Mer om AI-förordningen

CER-direktivet pekar ut samhällskritiska verksamheter och ställer krav på deras motståndskraft, medan AI-förordningen reglerar AI-system som används i sådana miljöer.

För energisektorn blir kopplingen särskilt relevant när AI används i säkerhetskritiska funktioner, exempelvis i OT-miljöer, övervakning eller driftsystem. Då behöver det prövas om AI-systemet är en säkerhetskomponent eller omfattas av högriskreglerna. PTS föreslås få huvudansvar för tillsyn och vägledning, medan sektorsmyndigheter behöver bidra med verksamhets- och sektorsspecifik kompetens.

AI-förordningen är riskbaserad. Det avgörande är inte att ett system använder AI, utan:

  • Vilken funktion AI-systemet har,
  • I vilket sammanhang det används,
  • Vilka risker det kan innebära för hälsa, säkerhet eller grundläggande rättigheter.

För energisektorn blir därför den centrala frågan ofta om AI-systemet är en säkerhetskomponent eller används det i en produkt eller verksamhet som omfattas av högriskreglerna.

När pekas ett system ut som högrisk?

Två huvudsituationer förekommer:

  1. AI är en säkerhetskomponent i en reglerad produkt Exempelvis om AI ingår i utrustning eller system som redan omfattas av EU:s produktsäkerhetsregler.
  2. AI används inom ett område som listas i bilaga III till AI-förordningen Till exempel vissa kritiska infrastrukturer, biometriska system eller system som påverkar människors rättigheter.

För energiföretag är det därför viktigt att bedöma:

  • Har AI-systemet en säkerhetsfunktion?
  • Kan fel i AI-systemet påverka människor, egendom eller samhällsviktig verksamhet?
  • Är användningen kopplad till kritisk infrastruktur eller en reglerad produkt?

PTS roll

Enligt AI-utredningen (SOU 2025:101) föreslås Post- och telestyrelsen (PTS) få det huvudsakliga ansvaret för marknadskontroll och samordning av AI-förordningen i Sverige. PTS föreslås även vara:

  • Samordnande marknadskontrollmyndighet
  • Gemensam kontaktpunkt mot EU
  • Ansvarig för generell vägledning om AI-förordningen
  • Ansvarig för den nationella AI-sandlådan

PTS föreslås få huvudansvar

Ett AI-system omfattas inte av AI-förordningens högriskkrav enbart för att det används i säkerhetsarbete. Det avgörande är om det utgör en säkerhetskomponent eller används inom ett område som AI-förordningen klassar som högrisk. I Sverige föreslås PTS få huvudansvaret för tillsyn och vägledning enligt AI-förordningen, medan sektorsmyndigheter behöver bidra med branschspecifik kompetens för samhällsviktig verksamhet.

Hur hänger AI-förordningen och CER-direktivet ihop?

CER-direktivet ställer krav på att verksamhetsutövare inom kritiska sektorer identifierar och hanterar risker som kan påverka leveransen av samhällsviktiga tjänster.

AI-förordningen ställer däremot krav på själva AI-systemet när det används i vissa riskfyllda sammanhang.

Det innebär att:

  • CER bedömer verksamhetens kritikalitet och motståndskraft.
  • AI-förordningen bedömer AI-systemets risknivå och säkerhetsegenskaper.

För ett energiföretag kan därför två parallella bedömningar behöva göras:

  1. Är verksamheten en kritisk verksamhet enligt CER?
  2. Är AI-systemet ett högrisk-AI-system enligt AI-förordningen?

Att en verksamhet omfattas av CER innebär inte automatiskt att alla AI-system i verksamheten blir högrisk-AI. Däremot ökar sannolikheten att vissa AI-system får en säkerhetskritisk funktion och därför omfattas av AI-förordningens högriskregler.