Måste ni kunna visa att personalen har AI-kunnighet

Vad artikel 4 faktiskt säger efter juli

Skyldigheten är inte ny. Artikel 4 i AI-förordningen har tillämpats sedan den 2 februari 2025, och ändringsförordningen från i juli rörde inte det datumet.

Vad som ändrades var lydelsen. Skälen till ändringen beskriver den gamla skyldigheten så här: "Enligt artikel 4 i förordning (EU) 2024/1689 är alla leverantörer och tillhandahållare av AI-system för närvarande skyldiga att säkerställa att deras personal har tillräcklig AI-kunnighet." Den nya lydelsen säger i stället att de "ska vidta åtgärder för att främja utvecklingen av AI-kunnighet" hos sin personal och hos andra som för deras räkning arbetar med drift och användning av systemen. Och sedan, uttryckligen: "Denna skyldighet kräver inte att leverantörer eller tillhandahållare garanterar någon viss nivå av AI-kunnighet hos enskilda personer."

Ordet tillräcklig är alltså borta ur artikel 4. Det finns ingen nivå kvar att uppnå där, och därmed ingen nivå att missa.

Det gäller artikel 4 och inte förordningen i stort, och kommissionen säger det själv på sin frågesida: "for those who deploy high-risk AI systems, the obligation to ensure that their staff is trained to ensure human oversight remains in place". Skyldigheterna för den som använder AI-system med hög risk ligger i kapitel III avsnitt 3 och börjar tillämpas den 2 december 2027 för system som är högrisk enligt bilaga III och den 2 augusti 2028 för dem som är det enligt bilaga I. Den som kör högrisksystem har alltså mer framför sig än artikel 4, och på ett annat datum.

Kvar står en skyldighet att handla, och den har en riktning. Åtgärderna ska vidtas med beaktande av de berörda personernas tekniska kunskaper, erfarenhet och utbildningsnivå, av det sammanhang där systemen ska användas, och med hänsyn till de personer eller grupper av personer som systemen används på.

Det som inte står i artikel 4

Läs bestämmelsen igen och notera vad som saknas. Ingenstans i den står att åtgärderna ska dokumenteras, redovisas, sammanställas eller kunna uppvisas.

En skyldighet att handla är inte detsamma som en skyldighet att kunna bevisa att man handlat.

Att utelämnandet är avsiktligt syns när samma ändringsförordning talar om en annan bestämmelse. Om artikel 6.3 skriver den ut plikten: en leverantör som tillämpar den är "fortfarande skyldig att dokumentera sin bedömning innan AI-systemet släpps ut på marknaden eller tas i bruk", och nästa mening lägger till att "nationella behöriga myndigheter bör kunna begära denna bedömning". Lagstiftaren skriver alltså ut dokumentationsplikt när den avses. I artikel 4 gör den inte det.

Kommissionen bekräftar det från andra hållet. På frågan om hur efterlevnaden ska dokumenteras svarar dess frågesida om AI-kunnighet: "There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives." Verbet är can och inte must, och det är hela skillnaden mellan en möjlighet och ett krav.

Artikel 4 svarar alltså inte på frågan om bevis. Vad den inte gör är att få frågan att försvinna. Den marknadskontrollmyndighet som enligt kommissionen utövar tillsyn över artikel 4 har nämligen, genom artikel 14.4 i förordning (EU) 2019/1020 som den nya artikel 75a hänvisar till, befogenheten att kräva att en aktör lämnar "relevant documents, technical specifications, data or information on compliance". Ingen föreskriven förteckning, alltså, men någon som kan fråga.

Exemplen finns redan, men de ger ingenting på köpet

Det är lätt att läsa det föregående som att organisationen lämnas utan hållpunkter. Så är det inte.

Europeiska byrån för artificiell intelligens, AI-byrån, är kommissionens egen enhet för AI-förordningen och alltså inte en myndighet i någon medlemsstat. Den för sedan den 4 februari 2025 ett levande register över hur andra organisationer arbetar med AI-kunnighet, samlat först bland dem som anslutit sig till AI-pakten och därefter bland fler organisationer. Registret uppdaterades senast den 10 augusti 2026, och policysidan för det beskriver innehållet som mer än fyrtio initiativ.

