AI-förordningens kompetenskrav — vad småföretag faktiskt måste göra

Om någon på ert företag använder ChatGPT, Copilot eller något annat AI-verktyg i jobbet, omfattas ni av AI-förordningens artikel 4. Den säger att företag ska vidta åtgärder som stödjer utvecklingen av AI-kunnighet hos dem som använder verktygen. Kravet har gällt sedan den 2 februari 2025 (lydelsen justerades i juli 2026 — mer om det nedan), och sedan den 2 augusti 2026 är tillsynen av förordningen på plats i EU. Här går vi igenom vad kravet innebär i praktiken — och lika viktigt: vad som inte krävs.

Vem kravet gäller

Artikel 4 riktar sig till både de som bygger AI-system och de som använder dem i sin verksamhet — förordningen kallar det leverantörer och tillhandahållare. Ett vanligt tjänste- eller handelsbolag som använder färdiga AI-verktyg räknas som tillhandahållare. Det finns ingen storleksgräns: kravet gäller enmansbolaget lika väl som storbanken, men hur mycket som är rimligt att göra skiljer sig — mer om det strax.

Kravet omfattar inte bara anställda. EU-kommissionens vägledning är tydlig med att även konsulter, praktikanter och inhyrd personal som använder AI för företagets räkning ska räknas in.

Vad AI-kunnighet betyder i praktiken

Lagtexten säger att åtgärderna ska anpassas efter personalens tekniska kunskap, erfarenhet och utbildning, och efter det sammanhang AI-systemen används i. Det är en rimlighetsregel, inte en examenskatalog. För ett småföretag som använder generativa AI-verktyg i kontorsarbete handlar det i praktiken om att medarbetarna ska förstå:

• vad verktygen kan och inte kan (att de gissar övertygande, hittar på källor och gör fel med siffror och negationer),
• vilka uppgifter som inte får matas in (personuppgifter, kunddata, affärshemligheter — och varför),
• att en människa alltid ansvarar för det som skickas eller publiceras,
• vart man vänder sig när något går fel eller känns osäkert.

EU-kommissionen publicerade i maj 2025 ett frågor-och-svar-dokument om artikel 4. Tre besked därifrån är värda att känna till, eftersom de tar udden av mycket av det som säljs in med skrämsel:

1. Inget certifikat krävs. Kommissionen skriver uttryckligen att det inte behövs certifikat eller formella prov — intern dokumentation av utbildning och andra insatser räcker.
2. Ingen bestämd utbildningsform krävs. Det avgörande är att insatserna är anpassade till hur ni faktiskt använder AI.
3. Ingen garanterad nivå krävs. Sedan juli 2026 säger lagtexten uttryckligen att ni ska vidta åtgärder som stödjer AI-kunnigheten — inte att någon viss kunskapsnivå garanteras hos varje enskild medarbetare.

Att inget certifikat krävs betyder inte att dokumentation är onödig — tvärtom. Kan ni inte visa vad ni gjort, har ni i praktiken inte gjort det. Men det räcker med er egen dokumentation: vem som gått vilken utbildning, när, och vad den täckte.

Vad händer om man struntar i det?

Här är det läge att vara ärlig, för det förekommer överdrifter: artikel 4 har ingen egen bötesbestämmelse i förordningen. De stora beloppen som citeras i rubriker (upp till 35 miljoner euro) gäller förbjudna AI-metoder, inte kompetenskravet.

Det betyder inte att kravet är tandlöst. Sedan den 2 augusti 2026 ska EU-länderna ha tillsynsmyndigheter och sanktionsregler på plats. I Sverige har en statlig utredning (SOU 2025:101) föreslagit att Post- och telestyrelsen blir samordnande tillsynsmyndighet, med IMY och Finansinspektionen ansvariga för delar av området. Och kompetensbrister blir relevanta den dag något går snett: har en anställd matat in kunddata i fel verktyg, är frågan om företaget gett rimlig utbildning en del av bedömningen — både enligt AI-förordningen och enligt GDPR, som gäller parallellt hela tiden.

Så det ärliga skälet att göra det här är inte bötesskräck. Det är att kravet är rimligt i sak: företag där folk använder AI utan att förstå riskerna läcker förr eller senare något de inte borde.

Vad som faktiskt behöver göras — fem steg

1. Inventera. Vilka AI-verktyg används redan hos er, inklusive de som smugit sig in via privata konton? Listan brukar förvåna.
2. Utse en ansvarig. I ett litet bolag är det ofta VD själv. Poängen är att någon äger frågan: godkänner verktyg, tar emot incidenter, håller listan aktuell.
3. Utbilda. En genomgång på någon timme som täcker punkterna ovan, anpassad till era verktyg och er data. Alla som använder AI i arbetet ska med, även konsulter.
4. Dokumentera. Skriv ner vem som deltog och när. Ett enkelt kunskapstest med intyg är inte ett lagkrav, men det gör dokumentationen konkret och repetitionen mätbar.
5. Sätt en policy och håll den levande. Utbildning utan regler glöms bort. En AI-policy på några sidor — vad som är tillåtet, vilka verktyg som är godkända, hur incidenter hanteras — är det som gör kompetensen till en arbetsrutin. Vi har skrivit en egen genomgång av vad en AI-policy för småföretag ska innehålla.

En sak till som är lätt att missa: i juli 2026 ändrade EU delar av AI-förordningen genom den så kallade omnibusförordningen. Kraven på högrisksystem flyttades till slutet av 2027 och 2028, och artikel 4 fick en mjukare lydelse: från att "säkerställa en tillräcklig nivå av AI-kompetens" till att "vidta åtgärder för att stödja utvecklingen av AI-kunnighet", med förtydligandet att ingen viss nivå behöver garanteras hos någon enskild. Kravet på att göra något finns alltså kvar — det blev bara ärligare mot hur kompetens fungerar. Även reglerna om öppenhet i artikel 50 började gälla den 2 augusti 2026: chattbottar mot kund ska presentera sig som AI, och AI-genererat material ska märkas i vissa fall.

Om ni vill ha allt färdigt

Stegen ovan går att göra själv med den här artikeln som karta. Vill ni ha allt färdigt att köra på en arbetsdag — utbildning, kunskapstest med intyg, policymall, verktygsbedömningar och checklista — finns AI-kompetenspaketet för 1 990 kr ex moms.