EU:s AI-förordning artikel 4: en praktisk guide till AI-kunnighet

Vad artikel 4 kräver

Artikel 4 i förordning (EU) 2024/1689, EU:s AI-förordning, lägger en direkt skyldighet på leverantörer och tillhandahållare av AI-system. De ska i möjligaste mån säkerställa en tillräcklig nivå av AI-kunnighet hos sin personal och hos andra som hanterar driften och användningen av AI-system för deras räkning. Kravet är proportionerligt. Det ska ta hänsyn till personernas tekniska kunskaper, erfarenhet och utbildning, och till det sammanhang där AI-systemen ska användas, inklusive de personer eller grupper som påverkas.

AI-kunnighet definieras i artikel 3.56 som den kompetens, kunskap och förståelse som gör det möjligt för leverantörer, tillhandahållare och berörda personer att införa AI-system på ett välgrundat sätt, och att bli medvetna om möjligheterna och riskerna med AI och den skada den kan vålla.

Vilka omfattas, och när

• Leverantörer, det vill säga organisationer som utvecklar AI-system eller släpper ut dem på EU-marknaden i eget namn eller under eget varumärke.
• Tillhandahållare, det vill säga organisationer som använder AI-system under eget ansvar i en yrkesmässig kontext. Det omfattar de flesta verksamheter som använder AI-verktyg från tredje part.
• Skyldigheten gäller oavsett AI-systemets riskklassificering, och den har gällt sedan den 2 februari 2025.

För en djupare genomgång av själva skyldigheten, se vår artikel om skyldigheter kring AI-kunnighet i EU:s AI-förordning.

Vad "tillräcklig" innebär i praktiken

Förordningen föreskriver ingen enskild kursplan. Men EU-kommissionens frågor och svar och vägledningen från AI-byrån pekar mot några byggstenar som en organisation bör kunna visa upp:

• En grundläggande AI-utbildning som täcker vad AI-system är, hur de fallerar, och hur de används ansvarsfullt.
• Anpassat djup efter roll. Mer innehåll för personer som konfigurerar, övervakar eller utövar tillsyn över AI-system, eller som arbetar med användningsområden med hög risk.
• Täckning av de risker som är specifika för din kontext, inklusive bias, felaktigheter, dataskydd, immateriella rättigheter och skyldigheter kring mänsklig tillsyn.
• Bevis på förståelse, inte bara närvaro. Vanligtvis ett kunskapstest med en bestämd godkäntgräns.
• Register som visar vem som genomfört vad, när, och på vilken nivå, bevarade tillräckligt länge för att tillfredsställa revisorer och tillsynsmyndigheter.

Att dokumentera efterlevnad: utbildning, test, register

De tre artefakter de flesta organisationer behöver är enkla att beskriva och svårare att hålla konsekventa i större skala:

1. Ett dokumenterat utbildningsprogram, med innehåll, lärandemål, målgrupp och versionshistorik.
2. Ett kunskapstest med en tydlig poängregel och en godkäntgräns, där samma svar alltid ger samma resultat.
3. Register per person. Vem som gjorde testet, när, vilken version av innehållet personen testades på, och utfallet, lagrat på ett sätt som motstår tysta ändringar.

För en revisor är frågan sällan "gav ni utbildning?" och nästan alltid "visa mig registren". Om registren kan ändras i efterhand är de svaga bevis. Om de inte kan det blir revisionen kort. Vår fördjupning om dokumentation av utbildning för efterlevnad av AI-förordningen går igenom varje artefakt i mer detalj.