Exemplen är publicerade, men den som kopierar dem får ingen presumtion på köpet.

Registret bär nämligen sitt eget förbehåll, och det är den meningen som avgör hur det ska användas: "While replicating the practices collected in this living repository does not automatically grant presumption of compliance with Article 4". Att göra som någon annan gjort ger alltså ingen presumtion om överensstämmelse. Registret är en idébank och inte en standard.

Den nya artikel 4 beställer dessutom något annat än registret. Punkt 2 ålägger kommissionen och medlemsstaterna att stödja och underlätta era insatser, särskilt för små och medelstora företag, och ålägger kommissionen att offentliggöra praktiska exempel på hur skyldigheten kan efterlevas på den centrala informationsplattform som avses i artikel 62.3 b. Punkt 3 ålägger styrelsen att anta rekommendationer, med beaktande av de europeiska kompetensramarna, för att stödja kommissionen och medlemsstaterna i främjandet av den AI-kunnighet som krävs enligt punkt 1, bland annat genom att fastställa gemensamma mål. Skälen namnger två sådana ramar, men knyter dem till kommissionens och medlemsstaternas egen stödskyldighet och inte till styrelsens uppdrag: när de fullgör den skyldigheten "kan de beakta" ramen för digital kompetens för medborgarna, DigComp, och ramen för AI-kunnighet i grundskole- och gymnasieutbildning.

Ingen av de två punkterna bär ett datum. Samma ändringsförordning är annars noggrann med frister: vägledningen om övervakning efter utsläppande på marknaden ska komma senast den 2 september 2027, riktlinjerna om samspelet med produktlagstiftningen senast den 1 augusti 2027, och de delegerade akterna om begränsade krav senast den 2 augusti 2027.

Tillsynen finns, men ingen fick artikel 4 utskriven i Sverige

Kommissionens frågesida placerar tillsynen: "The supervision and enforcement of Article 4 of the AI Act is not with the AI Office, but it is under the remit of national market surveillance authorities." Samma sida anger att myndigheterna börjar den 2 augusti 2026 på ett ställe och skriver att tillsyns- och efterlevnadsreglerna gäller från den 3 augusti 2026 på ett annat. Kommissionen har inte städat efter sig, och den som citerar sidan bör veta om det.

Den svenska bilden är tunnare än den europeiska. Regeringsbeslut III:50 av den 4 juni 2026, Fi2026/01365, utser fem myndigheter till nationella behöriga myndigheter och skriver ut vilka bestämmelser var och en ska verka under, bland annat artikel 5 om förbjudna användningsområden, artikel 6.1 och 6.2 om hög risk, transparenskraven i artikel 50, kontaktpunkten i artikel 70.2 och sandlådan i artikel 57.

Artikel 4 finns inte bland dem. Uppdraget löper dessutom bara till och med den 31 december 2026.

Det avgör inte frågan åt något håll. Kommissionen placerar tillsynen hos marknadskontrollmyndigheter, medan beslutet utser myndigheterna till nationella behöriga myndigheter enligt artikel 70.1 och delar ut marknadskontrollrollen bestämmelse för bestämmelse. Om någon svensk marknadskontrollmyndighet är behörig för artikel 4 lämnas alltså obesvarat av själva uppdraget.

Invändningen som väger

Läser man de tre föregående avsnitten i följd får man ett ganska starkt argument för att göra ingenting. Ingen dokumentationsplikt, ingen nivå att uppnå, ingen svensk myndighet med artikel 4 utpekad, och sanktionerna ligger enligt artikel 99.1 hos medlemsstaterna, som ska fastställa bestämmelser om sanktioner och andra efterlevnadsåtgärder och ta hänsyn till små och medelstora företags, inbegripet uppstartsföretags, och små midcapföretags intressen och ekonomiska bärkraft vid åläggandet av sanktioner. De svenska bestämmelserna föreslogs i SOU 2025:101 träda i kraft den 2 augusti 2026, och kommissionen noterar att medlemsstaternas sanktionslagstiftning skulle ha antagits redan den 2 augusti 2025.

