AI-förordningens kompetenskrav: så uppfyller ett småföretag det

Om någon på ert företag använder ChatGPT, Copilot eller något annat AI-verktyg i jobbet, omfattas ni av AI-förordningens artikel 4. Den säger att företag ska vidta åtgärder som stödjer utvecklingen av AI-kunnighet hos dem som använder verktygen. Kravet har gällt sedan den 2 februari 2025 (lydelsen justerades i juli 2026, mer om det nedan), och sedan den 2 augusti 2026 gäller förordningens sanktionsregler; i Sverige är tillsynsorganisationen ännu under beredning. Här går vi igenom vad kravet innebär i praktiken, vad ni ska kunna visa upp och var slarviga försök brukar spricka.

Vem kravet gäller

Artikel 4 riktar sig till både de som bygger AI-system och de som använder dem i sin verksamhet. Förordningen kallar det leverantörer och tillhandahållare. Ett vanligt tjänste- eller handelsbolag som använder färdiga AI-verktyg räknas som tillhandahållare. Det finns ingen storleksgräns: kravet gäller enmansbolaget lika väl som storbanken, men hur mycket som är rimligt att göra skiljer sig. Mer om det strax.

Kravet omfattar inte bara anställda. EU-kommissionens vägledning är tydlig med att även konsulter, praktikanter och inhyrd personal som använder AI för företagets räkning ska räknas in.

Vad AI-kunnighet betyder i praktiken

Lagtexten säger att åtgärderna ska anpassas efter personalens tekniska kunskap, erfarenhet och utbildning, och efter det sammanhang AI-systemen används i. Det är en rimlighetsregel. Någon lista över exakt vad var och en ska kunna finns inte i lagen. För ett småföretag som använder generativa AI-verktyg i kontorsarbete handlar det i praktiken om att medarbetarna ska förstå:

• vad verktygen kan och inte kan (att de gissar övertygande, hittar på källor och gör fel med siffror och negationer),
• vilka uppgifter som inte får matas in (personuppgifter, kunddata, affärshemligheter, och varför),
• att en människa alltid ansvarar för det som skickas eller publiceras,
• vart man vänder sig när något går fel eller känns osäkert.

EU-kommissionen publicerade i maj 2025 ett frågor-och-svar-dokument om artikel 4. Tre besked därifrån styr hur arbetet bör läggas upp, och de är goda nyheter för ett litet bolag med begränsad budget:

1. Inget certifikat krävs. Kommissionen skriver uttryckligen att det inte behövs certifikat eller formella prov. Intern dokumentation av utbildning och andra insatser räcker.
2. Ingen bestämd utbildningsform krävs. Det som räknas är att insatserna är anpassade till hur AI används hos er.
3. Ingen garanterad nivå krävs. Sedan juli 2026 säger lagtexten uttryckligen att ni ska vidta åtgärder som stödjer AI-kunnigheten, inte att någon viss kunskapsnivå garanteras hos varje enskild medarbetare.

Att inget certifikat krävs betyder att ni slipper köpa dyra kurser. Det betyder inte att dokumentation är onödig: kan ni inte visa vad ni gjort, har ni i praktiken inte gjort det. Er egen dokumentation räcker, om den finns: vem som gått vilken utbildning, när, och vad den täckte.

Vad händer om man struntar i det?

Först en precisering, så att ni lägger kraften på rätt ställe: artikel 4 har ingen egen bötesbestämmelse i förordningen. De stora beloppen som citeras i rubriker (upp till 35 miljoner euro) gäller förbjudna AI-metoder, inte kompetenskravet. Risken för ett småföretag ser annorlunda ut, och den är mer vardaglig.

Det betyder inte att kravet är tandlöst. Sedan den 2 augusti 2026 ska EU-länderna ha tillsynsmyndigheter och sanktionsregler på plats. I Sverige har en statlig utredning (SOU 2025:101) föreslagit att Post- och telestyrelsen blir samordnande tillsynsmyndighet, med IMY och Finansinspektionen ansvariga för delar av området. Kompetensbrister blir dessutom relevanta den dag något går snett: har en anställd matat in kunddata i fel verktyg, är frågan om företaget gett rimlig utbildning en del av bedömningen, både enligt AI-förordningen och enligt GDPR, som gäller parallellt hela tiden.

