Fyra försök att förstå regelboken

[musik] Onsdag, klockan är sju på morgonen. Jag är Rickard. Sju svenska myndigheter försökte i flera omgångar svara på en enda fråga, men aldrig alla samtidigt. Skatteverket, Bolagsverket, Arbetsförmedlingen, Ekonomistyrningsverket, Riksarkivet, Försäkringskassan och Post- och telestyrelsen.

Frågan lät enkel: Vad räknas egentligen som ett AI-system enligt EU:s nya lag? I februari i år kom deras egen slutsats ungefär såhär: Det mesta av det myndigheterna testade kommer sannolikt att omfattas av lagen. Fyra omgångar för att landa i ett tydligare svar än de hade när de började. Samtidigt, i Prag och Göteborg, satt ett helt annat lag.

Tjugo partners som byggde öppen språkteknik för Europas egna språk. De väntade inte på ett färdigt facit från myndigheterna. De byggde ändå. De testade regelboken.

Andra byggde vidare på den. Det är den spänningen dagens avsnitt handlar om med mig, Olivia. Välkomna till Gästen först. Jag heter Olivia.

Med mig som vanligt Rickard. Tjugofyra år i svensk besöksnäring, bland annat som sommelier, och fyra år självlärd inom AI. Och bredvid oss i dag en ny gäst. Karin, du har följt AI-förordningen sedan den föddes.

Tack för att jag får vara med. Jag brukar säga att jag lever i gränslandet mellan juridik och teknik. Och just den här veckan är ett bra tillfälle att reda ut vad som verkligen hänt och vad som bara sägs ha hänt. Vad menar du med att sägs ha hänt?

Har det spridits felaktig information om det här? Inte medvetet felaktig, men rubriker förenklar. En sammanfattning på fem ord kan bli sann och missvisande samtidigt. Uppskjuten AI-lag blev rubriken i flera kanaler i somras.

Det är inte fel, men det är heller inte hela sanningen. Det där känner jag igen från momsdebatten för några år sedan. Rubriken sa en sak, detaljerna sa något helt annat. Börja där Karin, för jag har själv hört att allting sköts upp.

Stämmer det? Nej, och det är precis den missuppfattningen jag vill nysta upp först innan vi går vidare. EU-rådet gav klartecken till ett förenklingspaket den 29 juni i år. Det trädde i kraft den 27 juli.

Det sköt upp en del av lagen. Högriskreglerna för fristående AI-system gäller nu från den 2 december 2027 och för AI inbyggt i andra produkter från den 2 augusti 2028. Men transparenskraven, märkning av AI-genererat innehåll, de rör sig inte alls. Skyldigheten att upplysa om att man pratar med en AI har gällt sedan den 2 augusti i år, utan undantag.

Att själva märkningen ska vara maskinläsbar har en övergång till den 2 december för system som fanns redan då. Ett nytt förbud mot AI-genererat intimt material utan samtycke börjar dessutom gälla redan den 2 december i år. Så det är högriskdelen som fick det stora andrummet. Det mesta andra har gällt hela tiden.

Precis. Att säga att allting är uppskjutet är lika fel som att säga att ingenting är det. Bra att få rätsida på det direkt. Men gå tillbaka till de sju myndigheterna.

Vad höll de på med i praktiken? Det kallas ESAM-piloten. Fyra testomgångar med olika myndigheter i olika omgångar, plus tillsynsmyndigheten IMI som medinitiativtagare. De försökte helt enkelt lista ut vad förordningen faktiskt kräver när den möter en riktig myndighetsvardag.

Kan du göra det konkret för oss? Vad testade de rent praktiskt, session för session? I varje omgång tog de ett verkligt system som redan används hos en myndighet. Ett automatiskt beslutsstöd, en chattbot för medborgare, ett dokumentklassificeringsverktyg, ett i taget.

Sen försökte de avgöra om just det systemet föll under förordningens definition av ett AI-system och i så fall vilken riskklass. I den allra första omgången deltog Bolagsverket, Skatteverket och Arbetsförmedlingen plus IMI. Bolagsverket och Skatteverket var med i alla fyra omgångar. De andra kom och gick.

Så det var aldrig sju parallella tolkningar av samma fråga på en gång? Nej, aldrig. Varje omgång testade ett enda system från en enda myndighet. Sen jämförde man lärdomarna mellan omgångarna.

Det gjorde det lättare att gå på djupet i varje fall, men svårare att jämföra äpplen med äpplen mellan myndigheterna. Ge oss ett exempel på ett sådant system de testade. Ett automatiskt beslutsstöd hos en av myndigheterna som redan var i drift innan piloten började. Frågan var om det systemet föll under förordningens definition av ett AI-system och i så fall vilken riskklass.

