Vilka AI-system är högrisk, och vem avgör det

Vilka AI-system som är högrisk enligt AI-förordningen avgörs inte av tekniken. System byggda på samma språkmodell kan hamna utanför högriskreglerna i en uppgift och mitt i dem i nästa, och det som skiljer uppgifterna åt är vad systemet sägs vara till för. Den som klassificerar sina verktyg efter vad de är, och inte efter vad de används till, får därför fel svar på båda hållen.

Vilka AI-system är högrisk enligt AI-förordningen?

AI-förordningen har två vägar till högrisk. Den ena gäller AI som är säkerhetskomponent i, eller själv utgör, en produkt som redan är reglerad och som ska genomgå bedömning av en tredje part, från medicinteknik till hissar. Den andra är bilaga III, och det är den som träffar de flesta organisationer. Den räknar i huvudsak upp användningar och inte tekniker: rekrytering och urval, beslut om anställningsvillkor och befordran, kreditbedömning av privatpersoner, prissättning av liv- och sjukförsäkring, antagning och betygssättning i utbildning, och några områden till.

Formuleringen i bilagan är nästan genomgående densamma. Det handlar om AI-system som är avsedda att användas för ett visst ändamål. Artikel 3.12 definierar det avsedda ändamålet som den användning leverantören har avsett, inklusive sammanhang och villkor, så som den beskrivs i bruksanvisningen, i säljmaterial och uttalanden och i den tekniska dokumentationen. Det som klassificeras är alltså en beskrivning av användningen, och den beskrivningen skrivs av leverantören.

Kraven för system i bilaga III gäller från den 2 december 2027, sedan ändringsförordningen (EU) 2026/1744 flyttade datumet. Hur den förskjutningen påverkar planeringen står i artikeln om att högriskfristen flyttas. Den här artikeln handlar om frågan som avgör om datumet över huvud taget gäller er.

En språkmodell, fyra användningar i HR, tre klasser

Kommissionen publicerade i maj 2026 ett utkast till riktlinjer för klassificeringen, med exempel som ska täcka alla områden i bilaga III. Riktlinjerna skulle enligt artikel 6.5 ha kommit senast den 2 februari 2026, och utkastet är fortfarande ett utkast: enligt kommissionens sida ska synpunkterna från samrådet, som stängde den 23 juli, arbetas in i en slutlig version före antagandet.

Exemplen för arbetslivet är de mest lärorika. Fyra av dem beskriver uppgifter som en och samma generativa språkmodell skulle kunna utföra. Utkastet nämner ingen språkmodell, och i exemplet med platsannonser bygger systemet på mönster och termer som experter har definierat och granskat:

Det är tre klasser för fyra användningar, och skillnaden mellan dem ligger i uppgiften och inte i modellen. Den tredje raden är högrisk därför att systemet påverkar vem som går vidare, och den fjärde visar att ett verktyg kan byta klass utan att någon rör tekniken, om det görs till ett verktyg för att bedöma personalen.

Utkastet ger också ett exempel på en regel som gör vissa svar entydiga. Ett system i bilaga III är enligt artikel 6.3 alltid högrisk om det profilerar fysiska personer, så som artikel 3.52 definierar profilering med hänvisning till dataskyddsförordningen. Bakgrundskontroller av jobbsökande, som väger samman utbildning, anställningshistorik och information från nätet till en riskpoäng, faller enligt utkastet under punkt 4 a, och eftersom systemet profilerar kan inget undantag tillämpas.

Vem bestämmer vad systemet är till för?

Eftersom det avsedda ändamålet är leverantörens beskrivning ligger bedömningen i första hand hos leverantören. Utkastet drar en konsekvens av det som är värd att känna till vid varje inköp. Presenterar leverantören ett system som brett användbart i många sammanhang, utan att konsekvent begränsa användningen eller utesluta högriskanvändningar, ska det avsedda ändamålet enligt utkastet anses omfatta även högriskanvändningarna. Det gäller enligt utkastet särskilt när högriskanvändningarna är möjliga och rimligen förutsebara med tanke på systemets funktioner och förmågor. Att i användarvillkoren skriva att sådana användningar är uteslutna räcker inte, om produktens presentation och exempel i praktiken främjar dem.

Klassificeringen följer meningen som beskriver vad systemet ska användas till.

Den omvända situationen är den som träffar köparen. Ändrar en organisation ändamålet för ett system som inte är klassificerat som högrisk och som redan har släppts ut på marknaden eller tagits i bruk, så att det blir ett högrisksystem enligt artikel 6, blir organisationen enligt artikel 25.1 c själv leverantör av högrisksystemet, med leverantörens skyldigheter. Artikel 25 gör dessutom läget dyrare än det låter. Den ursprungliga leverantören ska enligt punkt 2 samarbeta med den nya och bland annat lämna över teknisk dokumentation, men varken samarbetet eller överlämnandet gäller om leverantören tydligt har angett att systemet inte får göras om till ett högrisksystem.