Ett exempel. Tänk er en bemanningsfirma med åtta anställda. En konsultchef vill snabbt sammanfatta ett tiotal kandidaters CV:n inför ett kundmöte och klistrar in dem, med namn och personnummer, i ett gratis AI-verktyg på sitt privata konto. Ingen har sagt att det är fel, för ingen har sagt något alls. När en kandidat frågar hur firman hanterar hens uppgifter ställs firman inför två frågor: var tog uppgifterna vägen, och vad hade ni gjort för att förhindra det? Med en genomförd och dokumenterad utbildning, en godkänd verktygslista och en ansvarig att fråga hade konsultchefen haft en regel att luta sig mot och ett godkänt verktyg att göra samma jobb i, och hade det ändå gått fel hade firman kunnat visa att den gjort vad som rimligen kan begäras. Utan det står firman med ett GDPR-ärende och inget att visa upp.

Räkna också med att frågan kan komma utifrån: "hur styr ni er AI-användning?" Den kan komma från kunder som själva har krav på sig, från upphandlingar och från försäkringsbolag som vill veta hur ni hanterar data. Ett svar som består av utbildning, policy och dokumentation tar några minuter att ge. Har ni inget av det blir frågan obekväm. Skälet att göra det här ordentligt är alltså vardagligt: där folk använder AI utan att förstå riskerna är det bara en tidsfråga innan något hamnar i fel verktyg, och den dagen vägs det ni gjort in.

Vad som behöver göras

1. Inventera. Vilka AI-verktyg används redan hos er, inklusive de som smugit sig in via privata konton? Listan brukar förvåna.
2. Utse en ansvarig. I ett litet bolag är det ofta VD själv. Poängen är att någon äger frågan: godkänner verktyg, tar emot incidenter, håller listan aktuell.
3. Utbilda. En genomgång på någon timme som täcker punkterna ovan, anpassad till era verktyg och er data. Alla som använder AI i arbetet ska med, även konsulter.
4. Dokumentera. Skriv ner vem som deltog och när. Ett enkelt kunskapstest med intyg är inte ett lagkrav, men det gör dokumentationen konkret och repetitionen mätbar.
5. Sätt en policy och håll den levande. Utbildning utan regler glöms bort. En AI-policy på några sidor (vad som är tillåtet, vilka verktyg som är godkända, hur incidenter hanteras) är det som gör kompetensen till en arbetsrutin. Vi har skrivit en egen genomgång av vad en AI-policy för småföretag ska innehålla.

En sak till som är lätt att missa: i juli 2026 ändrade EU delar av AI-förordningen genom den så kallade omnibusförordningen. Kraven på högrisksystem flyttades till slutet av 2027 och 2028, och artikel 4 fick en mjukare lydelse: från att "säkerställa en tillräcklig nivå av AI-kompetens" till att "vidta åtgärder för att stödja utvecklingen av AI-kunnighet", med förtydligandet att ingen viss nivå behöver garanteras hos någon enskild. Kravet på att göra något finns alltså kvar, men lagtexten begär inte längre ett resultat som ingen arbetsgivare kan garantera. Även reglerna om öppenhet i artikel 50 började gälla den 2 augusti 2026: chattbottar mot kund ska presentera sig som AI, och AI-genererat material ska märkas i vissa fall.

Om ni vill ha allt färdigt

Stegen ovan går att göra själv med den här artikeln som karta. Det som brukar fallera i egenbygget är inte första genomgången utan fortsättningen: att nyanställda får samma genomgång som de första, och att någon märker när villkor eller lagtext ändras, som artikel 4 gjorde i juli 2026. Vill ni ha allt färdigt att köra på en arbetsdag, och hållet uppdaterat när rättsläget ändras, finns AI-kompetenspaketet för 2 990 kr ex moms: utbildning, kunskapstest med intyg, policymall, verktygsbedömningar och checklista.