Två rapporteringsklockor startar när ett AI-system fallerar

Bland svenska företag med minst 250 anställda använde 72 procent AI under 2025. Talet kommer ur SCB:s sammanställning av AI-statistiken, publicerad i maj 2026, och bygger på företag med minst tio anställda i näringsgrenarna SNI 10 till 63, 68 till 82 och 95.1. Redovisningen görs per storleksklass, så talet beskriver de största svenska företagen och inte energisektorn. Ett större energibolag med driftcentral, kundtjänst och nätplanering hör ändå till den storleksklass där andelen är högst.

Frågan för den som driver försörjning är alltså inte om det finns AI i verksamheten. Den är vad som händer den dag ett av systemen slutar fungera, vem som ska underrättas och hur fort. Där möts två regelverk som skrevs oberoende av varandra och som inte hänvisar till varandra en enda gång.

Vad systemet gör spelar mindre roll än vad som går sönder

Den 27 juli 2026 trädde omnibusförordningen om AI i kraft och förde in en ny punkt i artikel 6. Lydelsen är att vid tillämpningen av hela förordningen, alltså inte bara vid klassificeringen enligt artikel 6.1, ska AI-system som endast används för icke-säkerhetsrelaterade aspekter av användarstöd, prestandaoptimering, tjänsteeffektivitet, automatisering eller bekvämlighet eller kvalitetskontroll inte betraktas som säkerhetskomponenter. Den punkten lyfter ut en hel klass av system ur högriskklassificeringen.

Meningen omedelbart efter drar åt andra hållet. Artikel 6.1b: utan hinder av punkt 1a ska AI-system vars funktionsavbrott eller funktionsstörning skulle äventyra hälsa och säkerhet betraktas som säkerhetskomponenter. Två punkter i följd, och den andra prövar något helt annat än den första.

Undantaget frågar vad systemet används till, meningen under det frågar vad som går sönder.

Det spelar roll här ute, eftersom bilaga III punkt 2 gör just säkerhetskomponenter i förvaltning och drift av kritisk digital infrastruktur, vägtrafik och försörjning av vatten, gas, värme och el till högrisksystem. Prövningen i artikel 6.1b avgör därför vilka av era anläggningar som hamnar i den punkten, och den prövningen görs på feltillstånd och inte på funktionsbeskrivning. Vilket datum högriskkraven börjar gälla är en annan fråga, och den flyttades i somras.

Klockan börjar gå i er driftcentral

Artikel 73 i AI-förordningen lägger rapporteringen av allvarliga incidenter på leverantören, som anmäler till marknadskontrollmyndigheten. Huvudregeln i artikel 73.2 är senast 15 dagar.

Artikel 73.3 gör ett undantag från den huvudregeln. Vid en utbredd överträdelse eller vid en allvarlig incident enligt artikel 3.49 b ska rapporten lämnas omedelbart och senast två dagar. Artikel 3.49 b är i sin tur en allvarlig och oåterkallelig störning av förvaltningen eller driften av kritisk infrastruktur. För en försörjningsverksamhet är tvådagarsfristen alltså inte ett specialfall utan det normala utfallet, och femtondagarsfristen gäller de incidenter som inte rör driften.

Två detaljer i lydelsen avgör vad det betyder praktiskt. Fristen räknas från när leverantören, eller i tillämpliga fall den som driftsätter systemet, fick kännedom om incidenten. Förordningens svenska lydelse kallar den som driftsätter för tillhandahållare, medan leverantören heter leverantör, och termerna är lätta att förväxla åt fel håll. Leverantörens två dagar börjar alltså löpa i er driftcentral. Och artikel 26.5 lägger en egen skyldighet på den som driftsätter: den som har konstaterat en allvarlig incident ska omedelbart informera först leverantören och därefter importören eller distributören och marknadskontrollmyndigheterna. Rollen är inte att ringa leverantören och sedan vara klar.

Vilken myndighet som ska ta emot den rapporten i Sverige beskrivs i utredningen om anpassningar till AI-förordningen, SOU 2025:101, som föreslår Post- och telestyrelsen som marknadskontrollmyndighet med ansvar för punkt 2 i bilaga III.

Den andra klockan har bytt mottagare

Cybersäkerhetslagen (2025:1506) trädde i kraft den 15 januari 2026. Enligt 2 kap. 5 § ska en betydande incident meddelas så snart det kan ske, dock senast 24 timmar efter kännedom. Incidentanmälan enligt 6 § ska göras senast 72 timmar efter kännedom för andra än leverantörer av betrodda tjänster, och slutrapporten enligt 8 § senast en månad efter anmälan.

