Använder ni ChatGPT, Copilot eller ett AI-stöd i rekryteringen? Då omfattas ni av kravet på AI-kompetens i AI-förordningen, och det gäller redan nu. Artikel 4 är en av de få bestämmelser som träffar vanliga svenska bolag utan att ni behöver bygga eller sälja AI. Det korta svaret på vad kravet innebär: ni ska aktivt stödja att de som använder AI hos er förstår vad verktygen gör, var de brister och när en människa måste titta efter.
Kravet skärptes inte i sommar, det mjukades upp. Den 27 juli 2026 trädde den så kallade omnibusändringen i kraft och skrev om artikel 4. Många svenska rådgivare beskriver fortfarande den gamla lydelsen. Här går vi igenom vad som faktiskt står nu, vad som ändrades igen den 2 augusti och vad ett bolag med tio eller hundra anställda rimligen bör göra.
Vad artikel 4 om AI-kompetens kräver
AI-förordningen (EU:s AI Act) är riskbaserad. De tunga kraven landar på högrisksystem och på dem som utvecklar AI. Artikel 4 är annorlunda: den gäller alla som tillhandahåller eller använder AI-system i sin verksamhet, oavsett riskklass.
Kravet riktar sig mot personerna, inte tekniken. Det omfattar era anställda, men också konsulter och andra som hanterar systemen för er räkning. Innehållet kan sammanfattas i tre delar:
- Förståelse för vad verktyget gör. Vad systemet är byggt för, vad det inte är byggt för och hur säkra svaren är.
- Insikt om riskerna i just er användning. Ett AI-stöd som föreslår formuleringar i marknadsföring bär andra risker än ett som rangordnar jobbansökningar.
- Anpassning efter personen. En utvecklare och en säljare behöver inte samma sak. Kravet är proportionerligt.
Notera vad som inte krävs: ingen certifiering, ingen viss kursleverantör, inget minsta antal utbildningstimmar. Kommissionen har varit tydlig med att formatet är fritt.
Det här ändrades den 27 juli 2026
Genom omnibusförordningen (EU) 2026/1744 fick artikel 4 en ny lydelse. Skillnaden är juridiskt betydande.
Före: leverantörer och användare skulle säkerställa en tillräcklig nivå av AI-kompetens hos sin personal. Det var en resultatförpliktelse, alltså ett krav på att en viss nivå faktiskt uppnåddes.
Efter: leverantörer och användare ska vidta åtgärder för att stödja utvecklingen av AI-kompetens. Lagstiftaren skriver uttryckligen att bestämmelsen inte kräver att någon garanterar en viss kompetensnivå hos en enskild individ. Det är en ansträngningsförpliktelse.
Skillnaden i praktiken: bedömningen görs mot vad ni har gjort, inte mot vad varje enskild medarbetare kan vid ett kunskapstest. Samtidigt kvarstår skyldigheten. Att inte göra någonting alls är fortfarande en brist, och en ansträngning som ingen kan visa upp i efterhand är svår att skilja från ingen ansträngning alls.
Kommissionen och medlemsstaterna har samtidigt fått i uppdrag att underlätta arbetet särskilt för små och medelstora företag. Räkna med mer gratis vägledning framöver.
Vad som gäller sedan den 2 augusti 2026
Artikel 4 har gällt sedan den 2 februari 2025, men i praktiken utan tillsyn. Sanktionsreglerna i förordningen har funnits sedan augusti 2025; det som saknades var en fungerande tillsynsapparat. Den 2 augusti 2026 började reglerna om marknadskontroll tillämpas, och det är först nu bestämmelsen har någon som kan kontrollera den.
Tillsynen ligger på nationella marknadskontrollmyndigheter, inte på EU:s AI-kontor. I Sverige utsågs IMY i juni 2026 till marknadskontrollmyndighet, med Post- och telestyrelsen och Finansinspektionen i roller för sina respektive områden. Sanktionerna beslutas nationellt och ska vara proportionerliga och ta hänsyn till överträdelsens art och allvar, och till att företaget är litet.
Vår bedömning: sannolikheten att ett svenskt SME får en sanktion enbart för bristande AI-kompetens är låg det närmaste året. Den realistiska risken ligger någon annanstans. Frågan dyker upp i leverantörsenkäter och upphandlingar långt innan en myndighet knackar på. Mönstret är exakt detsamma som vi såg med kundernas säkerhetskrav: stora kunder kravställer nedåt i kedjan, och den som inte kan svara tappar affären.
Omfattas ert företag?
Nästan säkert ja, om något av följande stämmer:
- Medarbetare använder generativa AI-verktyg i arbetet, även gratisversioner.
- Ni har AI-funktioner inbyggda i affärssystem, kundtjänstverktyg eller kontorspaket.
- Ni använder AI-stöd i rekrytering, kreditbedömning eller prissättning.
- Ni bygger in en AI-modell i något ni säljer vidare.
De tre första gör er till användare, vilket är den vanliga rollen för ett SME. Den fjärde kan göra er till leverantör, med betydligt fler skyldigheter. Är ni osäkra på vilken roll ni har, börja med vår genomgång av vilka delar av AI-förordningen som träffar ert företag.