Svaret på den första frågan blev ja. Svaret på riskklassen blev mer oklart. Det låter som en fråga jag skulle kunna ställa om vårt eget bokningssystem också. Var går gränsen mellan ett filter och ett beslut?

Just den typen av fråga går inte att lösa en gång för alla. Den kräver praxis över tid Och slutrapporten kom i februari. Var den nedslående eller konstruktiv? Det roliga är att juristen bakom rapporten från ESAMS-kansli sa att arbetet varit fantastiskt roligt.

Slutsatsen gäller IT-system i allmänhet, inte bara de enskilda fallen de testade. Men riktningen är tydlig. Det mesta kommer att omfattas. Det säger något fint om nyfikenhet.

Att tycka det är roligt trots att svaret krävde fyra omgångar för att bli tydligt. Men ur en krägares perspektiv, Rickard, varför skulle du bry dig om sju myndigheters testomgångar? För att om Skatteverket och Försäkringskassan inte vet var gränsen går, då vet inte jag det heller. Jag har krögare som frågar mig om deras nya bokningsbot räknas som ett AI-system enligt lagen.

Ärligt svar, jag är inte alltid säker. Och det är precis den osäkerheten piloten pekar på. Om statens egna experter behöver fyra försök är det inte konstigt att en krögare känner sig vilsen på en eftermiddag. Vem har egentligen ansvaret att hjälpa krögaren reda ut det, rent formellt?

Post- och telestyrelsen är gemensam kontaktpunkt och samordnande myndighet med ett regeringsuppdrag som löper till årsskiftet. I väntan på att Sverige antar en egen kompletterande lag till förordningen. Så det finns en adress att skicka frågan till. Det är i alla fall något.

Och IMY som nämndes tidigare. Var kommer de in i bilden om PTS samordnar? IMY har ett smalare men skarpare uppdrag. De är marknadskontrollmyndighet specifikt för AI som rör brottsbekämpning och biometrisk identifiering.

Ansiktsigenkänning, känsliga register, den typen av system. IMY fanns med genom hela piloten, inte bara i ett enskilt spår. Så en restaurangs bokningsbot och en myndighets biometriska system hamnar under samma lag, men bedöms av helt olika instanser. Just det, lagen är en, men tillsynen är uppdelad efter riskområde.

Det är en del av varför helhetsbilden känns svår att greppa. Ta ett konkret exempel då. En restaurang har en chatbot på hemsidan som svarar på öppettider och bokningsfrågor. Vad blir det?

Rent principiellt räknas den nästan alltid som ett AI-system enligt definitionen. Men den hamnar i den lägsta riskklassen. Kravet där handlar mest om transparens. Gästen ska kunna förstå att den pratar med en AI, inte med en anställd.

Så det är egentligen samma princip som Olivia säger i varje avsnitt. Var tydlig med vad som är AI. Exakt samma princip. Ni har redan gjort rätt i den här podden utan att kalla det compliance.

Skönt att höra att jag redan följer lagen utan att ha läst den. Men om samma restaurang använder AI för att sätta priser automatiskt utifrån efterfrågan, ändras klassningen då? Där blir det genast mer intressant. Prissättning som påverkar konsumenter kan flyttas upp i riskklass beroende på hur den fungerar.

Och det är precis den typen av gränsfall som gjorde att myndigheterna behövde flera omgångar för att landa i praxis. Då förstår jag plötsligt varför det tog fyra försök. Om till och med en enkel prisbot kan hamna i gråzonen. Det är bra att du landar där.

Det var precis den insikten jag ville att vi skulle komma fram till tillsammans. Jag måste ändå säga det rakt ut. Fyra försök känns som mycket när en bransch väntar på besked. Jag förstår frustrationen, men jag håller inte med om att det är för långsamt.

En förhastad tolkning i den första omgången hade kunnat bli fel på ett sätt som är mycket svårare att reda upp än att bara ta fler omgångar. Men medan de väntar sitter en krögare och gissar. Den gissningen kostar också något, bara osynligt. Det är en rättvis poäng och jag ska inte bortförklara den.

Osäkerhet har ett pris, även om ingen skickar en faktura för det. Men jag tror ändå att alternativet, ett snabbt och otestat svar redan i första omgången, hade skapat mer kaos än fyra omgångar av gemensamt trevande. Där är vi nog ärligt oense. Jag tycker fortfarande att fyra försök är i överkant för en enda definitionsfråga.

