AI Act delar in aktörer i roller: provider, deployer, importör, distributör. Vilken roll ni har avgör vilka skyldigheter som gäller.
Många svenska SMBs vet inte vilken roll de har. Det leder till att de antingen gör för lite — eller helt fel saker.
Två roller som spelar roll för SMBs
Provider (leverantör)
Ni är provider om ni utvecklar ett AI-system och placerar det på marknaden eller i drift. Det gäller oavsett om det sker under ert eget namn eller någon annans.
Exempel:
- Ni bygger en AI-chatbot med egen logik och träningsdata.
- Ni skapar ett AI-agentflöde som ni säljer som tjänst.
- Ni finjusterar en grundmodell och distribuerar resultatet.
Deployer (användare)
Ni är deployer om ni använder ett AI-system i er verksamhet. Ni har inte byggt det, men ni ansvarar för hur det används.
Exempel:
- Ni använder ChatGPT/Copilot i kundkontakt.
- Ni använder ert CRM:s inbyggda AI-funktioner för lead scoring.
- Ni använder en rekryteringsplattform med AI-screening.
Varför det spelar roll
Providers har betydligt fler skyldigheter: riskhantering, teknisk dokumentation, kvalitetssystem, loggning, conformity assessment (för hög-risk), och mer.
Deployers har färre men fortfarande viktiga skyldigheter: använda systemet enligt instruktioner, säkerställa mänsklig tillsyn, transparens mot berörda personer, och rapportera allvarliga incidenter.
Om ni tror att ni är deployer men egentligen är provider missar ni skyldigheter. Om ni tror att ni är provider men egentligen är deployer lägger ni resurser på fel saker.
Gråzonen: modifierad SaaS
Många SMBs befinner sig i en gråzon:
- Ni använder en SaaS-plattform med AI-funktioner → deployer.
- Men ni har anpassat AI:n med egna promptar, egen träningsdata eller egen logik → kan bli provider.
Tumregel: om ni har ändrat systemets avsedda syfte eller väsentligt modifierat det — betraktas ni sannolikt som provider för den modifierade versionen.
Exempel:
- Ni använder ChatGPT API och bygger en egen kundtjänstbot → provider.
- Ni använder HubSpots inbyggda AI-lead scoring → deployer.
- Ni finjusterar en LLM med era kunddata och levererar resultat → provider.
Klassificera per system
Gör inte en global bedömning ("vi är deployer"). Bedöm varje AI-system separat.
Lägg till en kolumn i ert AI-register:
| System | Roll | Motivering |
|---|---|---|
| ChatGPT (direkt) | Deployer | Används som tjänst utan modifiering |
| Kundservicebot (egen) | Provider | Byggd med egen logik och data |
| CRM lead scoring | Deployer | Leverantörens funktion, ej modifierad |
| AI-agentflöde (internt) | Provider | Egenbyggt agentflöde med verktyg |
Vad det innebär i praktiken
Om ni är deployer:
- Följ leverantörens instruktioner.
- Säkerställ mänsklig tillsyn.
- Informera berörda personer (transparens).
- Logga användning.
- Rapportera allvarliga incidenter.
Om ni är provider:
- Allt ovan, plus:
- Riskhanteringssystem.
- Teknisk dokumentation.
- Kvalitetsstyrning.
- Conformity assessment (hög-risk).
Nästa steg
Öppna ert AI-register. Lägg till en kolumn "Roll". Bedöm varje system: provider eller deployer? Dokumentera motiveringen.
Rätt rollbedömning är grunden för korrekt AI Act-arbete. Fel bedömning leder till fel prioriteringar.