En organisation som låter en allmän assistent rangordna sökande kan alltså stå med leverantörsansvaret och utan leverantörens underlag. Det kan vara samma assistent som granskar formuleringarna i platsannonserna, och användningen är det enda som skiljer.

Den leverantör som anser att ett system i bilaga III inte är högrisk ska dokumentera sin bedömning innan systemet släpps ut på marknaden eller tas i bruk, registrera systemet i EU-databasen och lämna över bedömningen på begäran av nationella myndigheter. Ändringsförordningen förenklade vad registreringen ska innehålla, men inte skyldigheten att dokumentera. Ett nej utan motivering är därför inte en klassificering.

Klassificeringen har varit svår även för dem som försökt

Två mätningar med olika metod pekar åt samma håll. Initiativet appliedAI klassificerade 2023 106 AI-system från företagsfunktioner som marknad, inköp, produktion och HR. 19 hamnade i högrisk, 44 i låg risk och för 42 gick det inte att avgöra, medan ett kunde vara förbjudet. Nio av tio HR-system klassades som högrisk.

Den klassificeringen utgick från kommissionens förslag från 2021, med hänvisningar till parlamentets och rådets ändringar, alltså innan undantaget i artikel 6.3 fått sin slutliga lydelse. De två källorna gäller olika system och går inte att jämföra rakt av, men kontrasten är lärorik. Under förslagstexterna blev HR nästan helt högrisk. Under den antagna texten, i kommissionens läsning, delas samma område upp efter användning: schemaläggning av intervjuer, sortering av CV:n till en sökbar databas och granskning av tidigare rekryteringsbeslut i efterhand med anonymiserade uppgifter ligger enligt utkastet inom bilagan men undantas, medan rangordning och poängsättning av sökande inte gör det.

Den andra mätningen gäller den antagna texten. En studie från Technical University of Munich och Siemens lät 78 anställda i ett globalt företag med över 100 000 anställda klassificera AI-system med ett beslutsstöd, elva under observation och 67 på egen hand. 21 av de 67 uppgav att de hade svårt med enskilda frågor. Texten på arXiv är författarnas inskickade version och inte den slutliga konferensversionen, och populationen är ett enda företag. Ett fynd från de observerade sessionerna är ändå tydligt: en klar beskrivning av systemets syfte, funktion och användningssammanhang underlättar klassificeringen, och system med flera användningar är svåra att avgränsa.

Invändningen: det är inte användningen som avgör, utan det avsedda ändamålet

Det finns ett motsatt förhållande som väger tungt. Att högrisk följer användningen är i strikt mening fel. Förordningen knyter klassificeringen till det ändamål leverantören har avsett, och utkastet skiljer det uttryckligen från rimligen förutsebar felaktig användning, som per definition ligger utanför ändamålet. En medarbetare som på eget bevåg rangordnar sökande med en skrivassistent gör inte i sig leverantörens produkt till ett högrisksystem, så länge leverantören har avgränsat ändamålet tydligt och konsekvent i allt sitt material.

Invändningen är riktig om leverantörens produkt. Men den flyttar bara frågan till köparen. När organisationen själv väljer att använda ett system till något annat än det leverantören har beskrivit, är det organisationens användning som ska klassificeras, och artikel 25.1 c kan då göra organisationen till leverantör. Kommissionen har angett att separata riktlinjer om artikel 25 ska förklara närmare när det sker. Klassificeringen följer alltså den användning som någon har beskrivit. Har ingen beskrivit den användning ni har, är det ni som beskriver den.

Utkastet är dessutom ett utkast. Exemplen kan ändras i den slutliga versionen, och de är enligt kommissionen inte uttömmande. Det tolkningsansvar som riktlinjerna ska underlätta ligger kvar hos den som klassificerar.

Vilka av era AI-system kan ni inte klassificera utan leverantörens material?

Kriteriet är en jämförelse som går att göra system för system. Ta varje AI-system som används inom något av områdena i bilaga III, och skriv två meningar bredvid varandra: vad leverantörens bruksanvisning och säljmaterial säger att systemet är till för, och vad ni faktiskt använder det till.

Svaren delar upp organisationerna. Den som kan skriva båda meningarna och ser att de säger samma sak har leverantörens klassificering att granska, och kan be leverantören om dess dokumenterade bedömning om systemet sägs falla under undantaget, även om leverantören bara är skyldig att lämna den till nationella myndigheter. Den som ser att användningen är bredare eller en annan än den beskrivna har en egen klassificering att göra, och kanske ett leverantörsansvar. Den som inte kan skriva den första meningen, därför att ingen har läst leverantörens material, vet inte vilken klass systemet har, oavsett vad det är för teknik.

Vilken punkt i bilaga III ett system träffar avgörs av det beskrivna ändamålet, och använder ni systemet till något annat än leverantören har beskrivit är det ert ändamål som ska klassificeras. Om ett undantag håller beror också på vad systemet faktiskt gör: ett system som profilerar personer, eller som väsentligt påverkar utfallet av beslut, kan inte undantas. Det är därför klassificeringen i arbetet med AI governance görs per ändamål och inte per verktyg.