EU AI Actträder i kraft2 augusti 2026.
Bötesnivån är 35 MEUR eller 7 procent av global omsättning per icke-konformt high-risk-system. Vi tar er igenom sandbox-processen, från riskklassificering till färdig konformitetsbedömning.
kvar till 2 augusti 2026 då EU AI Act träder i kraft för high-risk-system.
i maxböter per icke-konformt high-risk-system, eller 7 procent av global omsättning. Det högsta av de två.
svenska AI-leverantörer har publicerat en verifierbar AI Act-metodik per maj 2026. Vi är de första.
Vad lagen kräver av er senast 2 augusti 2026.
Sex obligationer som varje high-risk-system måste uppfylla. Listan är hämtad direkt från förordningen, kommentarerna är vår tolkning av vad det innebär att bygga retroaktivt.
Riskhanteringssystem
Kontinuerlig identifiering, analys och mitigering av risker över hela livscykeln för varje high-risk-system.
Varför svårt att retrofitta: Kräver dokumenterad process från träningsdata till produktion. Omöjligt att rekonstruera retroaktivt utan källkontroll på alla led.
Datastyrning
Träningsdata, valideringsdata och testdata måste vara relevant, representativ och fri från bias för det avsedda syftet.
Varför svårt att retrofitta: Dataseparation och bias-revision går inte att lägga på i efterhand. Modellen måste ha sett rätt data från första körning.
Loggning och spårbarhet
Automatisk händelseloggning under hela driften med tillräcklig spårbarhet för revision i efterhand.
Varför svårt att retrofitta: Utan append-only audit-chain saknas tamper-evidence. Standardloggar i Postgres eller S3 räcker inte mot notified body.
Transparens mot användare
Tekniska instruktioner och dokumentation som låter operatörer förstå systemets förmåga, begränsningar och risker.
Varför svårt att retrofitta: Modell-cards och prompt-loggar måste vara läsbara för icke-tekniska compliance-team. Få system har det idag.
Mänsklig översikt
Systemet ska vara designat så att fysiska personer kan förstå output och ingripa när det behövs.
Varför svårt att retrofitta: Kräver UI för human-in-the-loop, eskaleringsvägar och voice-validation av utgående svar. Behöver byggas in i pipelinen, inte bredvid.
Robusthet, noggrannhet, cybersäkerhet
Systemet ska prestera konsekvent, vara motståndskraftigt mot fel och skyddat mot adversariella attacker.
Varför svårt att retrofitta: Hallucination-guard, prompt-injection-skydd och stabilitetstester måste vara del av deploy-pipen, inte ad-hoc patchar.
Vad vi har byggt sedan 2024.
Pipelinen är AI Act-redo från dag ett. Det är inte en marknadsföringsfras, det är fyra tekniska val vi gjorde innan förordningen var färdigförhandlad.
Append-only hash-chain audit per kund
Vad det gör. Varje prompt, varje verktygskall och varje svar skrivs till en kryptografiskt länkad logg, isolerad per kund-tenant.
Vad det löser. Tamper-evidence för notified body-revision. Varje rad har hash av föregående rad, så manipulation upptäcks omedelbart.
Hårt att bygga retroaktivt. Att retrofitta detta i en befintlig pipeline kräver att samtliga händelser rinner genom samma append-only kärna. Det är en arkitekturell omskrivning, inte en patch.
Voice-validation och hallucination-guard
Vad det gör. Varje utgående svar valideras mot en domän-specifik voice-profil och en faktagrund. Avvikelser blockeras eller flaggas för granskning.
Vad det löser. Mänsklig översikt blir verkställbar i realtid. Robusthetskravet på noggrannhet får ett mätbart tröskelvärde.
Hårt att bygga retroaktivt. Validatorerna måste tränas på kundens egen data och språkstil. Generiska guards fångar inte branschspecifika fel.
Multi-tenant sandbox-isolation
Vad det gör. Kundens data, prompts, embeddings och modellvikter ligger i en isolerad tenant. Ingen cross-leak mellan kunder.
Vad det löser. Datastyrning och konfidentialitet kan demonstreras med teknisk evidens, inte bara policy.
Hårt att bygga retroaktivt. Multi-tenancy som bygger på namespace i en delad databas räknas inte som isolering vid revision. Kräver fysisk eller kryptografisk separation från grunden.
On-prem och EU-cloud deployment
Vad det gör. Hela stacken kan köra i kundens egen miljö, eller på EU-suverän cloud. Inga US-vendorer i kritiska led.
Vad det löser. Data lämnar inte Sverige eller EU. Compliance med dataresidens utan kompromisser i prestanda.
Hårt att bygga retroaktivt. Kräver att modellinferens, audit-store och vector-search alla finns i versioner som klarar luftgapad drift. De flesta moderna AI-stackar gör det inte.
Sandbox-processen i fyra steg.
Sex veckor från kontraktsstart till färdig konformitetsbedömning för ett enskilt system. Parallellt körschema för portföljer.
Riskklassificering
Vi går igenom era system mot Annex III och avgör vilka som faller under high-risk. Ni får en skriftlig klassificering att ta till styrelsen.
Vecka 1Sandbox-deployment
Era system flyttas in i vår sandbox-miljö, isolerade per tenant. Inga produktionseffekter, inga datadelningar utåt.
Vecka 2 till 3Konformitetstest
Audit-trail valideras, bias mäts, robusthet stresstestas, transparens-dokumentation produceras. Ni får en gap-rapport per artikel.
Vecka 3 till 5Konformitetsbedömning
Vi paketerar dokumentation, testresultat och teknisk evidens i ett format som notified body kan revidera. Sista steget är ert scoping-samtal med revisorn.
Vecka 5 till 6Det vi inte gör.
Det är lika viktigt att vara tydlig med var vår kompetens slutar. Här är fyra saker vi inte säljer in, och vart ni istället ska vända er.
Vi är inte juridisk rådgivning.
Vi kan arkitekturen och evidenskedjan, men inte den legala tolkningen. För kontraktsrätt och tvister rekommenderar vi Setterwalls, Mannheimer Swartling eller Cirio.
Vi är inte notified body.
Vi förbereder er för revision, vi gör inte revisionen. RISE väntar på godkännande som notified body i Sverige. Vi paketerar er evidens så att den revisionen blir kort.
Vi gör inte one-shot consulting.
En PowerPoint som beskriver compliance gör er inte compliant. Vi bygger infrastruktur som finns kvar efter kontraktet och som producerar ny evidens varje dag.
Vi lovar inte att alla system passerar.
Om ett system inte är möjligt att göra konformt säger vi det rakt ut. Det är billigare att stänga av tidigt än att betala 35 MEUR senare.
Frågor vi får från ledningsgrupper.
Hittar ni inte svaret? Skriv till oss så svarar vi inom en arbetsdag.
01Hur garanterar ni att data inte lämnar Sverige?+
02Vad händer om EU AI Act ändras?+
03Kan vi göra detta på egen hand?+
04Vad kostar detta?+
05Hur lång tid tar processen?+
06Vilka branscher har ni jobbat med?+
07Vad händer om notified body underkänner ett system?+
Boka 30 min med en av våra arkitekter.
Vi går igenom era tre största risker mot EU AI Act, och vad ni kan börja stänga den här veckan.
Vad ni får ut av samtalet
- 01En kort klassificering av vilka av era system som är high-risk under Annex III.
- 02De tre största gap mot konformitet, prioriterade efter bötesexponering.
- 03Ett uppskattat tidsspann och kostnadsspann för sandbox-processen baserat på er portfölj.