Bedömning av högrisk-AI

Varför en särskild bedömningsprocess?

AI-förordningen ställer särskilda krav på system som kan påverka människors rättigheter, säkerhet eller tillgång till samhällstjänster. I kommunen handlar det ofta om beslutsstöd inom socialtjänst, utbildning, arbetsmarknad eller handläggning — områden där felaktiga eller partiska beslut får allvarliga konsekvenser för enskilda.

En högriskklassning ska inte undvikas. Tvärtom bidrar den till riskreducering genom ökade krav på kontroller, dokumentation och uppföljning. Den största risken uppstår när en AI-tillämpning felaktigt klassas som att inte vara högrisk.

Fem grundprinciper

Bedömningsprocessen vilar på fem principer som gäller genom hela livscykeln:

1. AI förändrar beslutsprocesser — inte bara verktyg. Varje system måste analyseras som en del av en kombinerad mänsklig–teknisk beslutsprocess.
2. AI är inte rättvist i sig. Rättvisa och trovärdighet uppstår i verksamhetens processer, inte i tekniken.
3. Ansvar kan inte automatiseras. Alla beslut som fattas med stöd av AI är fortfarande kommunens beslut.
4. Transparens ska möjliggöra förståelse och kontroll — inte bara formell dokumentation.
5. Risker uppstår i användning och över tid, inte enbart vid utveckling eller införande.

Processen i fyra nivåer

Den visuella översikten ovanför artikeln visar hur bedömningen byggs upp från organisatorisk förberedelse (Nivå 0) till löpande monitorering (Nivå 3). Varje nivå förutsätter att den föregående är på plats.

Nivå 0 — AI-förberedd organisation

Innan en specifik tillämpning bedöms måste grundstrukturerna finnas. Kartlägg befintliga beslutsprocesser och roller, fastställ en strategi för AI-användning med tydliga gränsdragningar, och säkerställ utbildning och AI-literacy hos medarbetare.

Från ett ansvarsperspektiv är Nivå 0 den viktigaste — det är här ansvar faktiskt tas och risker faktiskt hanteras.

Nivå 1 — Behovsanalys och krav

När ett AI-behov identifieras ska verksamheten dokumentera varför AI övervägs, vilka processer som påverkas, vilka initiala gränsdragningar kring risknivå som kan göras, samt hur Provider-rollen ser ut (intern utveckling eller extern leverantör).

Vid högrisk är det särskilt viktigt att tidigt identifiera om lösningen faller under AI-förordningens högriskklassning och att formulera krav som säkerställer att den valda lösningen klarar de kontroller som krävs.

Nivå 2 — Bedömning och klassificering

Detta är kärnan i högriskbedömningen. Här analyseras den specifika AI-tillämp­ ningen i detalj.

Krav på Provider (intern eller extern):

• Avsedd användning ska vara tydligt definierad.
• Transparent beskrivning av hur systemet fungerar, inklusive informations­ flöden och delbeslut.
• Riskanalys som täcker vem som påverkas, vilka effekter som kan uppstå och hur riskerna hanteras.
• Kvalitetsledning med rutiner för datakvalitet, bias-tester och monitorering.
• För extern Provider med högrisk-system krävs CE-märkning och fullständig dokumentation.

Analys av beslutsprocesser:

Ett centralt verktyg är informationsflödesmodeller (IFM) som visar vilka beslut som tas, vilken information som används, var mänskligt ansvar utövas och hur bias kan fortplanta sig genom processen.

Human-in-the-Loop-roller (HITL) är bara meningsfulla om personerna har verklig insyn, handlingsutrymme och tillgång till relevanta beslutsunderlag. Tomma HITL-roller som bara "tvättar" AI-utdata leder till just de problem som ska undvikas.

FRIA — Fundamental Rights Impact Assessment:

Innan ett högrisk-AI-system tas i bruk krävs en FRIA enligt AI-förordningen. Den ska bedöma effekten av den nya beslutsprocessen för berörda intressenter, identifiera påverkade grundläggande rättigheter, analysera risker med hänsyn till sannolikhet och allvarlighetsgrad, klassificera den totala risknivån, samt fastställa vilka verksamhetsförändringar som behövs.

Nivå 3 — Beslut och uppföljning

Här besvaras den avgörande frågan — "Bör vi använda AI för detta?" — baserat på alla underlag som byggts upp.

Processen omfattar ett formellt beslut som väger risk mot nytta, anpassning av arbetsflöden och utbildning av användare, en strukturerad testperiod med tydliga kriterier för vad som räknas som lyckat, samt långsiktig monitorering som täcker uppdateringar, verksamhets­förändringar och konsekvenser för berörda grupper.

Kvalitetsledning och ISO 42001

För organisationer som vill formalisera sitt AI-arbete ger standarden ISO/IEC 42001 en struktur för AI-ledningssystem. De fyra nivåerna passar väl ihop med standardens krav på organisation, planering, systematik och uppföljning — och kan användas som ett konkret operativt komplement.

När du är osäker

Kontakta AI-rådet och dataskyddsombudet innan en tillämpning tas i drift. Vänta inte tills användningen är igång — Nivå 0 och Nivå 1 är de billigaste tillfällena att ställa frågan "ska vi göra detta alls?".

Bedömningsprocessen är baserad på Compleys "Riktlinjer för AI" (2025).