar den geografiska, sammanhangsmässiga och funktionella miljö där systemet ska användas.
Det här räcker som bevis: En jämförelse mellan datan och miljön där systemet används, till exempel språk, region och användargrupp.
Dokumentation och loggning (artikel 11, 12, 19, 21)
Det som hände ska gå att följa i efterhand, både hur systemet byggdes och vad det gjorde i drift.
Punkt 11: Teknisk dokumentation enligt bilaga IV finns innan systemet släpps ut eller tas i bruk, och hålls uppdaterad. Små och medelstora företag får lämna delar av den i förenklad form.
Det här räcker som bevis: Dokumentationen med versionshistorik: systembeskrivning, data, prestanda och riskhantering.
Punkt 12: Systemet loggar händelser automatiskt under hela livstiden så att varje beslut kan spåras i efterhand, och loggarna sparas i minst sex månader.
Det här räcker som bevis: Ett loggutdrag för ett verkligt beslut och den regel som styr hur länge loggarna sparas.
Punkt 13: Dokumentation och loggar kan lämnas ut i läsbar form när en behörig myndighet begär det.
Det här räcker som bevis: En provexport som någon utanför teknikteamet har kunnat läsa.
Punkt 14: Varje AI-komponent är beskriven med prestanda, kända begränsningar och avsedd användning.
Det här räcker som bevis: En beskrivning per komponent med datum och den version av modellen som beskrivningen gäller.
Mänsklig tillsyn (artikel 14, 26)
En människa ska kunna se vad systemet gör, förstå det och stoppa det. Det är lättast att bygga in från början.
Punkt 15: Varje högrisksystem har en namngiven person med kompetens, utbildning och befogenhet att övervaka, åsidosätta och stoppa systemet.
Det här räcker som bevis: Ett beslut om vem som har tillsynen, med befogenheterna utskrivna.
Punkt 16: Den som övervakar kan se vad systemet gör, förstå dess begränsningar och välja att inte använda, ändra eller upphäva resultatet.
Det här räcker som bevis: En skärmbild av gränssnittet där ett förslag kan ändras eller avvisas.
Punkt 17: Systemet kan avbrytas så att det stannar i ett säkert läge, och avbrottet är provat.
Det här räcker som bevis: Protokoll från ett avbrott som gjordes på prov, med datum och utfall.
Punkt 18: Systemet används enligt bruksanvisningen, driften följs upp och leverantören får veta när något ser fel ut.
Det här räcker som bevis: Rutinen för uppföljning och en logg över avvikelser som rapporterats till leverantören.
Robusthet, cybersäkerhet och incidenter (artikel 15, 73)
Systemet ska hålla för fel och för försök att manipulera det, och allvarliga incidenter ska rapporteras. Här behöver säkerhetsansvarig vara med från början.
Punkt 19: Systemet är testat mot manipulerade träningsdata, manipulerad indata (prompt injection) och angrepp mot sekretessen.
Det här räcker som bevis: En testrapport med angreppstyper, datum och utfall.
Punkt 20: Hur träffsäkert systemet är, och med vilka mått det mäts, står i bruksanvisningen.
Det här räcker som bevis: Avsnittet i bruksanvisningen med måtten och den mätning de bygger på.
Punkt 21: Systemet tål fel och avbrott, och det finns en reservrutin för när det inte svarar eller svarar fel.
Det här räcker som bevis: Reservrutinen och ett prov där den användes.
Punkt 22: Allvarliga incidenter rapporteras till marknadskontrollmyndigheten senast 15 dagar efter att ni fått kännedom om dem, och rutinen är känd internt.
Det här räcker som bevis: Incidentrutinen med vem som rapporterar, till vem och inom vilken tid.
Så läser ni resultatet
Räkna punkterna som står på Saknas.
Ni har en bra grund. Se till att underlaget är daterat, versionerat och går att visa för någon utanför teknikteamet.
Det finns arbete kvar. Börja med data och teknisk dokumentation, som är svårast att ta fram i efterhand.
Börja med punkt 01 och 02. Har ni ett högrisksystem i bilaga III gäller kraven från 2 december 2027.
Läs mer om vad AI-förordningen kräver av svenska bolag och om den svenska regulatoriska sandlådan.
Ska ni köpa in ett AI-system är punkterna om loggar och mänsklig kontroll bra krav att ställa redan i förfrågan. Vår kravmall för att upphandla AI har krav på loggar och insyn att utgå från. Hur loggen signeras och kontrolleras beskriver vi i texten om en logg som går att verifiera, och vad ett införande kostar under vad kostar en AI-agent.
Vill ni ha den som PDF att fylla i? Vi mejlar den.
