Därför har generell AI fått ett eget regelverk
De flesta företag bygger inte AI från grunden. De köper åtkomst till en stor modell – en chattbot, en kodassistent, en bildgenerator – och sätter den i arbete. EU:s AI-förordning kallar tekniken bakom dessa verktyg för generell AI (GPAI), och sedan den 2 augusti 2025 måste leverantörerna av dessa modeller följa särskilda regler. För företag som använder modellerna har det blivit en del av det vanliga efterlevnadsarbetet att förstå vad leverantören måste göra – och vad man själv behöver dokumentera.
Vad räknas som en generell AI-modell
En generell AI-modell är tränad på stora datamängder, kan utföra ett brett spektrum av uppgifter och byggas in i många olika tillämpningar. De grundmodeller som driver välkända assistenter faller tydligt inom definitionen. Skyldigheterna ligger i första hand på den leverantör som utvecklar och släpper ut modellen på marknaden, inte på varje företag som använder den. Men om du finjusterar eller väsentligt ändrar en modell kan du själv bli leverantör.
Skyldigheterna som gäller sedan augusti 2025
Leverantörer av generella AI-modeller måste upprätta och bevara teknisk dokumentation, ge information och dokumentation till företag som bygger in modellen, införa en policy för att respektera EU:s upphovsrätt och offentliggöra en tillräckligt detaljerad sammanfattning av det innehåll som använts för träningen. Reglerna trädde i kraft den 2 augusti 2025. Modeller som redan fanns på marknaden dessförinnan har till den 2 augusti 2027 på sig att uppnå full efterlevnad.
Modeller med systemrisk har strängare krav
De mest kapabla modellerna – de som kan innebära systemrisk – har ytterligare skyldigheter, bland annat modellutvärdering, angreppstestning, spårning och rapportering av allvarliga incidenter samt cybersäkerhetsskydd. Kraven speglar den större potentiella påverkan som de största modellerna har och övervakas av EU-kommissionens AI-byrå.
Uppförandekoden för generell AI
För att hjälpa leverantörer att uppfylla kraven offentliggjorde AI-byrån den slutliga uppförandekoden för generell AI den 10 juli 2025, godkänd av kommissionen och medlemsstaterna den 1 augusti 2025. Koden är frivillig men erbjuder en praktisk väg att visa efterlevnad inom tre kapitel: transparens, upphovsrätt samt säkerhet. Att ansluta sig signalerar god vilja och underlättar samarbetet med AI-byrån.
Praktiskt exempel
Ett svenskt mjukvaruföretag bygger en kundtjänstassistent ovanpå en grundmodell från tredje part. Som användare är företaget inte modellleverantör, men det bör inhämta leverantörens tekniska dokumentation, kontrollera att upphovsrättspolicy och sammanfattning av träningsdata finns på plats och föra egna register över hur verktyget används. Om företaget senare finjusterar modellen på egna data på ett sätt som väsentligt förändrar den kan det själv bli leverantör – och ärva motsvarande skyldigheter.
Vanliga misstag företag gör
Det vanligaste felet är att tro att reglerna bara gäller stora teknikbolag. I praktiken behöver köpare av AI-verktyg leverantörens dokumentation för sina egna riskbedömningar och för att uppfylla de bredare krav i AI-förordningen som gäller vid högriskanvändning. Ett andra misstag är att bortse från upphovsrätten – att använda en modell vars träningsdata samlats in olagligt kan skapa risk i nästa led. Ett tredje är att missa när finjustering gör en användare till leverantör.
Rekommenderade åtgärder
Kartlägg vilka AI-verktyg din organisation använder och identifiera de underliggande modellerna. Be varje leverantör om teknisk dokumentation, upphovsrättspolicy och sammanfattning av träningsdata. Kontrollera om någon leverantör har anslutit sig till uppförandekoden. Bedöm om din egen användning räknas som högrisk enligt AI-förordningen och dokumentera resonemanget. Sätt slutligen en översynspunkt före den 2 augusti 2026, då kommissionens sanktionsbefogenheter – och böter på upp till 3 % av den globala omsättningen eller 15 miljoner euro – träder i kraft.
Vanliga frågor
Måste vi följa reglerna om vi bara använder ChatGPT-liknande verktyg?
GPAI-skyldigheterna ligger på leverantören, men som användare bör du inhämta och bevara leverantörens dokumentation och bedöma din egen användning mot AI-förordningens bredare regler.
När kan kommissionen börja utfärda böter?
Sanktionsbefogenheterna över leverantörer av generell AI gäller från den 2 augusti 2026, med böter upp till 3 % av den globala årsomsättningen eller 15 miljoner euro, beroende på vilket som är högst.
Är uppförandekoden obligatorisk?
Nej. Den är frivillig, men att följa den är det enklaste sättet för leverantörer att visa att de uppfyller sina krav på transparens, upphovsrätt och säkerhet.
Slutsats
Generell AI är nu en reglerad kategori, och skyldigheterna sprider sig från modellleverantörer till varje företag som bygger vidare på dem. Att veta vad man ska kräva av sin leverantör – och när den egna användningen passerar en gräns – är kärnan i det praktiska efterlevnadsarbetet. Lawgent hjälper företag att kartlägga sin AI-användning, granska leverantörsdokumentation och förbereda sig för AI-förordningens kommande tillsynsmilstolpar. Hör av dig så att er AI-satsning står på stabil juridisk grund.
