Varför AI-kompetens är en rättslig skyldighet, inte en trevlig extra
Det mesta som skrivs om EU:s AI-förordning blickar framåt mot reglerna för högrisksystem och de datum som ännu inte inträffat. Långt mindre uppmärksamhet har riktats mot en skyldighet som redan gäller och som omfattar nästan varje företag som kommer i kontakt med AI: plikten att se till att de personer som använder AI för företagets räkning faktiskt förstår vad de använder. Det är kravet på AI-kompetens i artikel 4 i AI-förordningen, och det har gällt sedan den 2 februari 2025.
Skyldigheten är lätt att underskatta just för att den låter mjuk. Det finns inget certifikat att hämta och inget prov för personalen att klara. Men det är en bindande rättslig skyldighet, den gäller oavsett hur riskfyllda era AI-system är, och den ligger till grund för allt annat som AI-förordningen kräver av er. Ett företag som inte har funderat på AI-kompetens har en lucka i sin regelefterlevnad från dag ett. Den här artikeln förklarar vad artikel 4 faktiskt kräver, vilka som omfattas, var företag gör fel och hur ni uppfyller kravet på ett sätt som både håller rättsligt och är verkligt användbart.
Vad artikel 4 faktiskt säger
Artikel 4 kräver att leverantörer och användare av AI-system vidtar åtgärder för att efter bästa förmåga säkerställa en tillräcklig nivå av AI-kompetens hos sin personal och andra personer som hanterar driften och användningen av AI-systemen för deras räkning. Måttstocken är medvetet kontextberoende: vad som är “tillräckligt” beror på de berörda personernas tekniska kunskap, erfarenhet, utbildning och fortbildning, det sammanhang systemen ska användas i, och de personer eller grupper som AI:n används på.
Förordningen definierar AI-kompetens som de färdigheter, kunskaper och den förståelse som gör det möjligt för de inblandade att fatta välgrundade beslut om användningen av AI-system och att bli medvetna om möjligheterna, riskerna och den skada AI kan orsaka. Enkelt uttryckt: de i er organisation som använder AI ska, på en nivå som passar deras roll, förstå vad verktyget gör, var det kan gå fel och vilket ansvar de har när de förlitar sig på det.
Vilka omfattas – och varför “vi bara använder det” inte håller
Två roller är avgörande i AI-förordningen. En leverantör utvecklar ett AI-system eller låter utveckla ett och släpper ut det på marknaden i eget namn. En användare nyttjar ett AI-system under eget ansvar i sin verksamhet. Artikel 4 gäller båda. Det är den avgörande poängen för de flesta företag: ni behöver inte ha byggt någon AI för att omfattas. Om ert team använder en generativ AI-assistent, ett AI-verktyg för rekryteringsurval, ett AI-drivet analysverktyg eller en chatbot är ni användare, och kompetenskravet gäller er.
Skyldigheten sträcker sig också utanför den egna lönelistan. Den omfattar personal och “andra personer som hanterar driften och användningen av AI-system” för er räkning – vilket kan inkludera konsulter, inhyrd personal och andra som sköter verktygen åt er. Och till skillnad från regelverket för högrisksystem är kompetensplikten inte begränsad till just högrisksystem. Den gäller över hela linjen, även de vardagliga AI-verktyg som tyst har spridit sig genom marknadsföring, HR, ekonomi och kundtjänst.
Hur “tillräcklig” kompetens ser ut i praktiken
Eftersom kravet är proportionerligt finns ingen enda mall. En utvecklare som finjusterar en modell behöver djup teknisk förståelse; en säljare som använder ett AI-skrivverktyg behöver något betydligt enklare men ändå verkligt – en medvetenhet om vad verktyget kan ha fel om, vilka uppgifter som aldrig får klistras in i det, och när en människa måste granska resultatet. Den rätta frågan är inte “har vi hållit en kurs?” utan “förstår varje person den AI de använder tillräckligt väl för att använda den ansvarsfullt i sin roll?”
