EU har börjat tillämpa artikel 4 i AI-förordningen. Det här behöver organisationer veta

Någonstans i din organisation använder någon ett AI-verktyg för att skriva ett utkast till ett kundmejl, granska ett CV eller flagga en efterlevnadsrisk, och litar mer på resultatet än hen borde, eller mindre än hen behöver.

Det är ett gap i AI-kunnighet, och sedan februari 2025 är det inskrivet i EU-lagstiftningen.

Artikel 4 i AI-förordningen kräver att leverantörer och tillhandahållare vidtar åtgärder som främjar tillräcklig AI-kunnighet hos sin personal. Den 2 augusti 2026 fick nationella marknadskontrollmyndigheter i hela EU, däribland tyska BNetzA och Irlands nyinrättade AI Office, formell befogenhet att kontrollera om organisationer lever upp till kravet.

Vad artikel 4 faktiskt kräver

Artikel 4 brukar misstolkas åt två motsatta håll: antingen utgår organisationer från att den inte gäller dem, eller så förbereder de sig på en strikt gräns där man antingen klarar sig eller inte. Inget av det stämmer.

Artikel 4 är bredare än många tror. Den gäller både leverantörer och tillhandahållare, och alla AI-system som omfattas, inte bara högrisksystem. Den föreskriver heller ingen enhetlig utbildningsstandard. I stället kräver den att organisationer främjar en AI-kunnighet som är anpassad efter varje persons roll och riskerna med de system hen använder.

Ett ekonomiteam som driver en egen modell för kreditbedömning behöver en annan förståelsedjup än ett kontor som använder en chattbot för att skriva interna PM. I praktiken innebär det att en och samma AI-kurs som skickas ut till hela företaget inte räcker för att uppfylla kravet. Utbildningen måste anpassas efter vad varje roll faktiskt gör med AI och hur stor risk den användningen medför.

Ribban ligger å andra sidan lägre än en strikt läsning antyder. Genom Digital Omnibus, som Europaparlamentet ställde sig bakom i juni 2026 och rådet godkände samma månad, ändrades formuleringen från en skyldighet att säkerställa AI-kunnighet till en skyldighet att främja dess utveckling. Juridiskt sett är det en förskjutning från en resultatförpliktelse till en insatsförpliktelse. Organisationer behöver inte garantera att varje medarbetare når en fast nivå av AI-kunnighet. Men de måste kunna visa verkliga, löpande insatser och dokumentera dem.

Kan kravet på AI-kunnighet leda till böter?

Även på en annan punkt visar sig skyldigheten vara lindrigare än väntat. Artikel 99, AI-förordningens sanktionsbestämmelser, räknar inte upp artikel 4 som en bestämmelse som i sig kan ge böter. Men artikel 99 anger också vilka försvårande och förmildrande omständigheter tillsynsmyndigheterna ska väga in när de väl har konstaterat en överträdelse av någon annan bestämmelse, och det är precis där ett dokumenterat gap i AI-kunnighet kommer in i bilden. Om ett AI-system med hög risk orsakar skada och en utredning visar att personalen som övervakade systemet inte förstod vad det gjorde, behövs ingen särskild paragraf om den uteblivna utbildningen för att böterna ska bli högre.

Det är viktigt att komma ihåg att medlemsstaterna fortfarande får fastställa egna nationella sanktioner för överträdelser som inte täcks av nivåerna på EU-nivå. ”Inga böter på EU-nivå” betyder alltså inte ”inga böter någonstans”, så kontrollera den nationella genomförandelagstiftningen innan du drar några slutsatser. 

Men böter är inte det främsta skälet till att organisationer bör bry sig om AI-kunnighet. 

Därför spelar AI-kunnighet roll, oavsett sanktioner

I grunden handlar AI-kunnighet om omdömet att veta när man kan lita på det AI levererar och när det behöver kontrolleras. Det argumentet behöver ingen tillsynsmyndighet i ryggen. En medarbetare som inte förstår att en modell kan ha fel med full övertygelse kommer att agera på en påhittad siffra som om den vore fakta. Den som inte förstår vilken data ett urvalsverktyg har tränats på kommer att lita på dess kortlista utan att kontrollera vilka som i tysthet sorterades bort.

De organisationer som får verkligt värde av AI i dag är därför inte de som har de mest avancerade verktygen. Det är de där medarbetarna vet tillräckligt för att kunna avgöra när ett resultat går att lita på och när det behöver kontrolleras. Det är det AI-kunnighet egentligen skyddar: inte en efterlevnadspärm, utan kvaliteten i varje beslut som AI påverkar.

Den affärsmässiga drivkraften ligger troligen närmare än den regulatoriska

För de flesta medelstora organisationer ligger det långt borta att en marknadskontrollmyndighet skulle knacka på dörren på grund av bristande AI-kunnighet. Att en kund i sitt frågeformulär för leverantörsgranskning ber om belägg för den gör det däremot inte. 

Mönstret känns igen för alla som var med när SOC 2 eller ISO 27001 blev affärsmässiga förutsättningar snarare än regulatoriska krav. Kravet dök upp i upphandlingar långt innan någon oroade sig för en tillsynsmyndighet, eftersom kunden ville ha garantier för att leverantörens medarbetare visste vad de gjorde med känsliga system. AI-kunnighet verkar vara på väg åt samma håll. Oavsett om det redan efterfrågas i ett visst avtal är det ett rimligt antagande för alla som säljer till kunder som redan frågar efter ISO eller SOC 2.

Så ser bevis på utbildning i AI-kunnighet ut

Tillsynsvägledningen är samstämmig på en punkt: ett policydokument som ligger i en mapp räknas inte som bevis. Det som tillsynsmyndigheter, och i allt högre grad upphandlingsteam, förväntar sig är löpande förda, granskningsbara utbildningsregister: vem som har utbildats, när, i vad och hur deras förståelse har bedömts. Det är lika mycket en fråga om dokumentation som om utbildningsinnehåll. Och det är samma dokumentationsfråga som organisationer redan löser för ISO 9001 avsnitt 7.2, SOC 2 eller branschspecifika certifieringar: att visa vem som har vilken kompetens och när den senast verifierades.

Organisationer som redan för register över certifikat och kompetenser för andra standarder har ett försprång här. Infrastrukturen för att visa AI-kunnighet är densamma, bara riktad mot ett nytt område. Den hamnar bredvid andra personalrelaterade skyldigheter som landar på samma skrivbord i år, bland annat de snävare men närliggande rapporteringskraven enligt CSRD:s ESRS S1.

Slutsatsen

Artikel 4 har egentligen inte fått vassare tänder den här veckan, utan snarare en tillsyn som faktiskt fungerar. Om det leder till ett tidigt och uppmärksammat fall eller inte spelar i stort sett mindre roll. De organisationer som drar det längsta strået blir de som ser AI-kunnighet som en levande kompetens för att använda AI på ett klokt sätt, inte som en punkt att bocka av, till exempel en genomförd utbildning, och som bygger upp underlaget som visar det innan någon ens frågar. Om ni redan dokumenterar certifikat och kompetensbevis för andra standarder är det här ytterligare något som hör hemma på samma ställe.