Mottagaren står inte i lagen utan i cybersäkerhetsförordningen (2025:1507), som i 6 § anvisar rapporteringen till CSIRT-enheten enligt 31 §. Och 31 § har två lydelser. Till och med den 30 juni 2026 var Myndigheten för civilt försvar CSIRT-enhet. Från och med den 1 juli 2026 är det Försvarets radioanstalt, sedan cyberverksamheten samlades hos Nationellt cybersäkerhetscenter vid FRA. Tillsynsmyndighet för energisektorn är enligt samma förordning Statens energimyndighet.

En incidentrutin skriven hösten 2025 pekar alltså ut en annan mottagare än den som tar emot i dag, och den gör det i det dokument som ska fungera under den värsta timmen ni har. Sektorn är i övrigt inte eftersatt på cybersidan: ENISA:s NIS360, tredje utgåvan publicerad i maj 2026, beskriver el som den mognaste delsektorn av dem som omfattas av NIS2. Bedömningen bygger enligt ENISA på underlag från verksamheter, nationella tillsynsmyndigheter och EU-data, och sektorernas läge anges i mognadsband snarare än som mätvärden.

Regelverken menar olika saker med ordet incident

Cybersäkerhetslagen definierar tröskeln i 2 kap. 5 § andra stycket: en incident är betydande om den har orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för verksamhetsutövaren, eller om den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande skada. AI-förordningens tröskel för tvådagarsfristen är en annan: allvarlig och oåterkallelig störning.

Skillnaden är inte akademisk. Ett driftstopp på fyra timmar som återställs helt är sannolikt betydande, men knappast oåterkalleligt. En modell som under månader har skrivit systematiskt felaktiga börvärden kan ha en verkan som inte går att återställa utan att någon enskild driftstörning har inträffat.

Samma händelse kan starta den ena klockan utan att starta den andra.

Det är därför en gemensam bedömningspunkt behövs. Den som gör en trösklingsbedömning per regelverk, i två olika team, kommer att göra dem vid olika tidpunkter, och den ena av dem har ett dygn på sig.

Skyldigheten står i texten innan den biter

Här ligger invändningen mot allt ovanstående, och den är stark. Artikel 73 ligger i kapitel IX. Klassificeringsreglerna i artikel 6 och driftsättarens skyldigheter i artikel 26 ligger i kapitel III avsnitten 1, 2 och 3, och de avsnitten fick genom omnibusen tillämpningsdatumet den 2 december 2027 för system enligt bilaga III. Kapitel IX omfattas inte av den senareläggningen. Den som väntar på att någon myndighet ska begära klassificeringspromemorian kan alltså vänta till slutet av 2027 utan att bryta mot högriskkraven.

Motvikten är att den andra klockan redan går. Fristen på 24 timmar har gällt sedan januari, mottagaren byttes i juli, och tillsynen över energisektorn ligger hos en myndighet som har till uppgift att se efter. Incidentprocessen är dessutom det av alla dokument som har längst ledtid, eftersom den ska vara inövad och inte bara skriven, och eftersom den kräver att drift, säkerhet och juridik kommer överens om en tröskel innan larmet går.

Frågan som avgör vilka av era system det gäller

Lagtextens egen fråga är om ett funktionsavbrott eller en funktionsstörning skulle äventyra hälsa och säkerhet. Den går att ställa på varje system ni kör, och den ger olika svar i olika verksamheter.

En lastprognos som en planerare läser och sedan agerar på: nej, både för att syftet är prestandaoptimering och för att en människa står emellan. En modell som skriver börvärden direkt till reglersystemet: ja, oavsett vad den kallas i budgeten. Läckagedetektering är gränsfallet, och svaret hänger på om larmet är det enda som står mellan ett utsläpp och exponeringen av det, eller om det ligger ett skyddssystem under.

Den som svarar på frågan har därmed också svarat på vilken rapporteringsfrist som gäller, vilken tröskel som ska in i incidentrutinen och vilka system som behöver ett dokumenterat avsett ändamål före december 2027. Den som inte har skrivit ned ändamålet kan inte belägga sin bedömning i någon riktning, och det är den bedömningen, inte tekniken, som avgör vad som kommer att krävas av er.