Tillsynen av EU:s AI-förordning har börjat

Vid sin pressbriefing den 1 september 2026 bekräftade EU-kommissionen att de första informationsförfrågningarna hade skickats till fler än 30 AI-bolag, om säkerhet samt upphovsrätt och transparens. Det bekräftar kommissionens uttalande, inte att bolagen har brutit mot lagen. Informationsförfrågningar ska inte beskrivas som beslutade böter.

AI-förordningens högsta sanktionsnivå kan nå 35 miljoner euro eller 7 procent av global årsomsättning för vissa överträdelser; den gäller inte generellt för varje GPAI-brist. Men boten är inte det viktiga. Det viktiga är att dokumentationen nu är bevis: det som förut var en intern pärm är något en myndighet kan begära in.

De flesta bolag jag möter kan beskriva vad deras AI-system ska göra. Betydligt färre kan visa vad det faktiskt gjorde — vilka beslut det fattade, på vilka data, och var en människa gick in.

Gör en ärlig inventering. Varje AI-system som används, byggt eller inköpt, och vilken roll ni har för respektive system: leverantör eller användare. Leverantörernas verktyg räknas.

Välj de tre system som ligger närmast en människas liv — rekrytering, kredit, vård, prissättning — och be om spårbarheten, inte demon. Om ingen kan visa den på en vecka är det er iakttagelse, inte myndighetens.

Behandla AI-kunskap som en ledningsfråga, inte en utbildningspost. En styrelse som inte kan ställa en svår fråga om en modell kan inte heller styra den.

Reglering bromsar inte förändring — otydligt ägarskap gör det. När jag ledde det digitala på Coop gick de projekt snabbast där någon kunde förklara exakt vad ett system gjorde och vem som ansvarade för det.

Behöver ledningsgruppen en gemensam bild av vad AI-förordningen kräver? Börja med en AI-föreläsning om ledarskap och fortsätt med AI-rådgivning kring de system som ligger närmast era kunder.

Innan ni köper ännu ett verktyg för regelefterlevnad, skilj på två frågor: vilka skyldigheter gäller för just denna användning, och vilket underlag kan organisationen faktiskt ta fram? Be juristerna bedöma det första och systemägaren visa det andra. En mapp märkt regelefterlevnad bör inte ersätta någon av de övningarna.

Gå igenom ett verkligt beslut steg för steg. Identifiera indata, systemversion, resultat, personen med mandat att granska och vägen för att ifrågasätta beslutet. Markera saknat underlag uttryckligen i stället för att fylla luckorna med en beskrivning av hur processen borde fungera i teorin.

Avvägningen står mellan att samla allt och att samla det som fyller ett bestämt syfte. Förankra åtkomst, lagringstid och ansvar hos berörda specialister. Fler loggar bör inte bli en ursäkt för att samla in onödiga personuppgifter.

Behandla det som en fråga att reda ut, inte ett antagande i inköpsprocessen. Fråga leverantören vilket ansvar den tar, vilket underlag den lämnar och vad som händer när modellen ändras. Låt jurister pröva ansvarsfördelningen mot er faktiska användning, i stället för att se avtalet som bevis på efterlevnad.

Vad bör styrelsen få? En kort lista över olösta beslut, namngivna ansvariga och underlag som fortfarande saknas. Styrelseuppdraget på Göta kanal ger ett relevant styrelseperspektiv; AI-rådgivning kan hjälpa till att prioritera, utan att ersätta juridisk rådgivning om det enskilda systemet.