Checklista · Steg för steg

AI Act-checklista: tio steg till efterlevnad

Det här är den korta, handlingsinriktade versionen. Vill ni ha ett dokument att fylla i och skicka runt finns den nedladdningsbara Word-checklistan längre ner.

Framtagen av aimognad.se · Senast uppdaterad augusti 2026.

Kort svar: var börjar man?

Börja med inventeringen. Utan en lista över vilka AI-system som används går det inte att klassificera risk, och utan riskklassificering vet ni inte vilka krav som gäller. Ett normalstort svenskt bolag utan högrisk-AI klarar hela den här checklistan på två till tre arbetsdagar utspritt över några veckor.

Steg 1–4: kartlägg

1. Inventera alla AI-system: inköpta verktyg, inbyggda funktioner i befintliga system och egenbyggda lösningar. Fråga varje avdelning, inte bara IT.
2. Ange ägare per system — en namngiven person, inte en avdelning.
3. Bestäm er roll per system: leverantör eller tillhandahållare.
4. Klassificera risknivån: förbjuden, hög, begränsad eller minimal.

Steg 5–7: åtgärda

5. Stoppa allt som faller under förbjuden praxis — omedelbart, inte i nästa kvartal.
6. Uppfyll AI-kompetenskravet: utbilda och dokumentera.
7. Inför transparens: märk AI-genererat innehåll och tydliggör när kunder pratar med en bot.

Steg 8–10: dokumentera och håll levande

8. Samla leverantörsdokumentation, särskilt från GPAI-leverantörer, och spara den.
9. Skriv ner rutinen för incidenter och för att stänga av ett system som beter sig fel.
10. Sätt ett revisionsdatum: inventeringen ska gås igenom minst halvårsvis.

Dokument ni bör kunna visa upp

AI-inventering med risknivå och ägare per system.
AI-policy med dataregler och godkännandeprocess.
Utbildningsregister enligt artikel 4.
Leverantörsdokumentation för centrala AI-verktyg.
Incidentrutin och logg över inträffade händelser.

Bocka av

Inventeringen är komplett och inkluderar skugg-AI som teamen köpt själva.
Varje system har ägare, roll och risknivå.
Ingen användning faller under förbjuden praxis.
Utbildning genomförd och dokumenterad.
Transparens mot kund och medarbetare är på plats.
Leverantörsdokumentation är insamlad och sparad.
Incidentrutin finns och är känd.
Revisionsdatum är satt i kalendern.

Vanliga frågor

Hur lång tid tar det här?

För ett bolag utan högrisk-AI: två till tre arbetsdagar totalt. Har ni högrisksystem — till exempel AI i rekrytering eller kreditbedömning — är det ett projekt på flera månader med riskhanteringssystem och teknisk dokumentation.

Vem bör äga arbetet?

Oftast den som redan äger informationssäkerhet eller dataskydd, med en beslutande sponsor i ledningen. Det viktiga är att en person är ansvarig och att den personen har mandat att stoppa användning.

Finns checklistan som nedladdningsbart dokument?

Ja, som Word-fil på vår mallsida för EU AI Act-checklistan. Den versionen är utformad för att fyllas i och delas internt.

Är det här juridisk rådgivning?

Nej. Innehållet är en praktisk tolkning av förordning (EU) 2024/1689 och avsett som utgångspunkt för ert eget arbete. Låt jurist eller dataskyddsombud granska era slutsatser innan ni fattar bindande beslut.

Vill ni ha checklistan som dokument?

Ladda ner den ifyllbara Word-versionen, eller gör självskattningen och få en prioriterad åtgärdslista.

Ladda ner Word-checklistan Gör EU AI Act-kollen