Europeiska kommissionen och dess AI-kontor har gjort detta enklare genom att publicera ett levande register över metoder för AI-kompetens, som samlar fler än fyrtio konkreta initiativ från företag och offentliga organ. Dessa sträcker sig långt bortom formell utbildning och omfattar interna vägledningar och uppförandekoder, AI-specifik introduktion, interna kunskapsportaler, praktikgemenskaper och ramverk för riskbedömning. Kommissionen är tydlig med att en kopiering av dessa exempel inte automatiskt bevisar regelefterlevnad, men de är en användbar utgångspunkt för att utforma något som passar er organisation.
Praktiskt exempel: marknadsteamet och det konfidentiella underlaget
Tänk er ett medelstort företag vars marknadsteam börjar använda ett populärt generativt AI-verktyg för att snabba upp textproduktionen. Ingen satte en policy, eftersom det kändes som ett enkelt produktivitetshjälpmedel. En medarbetare som förbereder en kampanj klistrar in en konfidentiell produktplan och ännu inte offentliggjorda finansiella siffror i verktyget för att “ge det sammanhang”, utan att inse att uppgifterna kan behandlas utanför företagets kontroll och att verktyget inte är ett internt system.
Inget dramatiskt händer den dagen, vilket är just därför risken är osynlig. Men företaget har nu exponerat konfidentiella och möjligen personliga uppgifter genom ett verktyg som ingen utbildats att använda säkert, utan medvetenhet om följderna för dataskydd och sekretess, och utan någon mänsklig kontroll av vad som matades in eller kom ut. En blygsam mängd AI-kompetens – en kort introduktion om vilka verktyg som är godkända, vad som aldrig får matas in och varför resultat måste granskas – hade förhindrat hela händelsen. Det är det praktiska syftet med artikel 4: inte pappersarbete, utan att undvika just den här sortens vardagliga, onödiga misstag.
Vanliga misstag företag gör
Det första misstaget är att anta att skyldigheten inte gäller eftersom företaget “bara använder” AI i stället för att bygga den. Som användare omfattas ni fullt ut av artikel 4, och “vi använder bara verktyget” är inget försvar.
Det andra misstaget är att behandla AI-kompetens som en engångsutbildning. Verktygen förändras ständigt, nya system dyker upp i organisationen utan central översyn, och personal byts ut. En enda presentation som visas en gång är inte en tillräcklig åtgärd i någon meningsfull bemärkelse; kompetensen måste underhållas.
Det tredje misstaget är att överarbeta det åt andra hållet – att beställa en tung, likformig teknisk kurs för alla oavsett roll. Kravet är proportionerligt, och att tvinga djupt tekniskt innehåll på personal som behöver enkel, praktisk vägledning slösar resurser samtidigt som det missar poängen. Det sista vanliga felet är att inte dokumentera något, vilket gör att ett företag inte kan visa att det vidtagit rimliga åtgärder om en tillsynsmyndighet någon gång frågar.
Rättsliga risker med att ignorera kravet
AI-kompetens är ingen fristående kryssruta; det är den grund som gör resten av er AI-efterlevnad trovärdig. En personalstyrka som inte förstår verktygen den använder är betydligt mer benägen att bryta mot GDPR genom felhantering av personuppgifter, att missbruka ett högrisksystem eller att förlita sig på bristfälliga AI-resultat på sätt som skapar ansvar. När något går fel får frånvaron av kompetensåtgärder felet att framstå som vårdslöst snarare än otur.
Medan AI-förordningens tillsyns- och sanktionsstruktur fasas in, där de bredare bestämmelserna om styrning och sanktioner gäller från augusti 2026, är själva kompetensskyldigheten redan i kraft. Ett företag som kan visa ett genomtänkt, dokumenterat och proportionerligt arbete med AI-kompetens står betydligt starkare – både för att tillfredsställa tillsynsmyndigheter och för att försvara sig om en AI-relaterad incident inträffar – än ett som ignorerat skyldigheten helt.
