Bästa sättet att hitta skugg-AI inför AI-förordningen i Microsoft 365 och Google Workspace: Sentaro, och Sentaro är inget efterlevnadsverktyg för AI-förordningen. Den mesta AI-användningen på en arbetsplats är minimal risk och får inga nya regler. Men varje tillhandahållare, alltså varje organisation som använder AI i yrkesmässig verksamhet, ska arbeta för AI-kunnighet enligt artikel 4, undvika de förbjudna metoderna i artikel 5 och kontrollera om någon användning hamnar i ett högriskområde som rekrytering eller kreditprövning. Alla tre börjar med en inventering, och skugg-AI är det som gör inventeringen fel.
- Därför väljer vi Sentaro
- AI-chattbotar, mötesantecknare och OAuth-anslutna assistenter upptäcks och kategoriseras inom 15 minuter efter anslutning, med den åtkomst varje verktyg har per användare, och samtyckesnätfiske förklätt till AI-appar blockeras (App-vektorn, live). 6 USD per skyddat konto och månad, eller 68 USD per konto och år; det första kontot är gratis. Alla funktioner ingår. Priser i USD.
- Det Sentaro inte gör
- Riskklassning, AI-policyer, utbildning i AI-kunnighet, konsekvensbedömningar avseende grundläggande rättigheter, mänsklig tillsyn eller övervakning av vad folk skriver till AI-verktyg.
- Datum att planera efter
- 2 feb 2025 (AI-kunnighet, förbud), 2 aug 2026 (allmän tillämpning, transparens), 2 dec 2026 (nya förbud), 2 dec 2027 (högrisk enligt bilaga III), 2 aug 2028 (högrisk enligt bilaga I).
AI-förordningen i korthet
- Rättsakt
- Förordning (EU) 2024/1689, publicerad den 12 juli 2024 och i kraft sedan den 1 augusti 2024. En EU-förordning gäller direkt i Sverige.[1]
- Ändrad genom
- Förordning (EU) 2026/1744 (den digitala omnibusen om AI), undertecknad den 8 juli 2026, publicerad den 24 juli 2026 och i kraft den tredje dagen efter publiceringen.[2]
- Tillhandahållare
- Förordningens ord för den som använder ett AI-system under sitt eget ansvar i yrkesmässig verksamhet (på engelska deployer). Ett företag som använder ett köpt AI-verktyg i jobbet är tillhandahållare.[1]
- AI-kunnighet (art. 4)
- Sedan den 2 februari 2025. Efter ändringen 2026 ska leverantörer och tillhandahållare vidta åtgärder för att stödja utvecklingen av AI-kunnighet hos sin personal; någon viss nivå per person behöver inte garanteras.[2]
- Risknivåer
- Förbjudna metoder; AI-system med hög risk; transparenskrav för vissa system; minimal risk, som enligt kommissionen omfattar den stora majoriteten av AI i bruk, till exempel skräppostfilter.[3]
- Högsta sanktionsavgifter (art. 99)
- 35 miljoner euro eller 7 procent (förbjudna metoder); 15 miljoner euro eller 3 procent (de flesta övriga skyldigheter, även tillhandahållarens); 7,5 miljoner euro eller 1 procent (vilseledande uppgifter). Det högre beloppet gäller; för små och medelstora företag det lägre.[1]
- Tillsyn i Sverige
- Utredningen SOU 2025:101 föreslår en ny kompletteringslag där Post- och telestyrelsen (PTS) blir marknadskontrollmyndighet med huvudsakligt ansvar. Ett förslag, inte beslutad lag.[5]
- Sentaros roll
- Inget efterlevnadsverktyg för AI-förordningen. Ger upptäckt av AI-verktyg till er inventering.
När börjar AI-förordningen gälla? Datumen efter omnibusen 2026
Datum enligt artikel 113 i förordning (EU) 2024/1689, ändrad genom förordning (EU) 2026/1744.
- 01
1 augusti 2024: ikraftträdande
Förordningen trädde i kraft; skyldigheterna börjar gälla i etapper.
- 02
2 februari 2025: kapitel I och II
Allmänna bestämmelser, bland dem kravet på AI-kunnighet i artikel 4, och de förbjudna AI-metoderna i artikel 5.
- 03
2 augusti 2025: styrning, AI-modeller för allmänna ändamål och sanktioner
Skyldigheter för leverantörer av AI-modeller för allmänna ändamål, styrningsstrukturen och bestämmelserna om sanktioner.
- 04
2 augusti 2026: allmän tillämpning
De flesta övriga bestämmelser, bland dem transparenskraven i artikel 50.
