AI-förordningen för företag som köper AI: det här ska du fråga leverantörerna
Mycket av samtalet om EU:s AI-förordning handlar om företagen som bygger AI. Men de flesta organisationer kommer aldrig att bygga en modell. De köper en: ett rekryteringsverktyg som sållar cv:n, en kundtjänstagent, en assistent i programvara de redan använder. Förordningen har ett namn på dig i den rollen. Du är tillhandahållare (på engelska deployer), och tillhandahållare har också ansvar.
Det goda är att det mesta förordningen begär av köpare är förnuftig leverantörsstyrning med AI i åtanke. Den här artikeln går igenom vad som gäller för dig och vilka frågor du ska ställa innan du godkänner ett AI-verktyg.
Leverantör eller tillhandahållare: vilken är du?
Enligt AI-förordningen (förordning (EU) 2024/1689) är leverantören den som utvecklar ett AI-system och släpper ut det på marknaden, oftast din leverantör. Tillhandahållaren är organisationen som använder det under eget ansvar, oftast du. Leverantörerna har de tyngsta skyldigheterna, men tillhandahållare är inte fria från ansvar. I vissa fall, till exempel när du väsentligt ändrar ett system eller sätter ditt eget namn på det, kan du själv få leverantörens skyldigheter.
Det här gäller för dig som köpare
AI-kunnighet (gäller redan). Sedan februari 2025 måste organisationer som använder AI-system se till att personalen har tillräcklig AI-kunnighet för hur de använder dem (artikel 4). Använder dina team AI-verktyg behöver du kunna visa att de vet hur de använder dem ansvarsfullt.
Förbjudna metoder (gäller redan). Viss AI-användning är helt förbjuden, till exempel känsloigenkänning på arbetsplatsen, med snäva undantag. Se till att inget du köper hamnar där.
Högrisksystem. Använder du AI inom områden som förordningen räknar som högrisk, som rekrytering, personalhantering, kreditvärdering eller tillgång till viktiga tjänster, måste du använda systemet enligt leverantörens instruktioner, ge mänsklig kontroll till kompetenta personer, övervaka det, spara loggar och i vissa fall informera dem det gäller (artikel 26). De här kraven sköts upp till december 2027 och augusti 2028. (EU-kommissionen)
Transparens. När AI samspelar med människor eller skapar innehåll tillkommer krav på transparens, till exempel att göra det tydligt att människor har att göra med ett AI-system i vissa situationer.
Frågor att ställa till dina AI-leverantörer
Du kan bara uppfylla dina skyldigheter om leverantören ger dig det du behöver. Innan du godkänner ett AI-verktyg bör du få skriftliga svar på det här:
Vad gör AI:n, och vad gör den inte? Be om dokumentation av avsedd användning, kända begränsningar och träffsäkerhet, och bruksanvisning. För högrisksystem är leverantörerna skyldiga att ge dig det här.
Är den högrisk enligt förordningen? Fråga hur leverantören klassificerar systemet, och varför. Svaret visar vilka skyldigheter som landar på dig.
Hur behåller vi mänsklig kontroll? Vad kan en person granska, åsidosätta eller stänga av? Vem hos er ska göra det, och har de utbildningen?
Vad loggas, och kan vi få loggarna? Den som använder högrisksystem måste spara loggarna systemet skapar. Se till att du faktiskt får tillgång till dem.
Används våra data för att träna era modeller? Det här är lika mycket en fråga om GDPR och sekretess som om AI-förordningen. Få svaret i avtalet, inte bara i ett säljsamtal.
För agenter: vad når den, och vad kan den göra själv? Lista systemen, datan och åtgärderna en agent kan utföra utan en människa. Agenters behörigheter tenderar att växa i det tysta med varje produktuppdatering, så planera att kontrollera dem igen.
Gör det till en del av leverantörsregistreringen
Det enklaste sättet att hålla koll är att ställa de här frågorna varje gång ett team vill ha ett nytt verktyg, inte som en engångsrevision. Lägg till en fråga om AI i leverantörsregistreringen, skicka AI-verktyg till rätt granskare och spara svaren. Vår kostnadsfria checklista för leverantörsbedömning (på engelska) tar upp AI-förordningen tillsammans med NIS2, GDPR och DORA.
Granur bygger in det här i själva bedömningen: AI-leverantörer får granskning mot ramverk som EU:s AI-förordning, agenter får ett behörighetsregister som visar vad var och en når och kan göra, och översikten över skugg-AI lyfter fram verktyg som team har börjat använda utan att fråga. Inget godkänns utan att det dokumenteras.