Invändningen är riktig så långt den räcker, och det finns fyra saker som talar emot den.

Skyldigheten att handla är oförändrad och odaterad framåt. Den gäller sedan februari 2025 och påverkas inte av att ingen ännu har frågat.

Lagstiftaren har själv förekommit argumentet. I skälen till ändringen står att AI-kunnighet bör vara en strategisk prioritering oavsett om det är en lagstadgad skyldighet och oavsett eventuella sanktioner. En lagtext motiverar sällan sig själv med annat än lagen.

Efterfrågan finns dessutom redan inne i organisationen, och den är mätt. I ISACA:s europeiska pulsmätning, 561 yrkesverksamma inom näringsliv och IT i Europa, fältad 28 mars till 14 april 2025, säger fyrtiotvå procent att de behöver öka sina AI-kunskaper inom ett halvår för att behålla jobbet eller komma vidare i karriären, och åttionio procent att det behövs inom två år. KPMG:s och University of Melbournes globala studie, drygt 48 000 svarande i 47 länder mellan november 2024 och januari 2025, mäter den andra halvan: bara fyrtiosju procent av de anställda uppger att de fått AI-utbildning, medan nästan hälften medger att de använt AI på sätt som strider mot arbetsgivarens riktlinjer.

Den kombinationen är inget regelefterlevnadsproblem. Användningen pågår redan, den pågår delvis vid sidan av det som är bestämt, och den fortgår oavsett vad tillsynen gör eller inte gör. Skyldigheten i artikel 4 är i det läget inte skälet att göra något. Den är golvet under ett arbete som redan har ett eget skäl.

Och den som frågar först är sällan en myndighet. Det leder till kriteriet.

Vad som avgör hur mycket ni bör föra

Eftersom lagen inte sätter någon nivå sätts nivån av något annat, och det är en fråga ni kan besvara i dag.

Den första frågan är vem som har rätt att fråga er och på vilken grund. För en leverantör till offentlig sektor är det upphandlaren, och frågan kommer i ett underlag med svarsdatum. För den som har granskningsklausuler i kundavtalen är det kunden. Ingen av de två vägarna går genom AI-förordningen, och båda är därför oberoende av om Sverige hinner lagstifta.

En tredje väg går genom förordningen, men den är smalare än den ser ut. Artikel 77 ger nationella myndigheter som utövar tillsyn över unionsrätt om skydd av grundläggande rättigheter, däribland rätten till icke-diskriminering, befogenhet att begära och få åtkomst till information och dokumentation som skapas eller upprätthålls enligt förordningen, när åtkomsten är nödvändig för att de effektivt ska kunna fullgöra sina mandat inom ramen för sin jurisdiktion. Begäran ställs till marknadskontrollmyndigheten. Eftersom artikel 4 inte föreskriver någon dokumentation är en frivillig förteckning strängt taget inte sådant material, men den tekniska dokumentationen och konsekvensbedömningen avseende grundläggande rättigheter är det.

Den andra frågan är hur mycket de fem faktorerna i artikel 4.1 varierar hos er. Gör alla i praktiken samma sak med samma system i samma sammanhang räcker en anteckning för hela organisationen. Skiljer sig utbildningsnivå, sammanhang eller de människor systemen används på mellan enheterna, är en gemensam anteckning inte en förenkling utan en felaktig beskrivning: den påstår en likformighet som bestämmelsen inte ger er något skäl att anta, eftersom faktorerna den räknar upp finns där just för att de skiljer sig åt. Vår läsning är att faktorerna, som formellt är kriterier för hur åtgärderna ska utformas, därför också är den naturliga strukturen för det ni väljer att skriva ned.

Hela kalendern för AI-förordningen, med varje datum och vad som gäller från när, står på vår sida om AI-förordningen. Fördelningen mellan de fem myndigheterna står i vår analys om vem som har tillsyn över AI-förordningen i Sverige, och hur en kompetensplan byggs roll för roll under AI-kompetens.