Ett vanligt missförstånd är att skuggAI räddar er. “Vi har inte infört några AI-verktyg” stämmer sällan i praktiken. Om medarbetare klistrar in kundunderlag i ett chattverktyg på egen hand är det er användning, och då finns risken utan att någon styr den.
Så bygger ni AI-kompetens i praktiken
Fem steg som ryms i en arbetsvecka utspridd över en månad, och som ger er något att visa upp.
- Kartlägg användningen. Vilka AI-verktyg används, av vem och till vad? Fråga rakt ut, utan skuldbeläggning, annars får ni fel svar. Listan är också er inventering enligt förordningen.
- Klassa användningen grovt. Var påverkar AI en människa (rekrytering, kreditbeslut, bedömningar) och var är det ren produktivitet (utkast, sammanfattningar, kod)? Den första kategorin kräver mer.
- Skriv en riktlinje på en sida. Vad som får matas in i vilka verktyg, vad som alltid ska granskas av en människa, vem man frågar vid tveksamhet. Samma logik som en säkerhetspolicy på en sida: kort och läst slår heltäckande och oläst.
- Kör ett kort pass för alla, ett längre för de berörda. Fyrtiofem minuter för hela personalen om vad verktygen gör, var de hittar på och vad som aldrig ska matas in. Ett fördjupat pass för dem som använder AI i beslut som påverkar människor.
- Dokumentera att ni gjort det. Datum, deltagare, innehåll, version av riktlinjen. Det här är hela skillnaden mellan en ansträngning och en ansträngning ni kan bevisa. Lägg riktlinjen i personalhandboken så följer den med varje ny anställd.
Bygg in det i introduktionen för nyanställda och sätt en påminnelse att se över riktlinjen två gånger om året. AI-verktygen byts snabbare än era policyer.
Tre misstag vi ser ofta
Att vänta på perfekt vägledning. Många bolag skjuter upp arbetet tills rättsläget “sätter sig”. Rättsläget har rört sig tre gånger på arton månader och kommer fortsätta röra sig. En enkel riktlinje som uppdateras är bättre än ingen riktlinje alls.
Att köpa en dyr certifiering. Det finns ett växande utbud av AI-kompetenscertifikat som marknadsförs som ett krav. De är inget krav. För de flesta SME är ett internt pass plus en dokumenterad riktlinje fullt tillräckligt och betydligt billigare.
Att blanda ihop kompetenskravet med dataskydd. AI-kompetens och GDPR är två separata spår som möts i praktiken. Matar ni personuppgifter i ett AI-verktyg behöver ni också ha ordning på registerförteckning och biträdesavtal. Ett AI-pass ersätter inte det arbetet.
Vanliga frågor (FAQ)
Måste alla anställda utbildas i AI? Nej. Kravet är proportionerligt och riktar sig mot dem som använder eller hanterar AI-system i arbetet. Använder bara ekonomiavdelningen ett AI-stöd behöver inte hela bolaget samma pass. Däremot vinner de flesta på en kort grundinformation till alla, eftersom AI-verktyg används mer utbrett än ledningen tror.
Vad kostar det att bryta mot artikel 4? Artikeln har ingen egen bötesnivå kopplad till sig i förordningen. Sanktioner beslutas nationellt och ska vara proportionerliga. Den praktiska kostnaden ligger oftare i förlorade affärer när en kund eller upphandlare frågar och ni inte kan svara.
Räcker det att vi har en AI-policy? En policy är halva svaret. Kravet handlar om att stödja utvecklingen av kompetens, alltså att människorna faktiskt vet något. En policy som ingen läst och ingen gått igenom är svag som bevis.
Vi använder bara ChatGPT ibland. Gäller det oss? Ja. Förordningen skiljer inte på betald och gratis användning. Omfattningen på era åtgärder får däremot anpassas: sporadisk användning av ett generellt verktyg kräver mindre än AI i rekryteringsbeslut.
Gäller kravet retroaktivt för AI vi införde tidigare? Kravet gäller er nuvarande användning. Verktyg ni införde 2024 omfattas alltså i dag, oavsett när de togs i bruk.
Vad hände egentligen med de andra AI Act-datumen? Omnibusändringen sköt fram flera högriskkrav, till den 2 december 2027 för fristående högrisksystem och den 2 augusti 2028 när AI är en säkerhetskomponent i en produkt. Delar av transparenskraven kring syntetiskt innehåll flyttades till den 2 december 2026, och nya förbud tillkom. Kravet på AI-kompetens flyttades däremot inte.
Var Polaris kommer in
Polaris samlar era riktlinjer, utbildningstillfällen och bevis på ett ställe, så att frågan “hur säkerställer ni AI-kompetens?” i nästa leverantörsenkät besvaras på fem minuter i stället för fem dagar. Ni ser också vilka områden som saknar dokumentation innan någon annan hittar luckan.
Vill ni veta var ni står i dag? Gör vår Compliance Health Check: tio frågor, färgkodat resultat, ingen inloggning.
Den här artikeln är allmän vägledning, inte juridisk rådgivning. AI-förordningen ändrades senast i juli 2026 och tolkningen utvecklas löpande. Vid osäkerhet om er specifika användning, ta hjälp av jurist.