Och jag tycker att en enda definitionsfråga, applicerad över hela den offentliga sektorn, förtjänar fyra försök. Nu till den andra halvan av bilden. Vad hände i Prag och Göteborg medan Sverige testkörde regelboken? Det finns egentligen två separata europeiska byggprojekt och det är lätt att blanda ihop dem.

Låt mig ta dem i tur och ordning. EU-kommissionen valde i juni ett konsortium som kallas Europa, lett av det italienska bolaget Domin. Öppen källkod, alla tjugofyra EU-språk, en modell med över fyrahundra miljarder parametrar. Fyrahundra miljarder.

Det är svårt att ens föreställa sig den siffran. Kommissionen namnger Domin och Fraunhofer Gesellschaft som partners i det pressmeddelandet. Ingen bekräftad svensk aktör i just det konsortiet. Du sa två projekt.

Vilket är det andra? Det andra heter Open Euro LLM. Tjugo partners. Och här kommer den detaljen jag verkligen vill att vi stannar vid.

Det projektet startade redan i februari förra året. Alltså långt innan hela förenklingsprocessen ens började diskuteras. Så det är inte så att reglerna sköts upp och därför kunde de bygga snabbare? Nej, och det är viktigt att vara ärlig om den skillnaden Det är inte orsak och verkan.

Det är två saker som pågick parallellt. Bygget hade redan pågått nästan ett år när Sverige fortfarande satt kvar i sin fjärde och sista testomgång. De testade regelboken. Andra byggde vidare på den.

Det är precis den bilden som växer fram här. Det är en viktig nyans. Jag vill inte att vi målar upp det som att lagen bromsade Europa. Det gjorde den inte.

Precis. Och deras egen ettårsrapport i mars är hederlig om vad som verkligen bromsar dem. Att säkra tillräckligt med beräkningskraft är fortsatt en stor utmaning, skriver de rakt ut. Så deras flaskhals är inte juridiken.

Den är hårdvara. Just det. Grafikkort, serverhallar, ström. Inte tolkningen av en artikel i en förordning.

Det är en nyttig påminnelse. Vi pratar ofta om regler som det stora hindret. Här är hindret betong och kylsystem. Varför finns det överhuvudtaget två separata europeiska byggprojekt?

Varför inte ett enda? Delvis historik, delvis finansiering. Europa kom senare via kommissionens egen upphandling med Domin som vinnare. Open Euro LLM växte fram som ett forskningskonsortium underifrån, redan innan upphandlingen ens var påtänkt.

Man kan se det som två spår mot samma mål. Europeisk språkmodell, öppen källkod, oberoende av amerikanska och kinesiska bolag. Konkurrerar de om samma resurser eller kompletterar de varandra? Ärligt talat vet jag inte om det finns en officiell koordinering mellan dem ännu.

Det är en rimlig fråga att ställa vidare till kommissionen. Du nämnde tjugo partners i Open Euro LLM. Finns Sverige med i det laget? Ja, AI Sweden, som drivs från Lindholmen Science Park i Göteborg, är en av de tjugo partnerna.

Deras forskningschef sa när projektet startade att man ville stärka europeisk och svensk konkurrenskraft och digital suveränitet. Det citatet är från februari förra året, så det är ett och ett halvt år gammalt. Jag nämner det som bakgrund, inte som dagens ståndpunkt. Bra att du är tydlig med det.

Ett gammalt citat kan fortfarande vara sant, men det är inte samma sak som ett dagsfärskt uttalande. Vad gör AI Sweden i praktiken? Är det forskning eller bygger de faktiskt på själva modellen? Både och.

De är ett nationellt center för tillämpad AI-forskning med fokus på just språkmodeller på svenska och nordiska språk. I ett projekt som Open Euro LLM bidrar de med data, med kompetens och med testning på svenska specifikt. Så när modellen väl är klar ska den faktiskt förstå svenska bra, inte bara engelska med svenska ord staplade in. Det är precis den ambitionen.

Idag bygger de flesta stora modellerna sin styrka på engelska och svenskan hänger med som ett sidospår. Ett europeiskt projekt med tjugo partners och tjugofyra språk representerade från start är ett försök att vända på den ordningen. Karin, leddes projektet från Sverige? Eller var Lindholmen mest en av flera?

Koordinatoren sitter i Prag på Karlsuniversitetet. En av samordnarna kommer från AMD:s forskningsbolag Silo AI. Så Sverige är en viktig deltagare, men centrum ligger i Prag. Två städer, ett gemensamt bygge.

