EU AI Act —
praktisk checklista.

1. 01

   Inventera alla AI-system ni använder

   Inklusive köpta SaaS-tjänster där AI är en komponent, egenbyggda LLM-applikationer, tredjepartstjänster via API, och ML-modeller i produkter. Dokumentera: syfte, datakällor, ägare, användare, beslutspåverkan.

2. 02

   Klassificera varje system efter risknivå

   Oacceptabel (förbjuden) · Hög risk (rekrytering, kredit, vård, rätt) · Begränsad risk (chatbots, deepfakes) · Minimal risk. Enligt Artikel 6 och Annex III.

3. 03

   Utse ansvarig ägare per system

   En specifik person, inte en avdelning. Namnge för dokumentation. Denna person ansvarar för compliance under systemets hela livscykel.

4. 04

   För högrisk: starta technical file

   Dokumentation enligt Annex IV: beskrivning, utvecklingsprocess, data, förmågor och begränsningar, mänsklig oversight, post-market monitoring. Detta är inte en PDF på fyra sidor — det är ett levande paket.

5. 05

   Designa mänsklig oversight (Art. 14)

   Meaningful oversight kräver: faktisk möjlighet att ingripa, förståelse för AI:ns begränsningar, interface som inte vilseleder till automatisk tillit, möjlighet att granska beslut i efterhand.

6. 06

   Transparens för begränsad risk

   Chatbot → användaren ska veta det är AI. AI-genererat innehåll → ska vara tydligt märkt när rimligt. Deepfakes → alltid markerade. Låga tekniska krav, men måste implementeras.

7. 07

   Kontrollera GPAI-leverantörsavtal

   För OpenAI, Anthropic, Google m.fl.: verifiera att ni har (a) personuppgiftsbiträdesavtal, (b) opt-out från träning på era data, (c) dokumenterat var datan behandlas geografiskt. Leverantörernas egna skyldigheter skyddar inte er produkt.

8. 08

   Dokumentera data-hantering (Art. 10)

   För högrisk: relevant, representativ, fri från fel, komplett data. Bias-identifierings­process. GDPR-efterlevnad för personuppgifter. Kvalitet och härkomst dokumenterad.

9. 09

   Post-market monitoring-plan

   Hur mäter ni att systemet presterar som avsett? Hur identifieras nya risker? Plan dokumenterad, uppföljning minst årligen. Skall finnas innan ibruktagande.

10. 10

    Incidentrapporterings­process

    Allvarliga incidenter med högrisk-AI (skada, dödsfall, störning i kritisk infrastruktur) ska rapporteras till myndigheten inom 15 dagar. Förbered processen — när incident inträffar är det för sent.

Du får fritt dela, printa och modifiera denna checklista för eget bruk. En länk tillbaka till taktikai.se uppskattas om du delar publikt. Uppdaterad: 22 april 2026.