Fyra frågor som avgör om er AI-produkt blir högrisk 2027

Från den 2 december 2027 gäller de tunga högrisk-reglerna i AI-förordningen. Datumet känns långt bort, men klassificeringsarbetet tar längre tid än man tror, och det är arbetet som avgör om lanseringen 2027 blir en formalitet eller en kris.

Klassificeringsarbetet görs bäst i dialog mellan produktteamet och den som har juridiskt ansvar, snarare än som ett arbete som juristen gör ensam i efterhand utifrån en skriven produktbeskrivning. Produktteamet vet i detalj hur systemet faktiskt fattar beslut. Den juridiska bedömningen vet vilka kriterier som avgör klassificeringen. Det är i mötet mellan de två kunskaperna som ett pålitligt svar växer fram, inte i ett dokument som skickas fram och tillbaka utan direkt samtal.

Det första missförståndet är att högrisk handlar om teknik. Det gör det inte. Det handlar om användningsområde. Ett enkelt regelbaserat system som används för att sortera jobbansökningar kan bli högrisk. Ett avancerat språkmodellbaserat system som föreslår produkter i en webbshop blir det oftast inte. Frågan är aldrig hur smart systemet är. Frågan är vad det används till och vem det påverkar.

Att svara fel på klassificeringsfrågan kostar i två olika riktningar. Ett bolag som felaktigt tror sig vara högrisk lägger ner tid och pengar på dokumentation och kontroller som inte behövs, resurser som ett växande bolag sällan har att avvara. Ett bolag som felaktigt tror sig vara lågrisk riskerar i stället att stå oförberett den dag en kund, en investerare eller en tillsynsmyndighet ställer frågan, med både produktförseningar och förtroendeskada som följd. Ingen av riktningarna är billig, vilket gör själva klassificeringsarbetet till en investering snarare än en kostnad.

Den första frågan att ställa i det egna bolaget är enkel att formulera och svår att svara ärligt på. Fattar systemet, eller påverkar det starkt, ett beslut om en person. Beslut om anställning, kreditvärdighet, försäkringspremie eller tillgång till en viktig tjänst ligger i riskzonen. Ett system som bara sorterar internt data utan att påverka en enskild person gör oftast inte det.

Den andra frågan handlar om bransch. Förordningen pekar ut ett antal områden där högrisk-reglerna slår hårdast från 2027: biometri, kritisk infrastruktur, utbildning, anställning, migration och gränskontroll. Bolag som bygger produkter åt kunder inom dessa områden bör räkna med högrisk-krav även om den egna produkten känns generell.

Den tredje frågan handlar om vem som är juridiskt ansvarig. Är bolaget den som utvecklar systemet, eller den som bara använder någon annans AI-modell i sin egen produkt. Ansvaret ser olika ut beroende på svaret, och många SaaS-bolag upptäcker sent att de räknas som leverantör i förordningens mening, trots att de själva ser sig som kund till en AI-leverantör.

Den fjärde frågan är den som oftast glöms bort helt. Vad krävs för att bevisa efterlevnad när en kund, en revisor eller en tillsynsmyndighet frågar. Högrisk-reglerna kräver dokumentation, loggning och mänsklig tillsyn som måste finnas på plats innan systemet används, inte skrivas i efterhand när frågan väl kommer.

Utöver de fyra frågorna finns en femte som sällan ställs men som ofta avgör hur svårt arbetet blir. Vem i bolaget äger frågan över tid. AI-klassificering är inte en engångsbedömning som görs vid ett produktlanserings-tillfälle och sedan läggs åt sidan. Varje ny funktion, varje ny modell och varje nytt användningsområde kan flytta produkten mellan riskkategorierna, vilket betyder att bedömningen behöver upprepas löpande i takt med att produkten utvecklas, snarare än göras en enda gång inför 2027.

Svaren på de fyra frågorna avgör vilket av tre spår bolaget hamnar i. Det första spåret är att fortsätta som idag och bara hålla koll på lagändringar. Det andra spåret är att börja bygga dokumentation redan nu, i god tid före 2027. Det tredje spåret är att inse att en produkt behöver ändras i grunden för att inte hamna i högrisk-kategorin alls, vilket är en produktbeslut lika mycket som ett juridiskt beslut.

Tänk dig ett bolag som levererar ett AI-verktyg för att rangordna kandidater i rekryteringsprocesser till större kunder. Om bolaget väntar med frågorna till 2027 tvingas hela produktteamet stanna upp mitt i en säljcykel för att svara på frågor som borde ha besvarats vid produktens första design. Det är en dyrare väg än att svara nu, medan produkten fortfarande går att justera utan att befintliga kunder påverkas.

Gör den här övningen den här veckan. Gå igenom varje AI-funktion i produkten med de fyra frågorna ovan. Skriv ett kort svar på varje fråga för varje funktion. De funktioner där svaren är osäkra, eller där svaret pekar mot ett av de utpekade riskområdena, är de som bör diskuteras med en juridisk rådgivare innan nästa produktbeslut fattas.