Jag gillar den bilden. Ett europeiskt bygge, inte ett svenskt eller ett tjeckiskt. Om vi lägger ihop bilderna nu, myndigheternas testomgångar och konsortiernas bygge, vad är egentligen slutsatsen? Att förstå en regelbok och att bygga något som regelboken ska handla om är två helt olika sorters arbete. [skratt] Det ena kräver tid och tålamod, det andra kräver kapital och grafikkort.

Ingen av dem väntar egentligen på den andra. [skratt] Det är en sund arbetsdelning om man vänder på perspektivet. Myndigheterna ska inte gissa, de ska ha rätt. [skratt] Det låter nästan som att du försvarar de fyra försöken nu. Delvis, ja. En felaktig gränsdragning från en myndighet drabbar tusentals verksamheter på en gång.

Det får ta tid att göra rätt. Men jag förstår om det känns långsamt, sett från en restaurang som bara vill veta om bokningsboten är okej att använda imorgon. Det är precis den spänningen. Få sanningar samtidigt, ingen av dem fel.

Karin, om en krägare ringde dig i dag och frågade rakt ut: "Ska jag oroa mig?" Vad hade du svarat? Jag hade sagt: "Oroa dig för transparensen redan i dag. Märk AI-genererat innehåll tydligt. Det gäller nu.

Men vänta med att stressa över högriskklassningen. Den har fortfarande över ett år kvar innan den träder i kraft för fristående system." Det är ett konkret råd. Prioritera det som redan gäller. Oroa dig mindre för det som ligger längre fram.

Jag har själv börjat lägga en liten rad i botten av mejl som skrivs med AI-stöd. Det tog fem minuter att sätta upp en gång. Det är precis den sortens litet men görbart jag önskar fler tog till sig istället för att vänta på att hela lagen ska bli glasklar.[skratt] Rickard, du har ju varit med om över tjugo år av regeländringar i besöksnäringen. Känns AI-förordningen annorlunda?

Formen känns bekant. Ny lag, osäker start, alla väntar på ett facit som kommer i bitar. Det som är annorlunda är tempot i det som ska regleras. Momssatser ändras inte varje månad.

Ny AI-teknik gör nästan det. Det är hela lagstiftarens dilemma i en mening. Skriver man för specifikt är lagen omodern innan den ens träder i kraft. Skriver man för brett hamnar man precis i den situationen myndigheterna satt i innan de hade testat sig fram i fyra omgångar.

Och det är precis den vardagliga jämförelsen jag vill lämna er med i dag. Fyra försök av provkörningar för att förstå regelboken. Under samma tid hann ett europeiskt lag redan bygga något att läsa den med. De testade regelboken, andra byggde vidare på den.

Och ingen av dem gjorde något fel genom att göra sin del i sin egen takt. Karin, en sista fråga. Tror du att svenska myndigheter kommer landa i ett tydligt svar innan högriskreglerna börja gälla? Jag hoppas det, men jag lovar det inte.

Post- och telestyrelsens uppdrag löper bara till årsskiftet i sin nuvarande form. Sen krävs en svensk kompletterande lag också. Så det finns fortfarande ett stycke kvar att gå. Vilket betyder att vi antagligen återkommer till det här ämnet i den här podden igen.

Räkna med det. Regelböcker läses aldrig klart, de läses om. Om jag ska sammanfatta det för mig själv så handlar dagens avsnitt om att tålamod och tempo kan existera sida vid sida. Sju myndigheter fick ta den tid de behövde.

Tjugo partners i Prag och Göteborg väntade inte på dem. Båda gjorde rätt i sin egen takt. Och ingen av dem behövde den andras godkännande för att komma i gång. Det tycker jag är den finaste detaljen i hela historien.

Om en lyssnare bara minns en sak från det här avsnittet, vad ska det vara, Karin? Att uppskjutet inte betyder försvunnet. Transparenskravet gäller redan i dag, oavsett hur mycket annat som flyttats fram. Och min egen slutsats blir nog att gissa mindre och fråga mer.

Karin är bara ett samtal bort för de flesta av oss. Tack Karin för att du redde ut vad som verkligen hänt och vad som bara sägs ha hänt. Tack för att jag fick vara med. Det här är precis den sortens samtal jag önskar fler krögare fick höra.

Tack för att ni lyssnade i dag. Vi hörs igen imorgon med en helt annan sorts historia. En som handlar om jobbansökningar, inte om regelböcker. Det du hört är allmän information, inte juridisk rådgivning för just ditt system.

Hör med en jurist för din egen verksamhet. Det här avsnittet av Gästen först innehåller AI-genererade röster, min egen inräknad. Vi hörs igen snart.