Ett evidensbaserat beslut, innan någon skriver under något
Varje ny leverantör får samma viktade rubrik och obligatoriska krav. Varje poäng anger sitt underlag, och en bra poäng kan inte köpa tillbaka ett underkänt krav.
Från okänt AI-verktyg till godkänd leverantör
Följ en AI-agent som ingen har godkänt, från att den upptäcks i bruk till ett godkännande som säkerhetsteamet kan stå för.
Hitta AI-verktygen som redan används
Vem som helst kan rapportera ett verktyg som de eller teamet redan använder, utan krångliga formulär. Granur flaggar personuppgifter, saknade avtal och saknad säkerhetsgranskning, och när en utvärdering startas aviseras teamet och intaget öppnas förifyllt.
Fyra steg, ett tydligt utfall
Starta en när som helst — för en befintlig leverantör, ett befintligt avtal eller en helt ny uppladdning — eller låt den utlösas automatiskt i det ögonblick en leverantör för första gången flaggas som ny vid intag. Oavsett körs den en gång; en förnyelse hoppar helt över den, eftersom relationen redan är granskad.
Startad, på det sätt som passar
Välj en befintlig leverantör, ett befintligt avtal, eller ladda upp något nytt — eller hoppa över guiden och låt en ny-leverantör-flagga vid intag öppna den automatiskt. Affärssyfte, vem som äger den internt, och — när en pilot behövs — vad den ska bevisa, fångas upp direkt.
Bedömd med evidens
Var och en av de åtta dimensionerna får ett betyg 0–5, styrkt av dokumentation, en demo, en validerad PoC, en referenskund eller ett avtalat åtagande — aldrig en självrapporterad siffra.
Kontrollerad mot obligatoriska krav
SSO, SOC 2 Type II, datalokalisering och den integration ni faktiskt behöver är godkänt/underkänt — ett starkt betyg någon annanstans kan inte kompensera ett underkänt krav.
Vägd till en rekommendation
De åtta betygen vägs samman till en total poäng, och tillsammans med resultaten från de obligatoriska kraven och de strategiska riskfälten ger det ett tydligt Rekommendera, Rekommendera med förbehåll, eller Rekommendera inte.
Åtta dimensioner, viktade lika för varje leverantör
Vikterna ändras inte beroende på vad som onboardas — en dataleverantör, en plattformsleverantör och en AI-agent bedöms alla på samma åtta dimensioner. Det som ändras är vad som räknas som evidens för var och en (mer om det nedan).
Varje betyg anger sin källa — så ett betyg på 4/5 betyder något konkret, inte bara en säker gissning.
Illustrativa betyg — varje verklig utvärdering bedöms 0–5 mot faktisk evidens.
Fyra krav som ett bra betyg inte kan överstyra
Godkänt/underkänt, kontrollerat oberoende av den viktade poängen — en leverantör kan få bra betyg överallt annars och ändå inte klara onboardingen.
Stöd för enkel inloggning (SSO)
ObligatorisktSOC 2 Type II-rapport tillgänglig
ObligatorisktDatalokalisering uppfyller kraven
ObligatorisktNödvändigt API/integration tillgänglig
ObligatorisktAlla fyra är obligatoriska. Om ett krav underkänns återspeglas det i rekommendationen — oavsett den viktade poängen.
Varje regelverk granskas på riktigt — inget godkänns automatiskt
Lägg till de regelverk som faktiskt gäller för en leverantör — EU AI Act, NIST AI RMF, ISO/IEC 42001, SOC 2, GDPR, HIPAA och fler — och vart och ett bryts ner i de krav som faktiskt räknas. Varje krav märks Bedömd, Uppskattad eller Ej bedömd, styrkt av verklig evidens; att välja ett regelverk märker det aldrig som godkänt.
Självskattat mot det leverantören faktiskt har levererat — ett undertecknat personuppgiftsbiträdesavtal, en aktuell SOC 2-rapport, ett ISO-certifikat. Inte juridisk rådgivning.
En dataleverantör, en plattformsleverantör och en AI-agent tar sig över samma ribba, på olika sätt
De åtta dimensionerna och deras vikter ligger fast oavsett vad som onboardas — men vad som räknas som starkt bevis för var och en beror på vad leverantören faktiskt säljer, eller vad agenten faktiskt gör.
Data och AI bär det viktigaste beviset här: hur täckning, volym och färskhet håller mot ert faktiska användningsfall, inte bara vad säljmaterialet påstår.
Typiskt bevis: en PoC validerad mot er egen data, plus dokumentation av uppdateringsfrekvens och schema.
Arkitektur och integration samt prestanda och skalbarhet bär det viktigaste beviset här: hur den passar er stack, och om den håller vid er volym.
Typiskt bevis: en live-demo, en referenskund i jämförbar skala, och ett avtalat SLA-åtagande.
Säkerhet och regelefterlevnad samt data och AI bär det viktigaste beviset här: vilken data agenten kan komma åt, vilka åtgärder den kan vidta utan en människa i loopen, och om dess beteende är avgränsat och granskningsbart — inte bara hur imponerande demon ser ut.
Typiskt bevis: ett sandlådetest med nedskalade behörigheter, dokumenterade handlingsgränser, loggar över vad den faktiskt gjorde, och ett ISO/IEC 42001- eller CSA STAR for AI-intyg när leverantören har ett sådant.
Två frågor en viktad poäng ensam inte besvarar
Utöver rubriken och kraven fångar varje utvärdering hur beroende ni skulle bli av den här leverantören — faktorer som rekommendationen väger tillsammans med betyget.
När en leverantör klarar det här hamnar den i den fullständiga leverantörskatalogen — den här rubriken är ett engångsbeslut, inte en löpande uppföljning. Se leverantörshantering, hälsospårning och livscykel
Kör en verklig utvärdering, inte en gissning
Välj en plan, flagga en ny leverantör, och se den viktade poängen, kraven och rekommendationen fyllas i.