Samma 22 punkter på åtta sidor, med rutor för På plats, Delvis och Saknas och en sida för resultatet. Skriv ut den inför genomgången.
Har ni frågor om en punkt kan ni svara på mejlet. Vi svarar senast nästa arbetsdag.
Vanliga frågor om AI Act och checklistan
När gäller AI-förordningen?
Förordningen trädde i kraft 1 augusti 2024 och börjar tillämpas i etapper. Förbuden och kravet på AI-kunnighet gäller sedan 2 februari 2025, reglerna för AI-modeller för allmänna ändamål sedan 2 augusti 2025, och de flesta övriga regler, bland annat transparenskraven i artikel 50, sedan 2 augusti 2026. Generativa system som släpptes ut före det datumet har till 2 december 2026 på sig att märka sitt innehåll enligt artikel 50.2, och de två förbud som ändringen lade till, mot AI som skapar sexuella bilder av verkliga personer utan samtycke och mot material med sexuella övergrepp på barn, gäller från samma dag. Högriskkraven gäller från 2 december 2027 för system i bilaga III och från 2 augusti 2028 för system i bilaga I, enligt förordning (EU) 2026/1744.
Gäller AI-förordningen vårt företag?
Utvecklar eller använder ni AI-system i EU gäller den er i någon del. Hur mycket beror på vad systemen gör. Ett system som hjälper till att skriva mejl har få skyldigheter, medan ett system i bilaga III, till exempel för rekrytering, kreditprövning eller bedömning av rätt till offentliga förmåner, är högrisk. Punkt 01 och 02 i checklistan ger svaret per system.
Vad betyder efterlevnad av AI Act?
Att ni uppfyller de krav i AI-förordningen som gäller för er roll och era system, och kan visa det med underlag. För de flesta bolag handlar det om en förteckning över systemen, en daterad riskbedömning per system, åtgärder för personalens AI-kunnighet och öppenhet mot den som möter en AI. Checklistan samlar det underlaget i 22 punkter. Den ger inget intyg, och ingen leverantör kan intyga efterlevnad åt er.
Hur klassificerar vi våra AI-system enligt AI Act?
Gå system för system. Kontrollera först att användningen inte är förbjuden enligt artikel 5. Pröva sedan om systemet hör till ett område i bilaga III eller är en säkerhetskomponent i en produkt under bilaga I. Talar systemet med människor eller skapar text, bild eller ljud gäller öppenhetskraven i artikel 50. Punkt 01 till 03 i checklistan är till för att skriva ned bedömningen med datum.
Finns checklistan som PDF?
Ja. Samma 22 punkter på åtta sidor, med rutor för På plats, Delvis och Saknas och en sida för resultatet. Den är gratis och vi mejlar den till er.
Vad är skillnaden mellan leverantör och tillhandahållare?
Leverantören utvecklar ett AI-system, eller låter utveckla det, och släpper ut det på marknaden i eget namn. Tillhandahållaren använder systemet i sin verksamhet under eget ansvar. Ett bolag som köper in ett AI-system och använder det är tillhandahållare. Den som sätter sitt namn på ett högrisksystem eller ändrar det väsentligt kan bli leverantör enligt artikel 25.
Är en AI-agent ett högrisksystem?
Det beror på vad agenten används till. En agent som förbereder svar på kundmejl eller föreslår kontering av kvitton hör inte till bilaga III. En agent som sorterar jobbansökningar eller bedömer kreditvärdighet gör det. Punkt 02 och 03 är till för att skriva ned den bedömningen.
Behöver vi ett anmält organ?
Oftast inte. För de flesta högrisksystem i bilaga III gör leverantören bedömningen av överensstämmelse själv genom intern kontroll (artikel 43.2). Ett anmält organ krävs för biometriska system i bilaga III punkt 1 när harmoniserade standarder inte tillämpas fullt ut, och för produkter under bilaga I enligt de regler som redan gäller för produkten.
Vad händer om vi inte följer förordningen?
Sanktionsavgiften kan bli upp till 35 miljoner euro eller 7 procent av den globala årsomsättningen för förbjuden användning, och upp till 15 miljoner euro eller 3 procent för de flesta andra skyldigheter. För små och medelstora företag gäller det lägre av beloppen (artikel 99). I juni 2026 gav regeringen Post- och telestyrelsen, Integritetsskyddsmyndigheten, Finansinspektionen, Läkemedelsverket och Swedac i uppdrag att vara behöriga myndigheter enligt förordningen.
Gå igenom resultatet ihop.
30 minuter med oss, inga bilder, bara er checklista och vad den betyder.
Checklistan är ingen juridisk rådgivning. Artiklarna länkar till förordning (EU) 2024/1689 på EUR-Lex. Källorna lästa 30 september 2026.