Digital Services Act-compliance för AI

Vad är DSA?

Digital Services Act (Förordning 2022/2065) är EU:s ramverk för onlineplattformsansvar. Den trädde i kraft i november 2022 och har tillämpats fullt ut sedan 17 februari 2024. VLOP/VLOSE-skyldigheter gällde från augusti 2023.

DSA täcker mellanhändstjänster — plattformar som hostar, överför eller cachar tredjepartsinnehåll. Maxböter: upp till 6% av global årsomsättning.

Digital Services Act Article 14-transparensskyldigheter

Article 14 kräver att varje leverantör av en mellanhändstjänst på tydligt och entydigt språk beskriver alla begränsningar den inför för användargenererat innehåll — inklusive innehållsmodereringspolicyer, förfaranden, verktyg och mänsklig granskning som tillämpas. För leverantörer som använder algoritmiskt beslutsfattande eller AI-baserad moderering måste villkoren uttryckligen beskriva parametrarna för dessa system. Informationen måste vara offentligt tillgänglig, maskinläsbar och uppdateras när reglerna ändras.

I praktiken höjer Article 14 bevisningsgränsen för alla AI-moderingsstackar: företag måste kunna visa, i efterhand, vilken policy som gällde, vilka modellparametrarna var och hur omtvistade beslut hanterades. Kryptografiskt förankrade loggar håller snabbt på att bli de facto-standard för att uppfylla denna börda.

VLOP:er vs SME:er under Digital Services Act

DSA tillämpar en proportionell regim. Mikro- och småföretag (under 50 anställda och €10M omsättning) är undantagna från de tyngsta skyldigheterna, inklusive skyldigheten att publicera transparensrapporter och att uppfylla processen för betrodda flaggare. Onlineplattformar som överskrider dessa tröskelgränser tar på sig anmälan och åtgärds-, intern klagomålshantering och uttalandeskyldigheterna. Very Large Online Platforms — de med 45 miljoner eller fler genomsnittliga månatliga mottagare i EU — möter hela regimen: årliga systemriskbedömningar, oberoende revisioner, forskardataåtkomst, krisprotokoll och en dedikerad compliancefunktion.

Avgörande är att SME-undantag inte sträcker sig till AI Act-transparens: ett undantaget SME som kör en kundvändande chatbot är ändå skyldig Article 50-disclosure. Omvänt måste en VLOP behandla AI-genererat innehåll under båda DSA-riskramverket och AI Act — de två regelverken staplas, de ersätter inte varandra.

DSA vs. EU AI Act — nyckelskillnad

En vanlig missuppfattning: DSA innehåller inte en specifik chatbot-disclosure-artikel. Skyldigheten att informera användare om att de interagerar med AI kommer från EU AI Act Article 50 (gäller från 2 augusti 2026).

De två förordningarna är kompletterande:

• AI Act Article 50 = chatbot-disclosure ('du pratar med AI') — gäller alla driftsättare
• DSA = plattformstransparens, innehållsmoderering, systemrisk — gäller mellanhändstjänster och plattformar

Compliance med en täcker inte den andra.

VLOP:er — Very Large Online Platforms

Europeiska kommissionen har utsett flera VLOP:er inklusive:

• WhatsApp (utsedd som VLOP)
• Facebook, Instagram, YouTube, TikTok, X/Twitter
• LinkedIn, Snapchat, Amazon, Apple App Store
• Google Play, Google Maps, Google Shopping
• Booking.com, Pinterest, Zalando, Temu, Shein

ChatGPT är INTE utsedd som VLOP — kommissionen överlägger fortfarande, trots att ChatGPT har 120M+ EU-månatliga användare (väl över 45M-tröskeln).

Vad detta innebär för AI-driftsättare

Om ni driftsätter en AI-chatbot på er egen webbplats som genererar sitt eget innehåll, gäller DSA troligen inte för er direkt (ni är inte en mellanhänd som hostar tredjepartsinnehåll). Er skyldighet kommer från AI Act.

Om ni driftsätter en AI-chatbot på en VLOP (WhatsApp, Instagram, Facebook Messenger), bär plattformen VLOP-skyldigheterna (systemriskbedömningar, transparensrapporter). Ni måste uppfylla plattformens villkor och alla tillämpliga sektorsregler.

DSA-tillämpning och koordinatorbefogenheter

Tillämpning under DSA är uppdelad. Europeiska kommissionen har exklusiva tillsynsbefogenheter över utsedda VLOP:er och VLOSE:er, med förmåga att starta egna utredningar, genomföra inspektioner, begära interna dokument, intervjua personal, påföra interimistiska åtgärder och slutligen bota upp till 6% av global årsomsättning. Periodiska sanktionsbetalningar på upp till 5% av genomsnittlig daglig global omsättning kan tas ut för pågående icke-compliance.

Varje medlemsstat har utnämnt en nationell Digital Services Coordinator (i Nederländerna: ACM; i Irland: Coimisiún na Meán) för att polisera alla andra mellanhänder etablerade i dess territorium. DSC:er kan beordra innehållsborttagning, stänga av upprepade intrångare, certifiera betrodda flaggare och hänvisa gränsöverskridande ärenden till European Board for Digital Services. AI-driftsättare bör kartlägga sitt etableringsland och identifiera relevant DSC innan något tillämpningsbrev anländer.

DSA-tillämpning i praktiken

• X/Twitter bötes för transparensöverträdelser under DSA (2025)
• Grok chatbot-incident (sent 2025): AI genererade olagliga bilder, vilket utlöste de första stora chatbot-relaterade DSA-tillämpningsförfarandena
• Kommissionen beordrade X att bevara all Grok-relaterad data till slutet av 2026

Hur Audact hjälper

• AI Act Article 50-compliance: Audact genomdriver chatbot-disclosure över alla kanaler — den primära transparensskyldigheten för AI-driftsättare
• Plattformsmedierad governance: När er AI verkar på VLOP:er (WhatsApp, Messenger) validerar Audact compliance med plattformsspecifika innehållspolicyer (Patent P32)
• Innehållsmodereringsbevis: Kryptografiskt bevisspår för varje AI-interaktion, stödjer DSA-transparenskrav
• Vattenstämpelverifikation: Verifikation att AI-genererat innehåll är korrekt vattenstämplat per Code of Practice-krav (Patent P39)

Vanliga frågor

Jämför EU AI compliance-lagar

Relaterade compliance-resurser

• EU AI Act Article 50-complianceöversikt
• GDPR AI-compliance med Audact
• ePrivacy AI-kommunikationscompliance
• Audact compliance-plattformspriser