Bankernas AI har blivit högrisk – FI rustar för ny granskningsroll

Sedan 2 augusti gäller merparten av EU:s AI-förordning. Kreditvärdering står uttryckligen på listan över hög risk. Nu rustar Finansinspektionen för att granska hur svenska banker och betalinstitut kontrollerar sina AI-system – med krav på mänsklig tillsyn som ska gå att visa upp på begäran.

Det som gäller sedan augusti

EU:s AI-förordning (2024/1689) sätter skärpta krav på system med hög risk. AI som används vid kreditvärdering av privatpersoner räknas uttryckligen dit. Den som driver sådana system måste kunna redovisa datastyrning, teknisk dokumentation, mänsklig tillsyn och löpande modellövervakning (EU-förordning 2024/1689).

AI förbjuds alltså inte. Men ansvaret för besluten ska gå att spåra – hela vägen från modell till människa.

Vem granskar vad i Sverige

AI-utredningen (SOU 2025:101) föreslår att PTS bär huvudansvaret för marknadskontroll av AI, medan IMY och FI delar ansvaret för hög risk-AI. FI tillstyrker sin del och vill vara marknadskontrollmyndighet för finanssektorn. Regeringen har samtidigt höjt FIs anslag i vårändringsbudgeten 2026 för att möta förordningens krav (Realtid, 2026-08-22).

Europa har redan markerat att det här är på riktigt. ECB:s banktillsyn krävde i februari 2026 klar ansvarsfördelning för AI-drivna beslut i bankerna. EBA:s riskrapport från juni 2026 konstaterar att AI skapar operativa, rättsliga och tredjepartsrisker i sektorn. ESRB har gått längst och utfärdat en formell varning för AI-relaterade systemrisker. FI och Riksbanken hänvisar båda till Nationellt cybersäkerhetscenters rekommendationer (Realtid, 2026-08-22).

Tredje regelverket på två år

För svenska betalaktörer landar kraven ovanpå en redan tung stapel. DORA började gälla i januari 2025 och ställer krav på digital motståndskraft. Den nya cybersäkerhetslagen, som genomför NIS 2 i svensk rätt, trädde i kraft i januari 2026. Nu tillkommer AI-förordningens krav från augusti 2026.

Det slår mot just de funktioner där betalbranschen använder AI hårdast: fraudscreening, penningtvättskontroller och kreditgivning. Samma system som gör betalningar snabbare och billigare hamnar i tillsynens sömljus.

Vad betyder det för svenska aktörer

För storbankerna är mycket redan på plats. FI:s tidigare tillsyn har krävt dokumenterade rutiner kring modeller i kreditgivning. Men AI-förordningen skruvar upp nivån: löpande övervakning av hur modeller beter sig över tid, inte bara en engångsgranskning vid införandet.

Mindre betalinstitut och fintechbolag möter en tyngre börda i förhållande till sin storlek. Dokumentation, testning och mänsklig tillsyn kostar – oavsett hur många transaktioner systemet hanterar.

Det som är intressant är att förordningen inte dömer tekniken, utan tillsynsmönstret. Hittills har en aktör kunnat skylla på modellen när en kredit nekades eller ett betalningsstopp sattes fel. Det svaret håller inte längre. En människa ska kunna gå in, förklara och ändra – och det ska synas i dokumentationen.

PayPros bedömning

Den konkreta uppgiften för betalaktörer denna höst: inventera var AI fattar eller stödjer beslut om kundernas pengar. För varje system bör tre frågor ha svar innan FI hör av sig: vem ansvarar för beslutet, vilken data bygger modellen på, och hur upptäcks det när den börjar fela?

Skillnaden mellan de som klarar tillsynen och de som inte gör det kommer sannolikt inte ligga i tekniken. Den ligger i dokumentationen. Och den tar tid att bygga.

Källor: Realtid (2026-08-22), EU:s AI-förordning 2024/1689, SOU 2025:101, EBA riskrapport juni 2026, ESRB.