Fyra frågor som visar om er AI-användning redan räknas som högrisk

De flesta chefer vet inte säkert vilken kategori deras AI-verktyg hamnar i enligt EU:s AI-förordning. Det är inte konstigt. Klassificeringen är teknisk och juridisk till sin natur. Men fyra raka frågor räcker långt för att avgöra om er verksamhet behöver agera skyndsamt eller kan andas ut, åtminstone för stunden.

Används AI för att fatta eller påverka beslut om enskilda personer

Det första och viktigaste kriteriet handlar om huruvida AI:n påverkar en persons möjligheter, rättigheter eller behandling. Rekrytering, kreditbedömning, prissättning riktad mot enskilda kunder och bedömning av anställdas prestation är typiska exempel. Om svaret är ja på den här frågan, är sannolikheten hög att verktyget klassas som högrisk och att kraven som gäller från augusti 2026 blir aktuella för er.

Fattar AI beslutet självständigt, eller stödjer den bara en människa som redan beslutar

Ett verktyg som ger en rekommendation, som en människa sedan aktivt granskar och kan välja att avvika från, bedöms ofta mildare än ett verktyg som fattar beslutet automatiskt utan mänsklig inblandning. Många bolag tror att de har mänsklig tillsyn, men i praktiken godkänner medarbetarna AI:ns förslag rutinmässigt utan att faktiskt granska dem. Den skillnaden, mellan formell och verklig mänsklig tillsyn, är avgörande både juridiskt och praktiskt.

Ett enkelt sätt att pröva om tillsynen är verklig är att titta på hur ofta en medarbetare faktiskt avviker från AI:ns förslag. Om svaret är i princip aldrig, är det värt att fråga sig om det beror på att förslagen alltid är korrekta, eller om det beror på att ingen längre lägger tid på att ifrågasätta dem. De två förklaringarna ser identiska ut i statistiken men betyder helt olika saker för hur stort det faktiska risktagandet är.

Vet ni vilken data som matas in i verktyget

Högriskklassningen hänger ofta ihop med vilken typ av data som används. Verktyg som bearbetar personuppgifter, särskilt känsliga sådana som hälsodata eller uppgifter om etnicitet, hamnar lättare i högriskkategorin än verktyg som enbart arbetar med allmän affärsinformation. Om ingen i bolaget säkert kan svara på vilken data som faktiskt går in i ett visst AI-verktyg, är det en lucka som bör täppas igen oavsett vad slutresultatet av klassificeringen blir.

Har leverantören själv sagt vad verktyget klassas som

Många leverantörer av AI-verktyg har redan gjort en egen bedömning av var deras produkt hamnar i förordningens riskkategorier, eftersom det är en fråga de får från fler och fler kunder. Att helt enkelt fråga leverantören rakt ut är ofta det snabbaste sättet att få ett första svar, även om det svaret sedan bör granskas mot er egen faktiska användning, eftersom samma verktyg kan användas på olika sätt i olika bolag.

Vad ni gör med svaren

Om ni svarar ja på den första frågan och nej på den andra, det vill säga AI:n påverkar enskilda personer utan verklig mänsklig granskning, är det den kombination som kräver snabbast agerande. Om ni är osäkra på fråga tre eller fyra, är nästa steg helt enkelt att ta reda på svaret, snarare än att anta det bästa eller det värsta.

Skriv ner svaren på alla fyra frågor för varje AI-verktyg ni använder, ett dokument per verktyg räcker. Även en ofullständig genomgång, gjord i dag, är mer värd än en perfekt genomgång som skjuts upp till nästa kvartal.

Varför det är lätt att skjuta upp

Att ställa de fyra frågorna tar en eftermiddag. Att sedan bygga in de faktiska rutiner som krävs, dokumentation, loggning och verklig mänsklig tillsyn, är ett arbete som pågår löpande snarare än vid ett enda tillfälle. Det är den delen som ofta rinner ut i sanden, eftersom regelefterlevnad sällan känns lika akut som kundleveranser och försäljning, ända tills en tillsynsmyndighet eller en stor kund frågar efter dokumentationen och den inte finns.

Det som gör uppskjutandet extra lockande är att inget synligt går fel under tiden. Ett bolag kan använda ett högriskklassat AI-verktyg utan fullständig dokumentation i månader, till och med år, utan att det märks utåt. Den tystnaden ger en falsk trygghet, eftersom avsaknaden av synliga konsekvenser lätt tolkas som avsaknad av risk, snarare än som en risk som ännu inte utlösts.

Börja ändå med det konkreta steget redan denna vecka. Gå igenom de fyra frågorna för ert mest använda AI-verktyg, skriv ner svaren, och boka in en tid om en månad för att göra samma sak för nästa verktyg på listan. Den enkla vanan, upprepad verktyg för verktyg, är det som skiljer bolagen som ligger bra till om ett år från de som fortfarande gissar.