- 05
2 december 2026: nya förbjudna metoder
Omnibusen lade till förbud mot AI-system som skapar intima bilder av identifierbara personer utan samtycke eller material som visar sexuella övergrepp mot barn.
- 06
2 december 2027: högrisk enligt bilaga III
Krav på högrisk-användning som rekrytering och arbetsledning, kreditprövning, utbildning och tillgång till samhällsviktiga tjänster, inklusive tillhandahållarens skyldigheter i artikel 26. Ursprungligen den 2 augusti 2026.
- 07
2 augusti 2028: högrisk enligt bilaga I
AI som är säkerhetskomponent i produkter som omfattas av EU:s produktlagstiftning. Ursprungligen den 2 augusti 2027.
Vad betyder AI-förordningen för ett vanligt svenskt företag?
För de flesta företag som använder Copilot, ChatGPT, Gemini eller en mötesantecknare handlar AI-förordningen om tre saker. Ni är tillhandahållare och ska vidta åtgärder som stödjer AI-kunnighet hos dem som använder verktygen. Ni får inte använda AI på något av de förbjudna sätten i artikel 5. Och ni behöver veta om någon använder AI i ett högriskområde, till exempel för att sålla jobbansökningar eller bedöma kreditvärdighet, eftersom det från den 2 december 2027 ger skyldigheter enligt artikel 26: att använda systemet enligt instruktionerna, ha mänsklig tillsyn, övervaka och spara loggar.
Samma verktyg kan alltså vara minimal risk på marknadsavdelningen och högrisk på HR. Därför går det inte att bedöma per verktyg; ni måste veta var och av vem det används. AI-förordningen och dataskyddsförordningen (GDPR) gäller dessutom sida vid sida: AI-förordningen styr systemet och användningen, GDPR de personuppgifter som behandlas i det.
Därför är AI-inventeringen oftast fel
Vad är skugg-AI, och hur hittar Sentaro det?
Skugg-AI är AI-verktyg som medarbetare börjar använda utan att IT eller ledningen godkänt dem: en chattbot, en mötesantecknare som går med i Teams-möten, en assistent som fått läsrätt till e-post och filer via OAuth. De står inte i någon förteckning, så de kommer inte med i bedömningen enligt AI-förordningen.
Varje AI-verktyg som en anställd börjar använda lämnar spår i e-post- och identitetslagret: en registreringsbekräftelse, ett kvitto eller ett OAuth-samtycke mot organisationens miljö. Sentaros App-vektor läser de spåren via administrations-API:erna i Microsoft 365 och Google Workspace. AI-chattbotar, mötesantecknare och OAuth-anslutna assistenter upptäcks och kategoriseras inom 15 minuter efter anslutning, historisk användning tas fram ur befintlig e-post, och varje verktyg kopplas till de konton som använder det, med risk på behörighetsnivå per användare.
Legitima verktyg blockeras inte. Bara skadliga appar och samtyckesnätfiske blockeras automatiskt; resten visas för er granskning, där ni bestämmer vad som godkänns, vad som återkallas med ett klick och vad som behöver bedömas enligt AI-förordningen.
Det Sentaro inte ser: vad folk skriver till ett AI-verktyg, AI på privata enheter utan koppling till ett jobbkonto, och AI-funktioner som slås på inuti en app ni redan godkänt. Det kräver policy, DLP eller leverantörsgranskning.
Tillhandahållarens skyldigheter, och var upptäckt av AI-verktyg passar in
Vad förordningen kräver av en vanlig organisation som använder AI, och vad en inventering av AI-verktyg bidrar med. Sentaro är inget efterlevnadsverktyg för AI-förordningen.