Rekommenderade åtgärder
Börja med att kartlägga var AI faktiskt används i verksamheten, inklusive de verktyg som smugit sig in utan ett formellt beslut. För varje användning, identifiera vem som hanterar den och vad de behöver förstå för att använda den ansvarsfullt. Anpassa sedan kompetensnivån till rollen: lätt, praktisk vägledning för vardagsanvändare av lågriskverktyg, och djupare förståelse för dem som bygger, konfigurerar eller övervakar system med högre risk.
Bygg in kompetensåtgärderna i sådant ni redan har – introduktion, interna policyer, en kort guide över godkända verktyg, en intern portal – i stället för att behandla det som ett separat efterlevnadsprojekt. Gör tydligt vilka verktyg som är godkända, vad som aldrig får matas in i dem och när mänsklig granskning krävs. Håll det aktuellt när verktyg och personal förändras, och framför allt: dokumentera vad ni gjort, eftersom skyldigheten är att vidta rimliga åtgärder och ni bör kunna visa att ni gjort det. Kommissionens register är en bra referens när ni utformar ert program.
Vanliga frågor om AI-kompetens
Gäller artikel 4 oss om vi bara använder AI-verktyg vi köpt?
Ja. Att använda ett AI-system under eget ansvar gör er till användare, och artikel 4 gäller användare lika väl som de företag som bygger AI. Att ni inte utvecklat verktyget tar inte bort skyldigheten.
Måste vi testa våra anställda eller ge dem certifikat?
Nej. Artikel 4 kräver inte att ni mäter eller certifierar personalens kunskap. Den kräver att ni efter bästa förmåga vidtar lämpliga åtgärder för att säkerställa en tillräcklig nivå av AI-kompetens med hänsyn till människors roller och de verktyg de använder. Test är ett alternativ, inte ett krav.
När började skyldigheten gälla?
Kravet på AI-kompetens har gällt sedan den 2 februari 2025. Det är inte ett framtida datum – det är redan i kraft, även om AI-förordningens bredare bestämmelser om tillsyn och sanktioner fasas in under 2026 och framåt.
Gäller det bara AI-system med hög risk?
Nej. Till skillnad från många av AI-förordningens tyngre skyldigheter gäller kompetensplikten alla AI-system oavsett risknivå. De vardagliga generativa AI-verktyg som används inom marknadsföring, HR och ekonomi omfattas.
Vad räknas som en “tillräcklig” kompetensnivå?
Det är proportionerligt till sammanhanget. En person som finjusterar en modell behöver långt mer tekniskt djup än någon som använder ett AI-skrivverktyg. Testet är om varje person förstår den AI de använder tillräckligt väl för att använda den ansvarsfullt i just sin roll.
Slutsats
Kravet på AI-kompetens är en av de tystare delarna av EU:s AI-förordning, men det är redan i kraft och det når nästan varje företag som använder AI i någon form. Det efterfrågar inga certifikat eller prov; det efterfrågar att de personer som använder AI för er räkning förstår den tillräckligt väl för att använda den ansvarsfullt. De företag som gör fel är sällan vårdslösa – de antar helt enkelt att det inte medför några skyldigheter att “bara använda” AI, eller att ett enda utbildningstillfälle räcker. Ett proportionerligt, dokumenterat och regelbundet uppdaterat arbetssätt förvandlar artikel 4 från ett efterlevnadsbekymmer till en verklig operativ styrka: en personalstyrka som använder AI med trygghet och säkerhet.
Lawgent hjälper företag att uppfylla sina skyldigheter enligt EU:s AI-förordning – inklusive kravet på AI-kompetens – och att bygga praktisk AI-styrning som möjliggör innovation i stället för att hindra den. Vi kombinerar erfaren affärsjuridisk rådgivning med AI-driven effektivitet, så att ni får tydlig och handlingsbar vägledning snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta om er AI-användning uppfyller artikel 4? Kontakta Lawgent för en genomgång av era AI-verktyg, policyer och kompetensåtgärder.