Varför deterministisk poängsättning och oföränderliga register spelar roll

QLANKR Certify är byggt så att bevissidan av artikel 4 håller vid granskning:

• Deterministisk poängsättning. Varje test poängsätts på servern mot en fast facit. Samma svar ger alltid samma utfall. Ingen modellgenererad bedömning, ingen dold slump.
• Serverutfärdade certifikat. Ett certifikat utfärdas bara efter ett serververifierat godkänt resultat. Klienter kan inte skriva in certifikatrader direkt.
• Manipulationssäkra register. Utbildningsregister och utfärdade certifikat är skrivskyddade efter att de skapats, och kan bara byggas på, aldrig ändras. Den publika verifieringssidan bevisar att ett visst certifikat finns och utfärdats av oss.
• Publik verifiering. Revisorer och motparter kan bekräfta ett certifikat mot utfärdaren utan att gå via certifikatinnehavaren.

En praktisk checklista för artikel 4

• Identifiera vilka AI-system din organisation tillhandahåller eller använder.
• Kartlägg de roller som interagerar med varje system, och vilket djup av kunnighet varje roll behöver.
• Inför eller bygg utbildning som täcker grunderna plus rollspecifika risker.
• Testa förståelse med en bestämd godkäntgräns, inte bara närvaro.
• Behåll manipulationssäkra register, bevarade så länge skyldigheten gäller.
• Se över årligen, eller när AI-systemen eller deras användning förändras väsentligt.

Frågor och svar om bevis och revision

De frågor vi oftast får från personer inom compliance, HR och juridik som arbetar med artikel 4 för första gången.

Vad kräver artikel 4 i EU:s AI-förordning?

Artikel 4 kräver att leverantörer och tillhandahållare av AI-system i möjligaste mån säkerställer en tillräcklig nivå av AI-kunnighet hos personal och andra som hanterar driften och användningen av AI-system för deras räkning, med hänsyn till deras tekniska kunskaper, erfarenhet och utbildning, och till det sammanhang där AI-systemen ska användas.

Vem måste följa artikel 4?

Både leverantörer (organisationer som utvecklar eller släpper ut AI-system på EU-marknaden) och tillhandahållare (organisationer som använder AI-system under eget ansvar) omfattas. Skyldigheten gäller oavsett AI-systemets riskklassificering.

När började artikel 4 gälla?

Artikel 4 har gällt sedan den 2 februari 2025, före de flesta andra bestämmelserna i AI-förordningen.

Hur kan en organisation visa efterlevnad av AI-kunnighet?

Genom att dokumentera rollanpassad utbildning, testa förståelse med deterministisk poängsättning, och behålla manipulationssäkra register över vem som genomfört vilken utbildning och när, tillgängliga för granskning av ledning, revisorer eller tillsynsmyndigheter.

Vilka bevis kommer en revisor att be om?

Vanligtvis: utbildningsprogrammet (innehåll, version, målgrupp), testet och dess godkäntgräns, och register per person som kopplar en namngiven individ till ett daterat utfall på en specifik version av innehållet.

Räcker närvaro, eller behöver vi testa förståelse?

Enbart närvaro är svaga bevis. Artikel 4 talar om en tillräcklig nivå av kunnighet, vilket innebär att organisationen kan visa att personer faktiskt förstått materialet. Ett poängsatt test med en bestämd godkäntgräns är det renaste sättet att visa förståelse.

Hur länge bör vi behålla register över AI-utbildning?

Det finns ingen fast lagringstid i själva artikel 4. De flesta organisationer anpassar lagringen till sina bredare rutiner för compliance- och HR-register, ofta anställningstiden plus en bestämd period därefter, så att registren finns kvar så länge skyldigheten gäller och vid en senare granskning.

Behöver vi utbilda om på nytt när AI-verktygen ändras?

Ja, i praktiken. Artikel 4 är kontextberoende. När de AI-system som används, sättet de används på, eller riskerna de medför förändras väsentligt, bör grundnivån av kunnighet förnyas och dokumenteras på nytt för de berörda rollerna.

Krävs publikt verifierbara certifikat enligt artikel 4?

Nej. Artikel 4 föreskriver inget särskilt certifikatformat. Publik verifiering är ett sätt att göra det underliggande registret svårare att förfalska eller förneka, vilket stärker bevisvärdet av utbildningsregistret vid en revision.