Tre frågor som avgör om er AI är bevisbar i EU

En revisor eller tillsynsmyndighet frågar sällan ”har ni EU-residens?”. Frågan är ”visa mig”. Skillnaden mellan att ha rätt och att kunna bevisa det är hela skillnaden i en granskning – och den går att testa i förväg. Tre kontrollfrågor räcker för att se om er AI-användning håller. De är dessutom gratis att ställa i förväg – och mycket dyra att få som överraskning.

Fråga 1: Är hela flödet bevisbart i EU?

Inte ”lovar leverantören EU?” utan: kan ni visa skriftligt var lagring, transit och inferens sker – för exakt den SKU, tier och modell ni kör?

De flesta residenslöften täcker lagring men inte inferens, alltså själva modellkörningen. Och löften på produktnivå säger ingenting om er konfiguration: samma tjänst kan behandla data i EU eller USA beroende på deployment-typ, tenant-ålder och modellversion. Beviset är ett daterat skriftligt besked per konfiguration, inte en skärmdump från en marknadsföringssida.

Testet: be den som äger lösningen ta fram beskedet inom en arbetsdag. Finns det inte, är svaret på fråga 1 nej – oavsett hur bra upphandlingen kändes. Skriv också in i avtalet att beskedet ska uppdateras vid förändringar – ett bevis med bäst-före-datum är bättre än ett som tyst blivit inaktuellt.

Fråga 2: Vilken är er försvarbara överföringsmekanism?

Förr eller senare landar frågan: vad händer den dag en amerikansk myndighetsbegäran träffar er leverantör? Då behöver ni kunna peka på en fungerande överföringsmekanism – beroende på leverantörsväg oftast DPF-deltagande eller standardavtalsklausuler kompletterade med er egen TIA.

Att frågan inte är teoretisk visade Microsoft Frankrike, som under ed i den franska senaten inte kunde garantera att data aldrig lämnas ut till amerikanska myndigheter. Det vittnesmålet är en användbar riskreferens i er TIA: även leverantörer med starka EU-åtaganden lyder ytterst under amerikansk rätt. Er mekanism måste hålla även i det scenariot – med mitigeringar som kundkontrollerade nycklar och dokumenterad kvarvarande risk.

Öva dessutom scenariot innan det inträffar: vem i organisationen får frågan, vilka dokument plockas fram och vem kontaktar leverantören? En timmes skrivbordsövning visar snabbt om mekanismen är ett dokument eller en förmåga.

Fråga 3: Kan ni rita hela underbiträdes- och retentionskartan?

Sätt en kritisk granskare framför en whiteboard och rita flödet: varje part som rör era data, i vilken region, med vilken retention. Klarar kartan följdfrågorna är ni i gott skick. Den brister oftast på tre ställen:

• Multimodell-routning – assistenter som väljer modell per anrop, där varje modell är en egen underbehandlare med egna villkor.
• Hyperskalarberoenden – labbets modell körs på ett moln, vars kringtjänster har egna regioner och flöden.
• Tvingad retention på frontier-modeller – de nyaste modellerna kan ha loggning som inte går att avtala bort, med andra villkor än leverantörens GA-utbud.

Ett konkret exempel: en organisation kör en assistent som routar enkla frågor till en billig modell och svåra till en frontier-modell. Kartan visar sig ha två helt olika retentionvägar – den ena med zero data retention, den andra med tvingad loggning. Utan kartan hade båda beskrivits som ”samma verktyg”. Rita kartan innan leverantören gör det åt er – den som håller pennan väljer detaljnivån, och det är i detaljerna bristerna syns.

Svaren hör hemma i DPIA och avtalsbilagor

De tre svaren ska inte bo i mejltrådar eller i huvudet på en arkitekt. De hör hemma i er DPIA och i avtalsbilagorna – daterade och versionerade, så att det går att visa vad ni visste och beslutade vid varje tidpunkt. Vid varje modelluppgradering eller underbiträdesändring uppdateras dokumenten och får nytt datum. Versionshistoriken har ett eget bevisvärde: den visar att styrningen levt över tid och inte skrivits ihop veckan före granskningen.

Det är hela metoden: tre frågor, skriftliga svar, levande dokument. En AI-satsning som klarar dem är inte bara lagligare – den är också enklare att bygga vidare på, eftersom varje nytt användningsfall ärver en karta som redan stämmer. Vill ni stresstesta er egen karta inför ett viktigt beslut? Hör av dig – vi på Weapp bygger AI-lösningar där bevisbarheten är en del av leveransen.