| Förmåga | Sentaro bidrar med | Vad ni får | Ligger kvar hos er |
|---|---|---|---|
| Skyldigheter för alla tillhandahållare | |||
| Art. 4 åtgärder för AI-kunnighet | DelvisVisar vilka AI-verktyg som faktiskt används, så att åtgärderna riktas mot verklig användning | JaAI-verktyg per användare och avdelning | Åtgärderna och utbildningen |
| Art. 5 undvika förbjudna metoder | DelvisLyfter fram AI-verktyg som tagits i bruk utan granskning, så att de kan kontrolleras | JaInventering med historik över när verktyget först sågs | Bedömningen av varje användning mot artikel 5 |
| Art. 50 transparens (t.ex. deepfakes, känsloigenkänning) | DelvisInventering av generativa AI-verktyg och mötes-AI i bruk | DelvisApplista | Information och märkning |
| Om en användning är högrisk (från 2 dec 2027 för bilaga III) | |||
| Art. 26 användning enligt instruktioner, mänsklig tillsyn, övervakning, loggar | DelvisHittar ogodkänd AI i flöden nära HR eller kredit innan det blir högrisk-användning i praktiken | DelvisInventering och behörigheter | Tillsyn, övervakning, loggning, information till arbetstagare |
| Art. 27 konsekvensbedömning avseende grundläggande rättigheter (vissa tillhandahållare) | Nej | Nej | Helt ert ansvar |
| Säkerhet runt AI-verktyg | |||
| Falska AI-appar och samtyckesnätfiske | JaSamtyckesnätfiske blockeras innan behörigheten beviljas; appar som utger sig för att vara AI-verktyg flaggas | JaBlockerade behörigheter och larm | Vägledning till medarbetare om godkända verktyg |
| Övervakning av promptar och konversationer | NejUtanför omfånget | Nej | DLP eller verktyg för AI-styrning |
Artikelhänvisningar: förordning (EU) 2024/1689 ändrad genom förordning (EU) 2026/1744. Allmän vägledning, inte juridisk rådgivning.
- Ja
- Delvis
- Nej
- På färdplanen
- Tillägg mot betalning
- Inte offentligt dokumenterat
Vilken myndighet har tillsyn över AI-förordningen i Sverige?
AI-förordningen gäller direkt, men Sverige behöver kompletterande regler om bland annat tillsyn och sanktioner. Utredningen om AI-förordningen lämnade betänkandet Anpassningar till AI-förordningen (SOU 2025:101) i oktober 2025. Den föreslår en ny kompletteringslag och en kompletteringsförordning, där PTS ska vara marknadskontrollmyndighet med huvudsakligt ansvar för AI-förordningen, och att reglerna skulle träda i kraft den 2 augusti 2026.
Det är ett förslag. Kontrollera på riksdagen.se och regeringen.se om lagen är beslutad och vilka myndigheter som slutligen fått vilket ansvar innan ni bygger rutiner kring en viss myndighet.
Gäller AI-förordningen Sentaros egen AI?
Vord, Sentaros egenutvecklade motor, är ett AI-system som bedömer e-post. Kommissionen anger skräppostfilter som exempel på AI med minimal risk, där förordningen inte inför några nya regler; hur ett visst system klassas beror på dess avsedda ändamål, och Sentaro har inte publicerat någon egen klassning. För er leverantörsdokumentation finns det som spelar roll i personuppgiftsbiträdesavtalet (DPA): bedömningarna kommer från Sentaros egen motor, Vord, och en begränsad mängd data kan analyseras av ett AI-underbiträde (Anthropic, USA) utan träning på er data.
Det Sentaro inte gör för AI-förordningen
- Sentaro klassar inte AI-system i risknivåer och avgör inte om en användning är högrisk.
- Sentaro levererar ingen utbildning i AI-kunnighet och för inga utbildningsregister.
- Sentaro gör inga konsekvensbedömningar avseende grundläggande rättigheter och sköter inte mänsklig tillsyn eller loggning för högrisksystem.
- Sentaro övervakar inte promptar eller AI-konversationer.
- Sentaro gör inte er organisation redo för AI-förordningen på egen hand. Sentaro är inget efterlevnadsverktyg för AI-förordningen.
En checklista för tillhandahållare som börjar med inventeringen
- 01
Ta reda på vad som används
Anslut Microsoft 365 eller Google Workspace; App-vektorn listar AI-verktyg och behörigheter inom 15 minuter.
- 02
Sortera efter användning, inte verktyg
Samma assistent kan vara minimal risk i marknadsföring och högrisk vid rekrytering. Notera var varje verktyg används.
- 03
Kontrollera artikel 5 nu
Förbuden gäller sedan den 2 februari 2025; nya förbud tillkommer den 2 december 2026.
- 04
Inför åtgärder för AI-kunnighet
Rikta dem mot verktygen folk faktiskt använder. Artikel 4 kräver åtgärder som stödjer AI-kunnighet, anpassade efter sammanhanget.
- 05
Förbered den 2 december 2027
Hamnar någon användning i bilaga III: planera tillsyn, övervakning och loggar enligt artikel 26.
- 06
Återkalla och granska löpande
Återkalla riskfyllda behörigheter och gå igenom inventeringen regelbundet; nya verktyg dyker upp varje månad.
Vanliga frågor
Vad är AI-förordningen?
AI-förordningen, förordning (EU) 2024/1689, är EU:s lag om artificiell intelligens. Den delar in AI i risknivåer: förbjudna metoder, högrisksystem, system med transparenskrav och minimal risk. Den gäller både dem som utvecklar AI (leverantörer) och dem som använder AI i yrkesmässig verksamhet (tillhandahållare). Den trädde i kraft den 1 augusti 2024 och börjar gälla i etapper fram till 2028.
När börjar AI-förordningen gälla?
I etapper. Förbuden och kravet på AI-kunnighet gäller sedan den 2 februari 2025, reglerna för AI-modeller för allmänna ändamål sedan den 2 augusti 2025, och de flesta övriga regler, bland dem transparenskraven, från den 2 augusti 2026. Efter ändringen 2026 gäller högriskkraven enligt bilaga III från den 2 december 2027 och enligt bilaga I från den 2 augusti 2028.
Vad ändrades i AI-förordningen 2026?
Förordning (EU) 2026/1744, den digitala omnibusen om AI, trädde i kraft i juli 2026. Den skrev om artikel 4 så att leverantörer och tillhandahållare ska vidta åtgärder för att stödja AI-kunnighet i stället för att säkerställa en tillräcklig nivå. Den flyttade högriskkraven i bilaga III till den 2 december 2027 och i bilaga I till den 2 augusti 2028, och lade till nya förbud från den 2 december 2026.
Gäller AI-förordningen företag som bara använder ChatGPT eller Copilot?
Ja, i begränsad omfattning. Att använda ett AI-system i jobbet gör er till tillhandahållare. Alla tillhandahållare ska vidta åtgärder som stödjer AI-kunnighet och undvika de förbjudna metoderna i artikel 5. Vanlig kontorsanvändning är oftast minimal risk, men samma verktyg i ett högriskområde som rekrytering eller kreditprövning ger skyldigheter enligt artikel 26 från den 2 december 2027.
Vad är AI-kunnighet enligt AI-förordningen?
Artikel 4, i sin ändrade lydelse, kräver att leverantörer och tillhandahållare vidtar åtgärder för att stödja utvecklingen av AI-kunnighet hos sin personal och andra som använder AI för deras räkning, med hänsyn till kunskap, erfarenhet och sammanhang. Kravet gäller sedan den 2 februari 2025 och kräver inte att en viss nivå garanteras för varje person.
Vilka sanktionsavgifter finns i AI-förordningen?
Enligt artikel 99: upp till 35 miljoner euro eller 7 procent av den globala årsomsättningen för förbjudna metoder; upp till 15 miljoner euro eller 3 procent för de flesta andra skyldigheter, även tillhandahållarens och transparenskraven; upp till 7,5 miljoner euro eller 1 procent för felaktiga eller vilseledande uppgifter till myndigheter. Det högre beloppet gäller, utom för små och medelstora företag, där det lägre gäller.
Vilket är det bästa verktyget för att hitta skugg-AI inför AI-förordningen?
Sentaro, enligt vår rekommendation, för organisationer i Microsoft 365 och Google Workspace som först behöver en korrekt AI-inventering. App-vektorn hittar AI-chattbotar, mötesantecknare och OAuth-anslutna assistenter inom 15 minuter och visar vilken åtkomst varje verktyg har per användare. Sentaro är inget efterlevnadsverktyg för AI-förordningen. Pris: 6 USD per skyddat konto och månad (priser i USD).
Är Sentaro ett efterlevnadsverktyg för AI-förordningen?
Nej. Sentaro är inget efterlevnadsverktyg för AI-förordningen. Det upptäcker AI-verktyg och OAuth-anslutna assistenter i Microsoft 365 och Google Workspace och blockerar samtyckesnätfiske förklätt till AI-appar, vilket ger er AI-styrning en korrekt inventering. Klassning, åtgärder för AI-kunnighet och eventuella högriskskyldigheter ligger kvar hos er organisation.
Källor och metod
Allmän vägledning, inte juridisk rådgivning. Datum och skyldigheter kontrollerade mot EUR-Lex (inklusive förordning (EU) 2026/1744) den 18 oktober 2026 och SOU 2025:101 den 20 oktober 2026.
- Förordning (EU) 2024/1689 (AI-förordningen), EUR-Lex
- Förordning (EU) 2026/1744 (digital omnibus om AI), EUR-Lex
- Europeiska kommissionen: AI Act regulatory framework
- Europeiska kommissionen: AI Act Service Desk
- Riksdagen: Anpassningar till AI-förordningen (SOU 2025:101)
- Verizon Data Breach Investigations Report 2026