Amerikansk AI i svensk bank – vad som faktiskt gäller

Det är finanssektorns vanligaste invändning: “vi är en bank, vi får väl inte använda amerikansk AI?” Det korta svaret är att det inte finns något kategoriskt förbud. Det ärliga svaret är att det finns en rad krav som måste vara uppfyllda och dokumenterade – och att kreditbedömning är ett specialfall som ändrar hela bilden.

Grundsvaret: villkorat ja

Ingen regel säger blankt att en svensk bank inte får använda amerikansk AI. Men rätten att göra det är villkorad. Banken måste kunna dokumentera tre saker:

• Residens – var data faktiskt lagras och behandlas.
• Överföringsmekanism – på vilken rättslig grund data eventuellt förs till tredje land.
• Underbiträdeskedjan – hela raden av parter som rör datan.

Och en grundförutsättning gäller oavsett leverantör: alla fyra stora leverantörerna är ytterst under amerikansk jurisdiktion. Det går inte att välja bort, bara att hantera – genom var inferensen sker, vilka nycklar ni håller och hur överföringen är analyserad.

Branschskärpningen: kreditbedömning

Här blir det bankspecifikt. Kreditbedömning är ett Bilaga III-fall enligt AI-förordningen. Det betyder att om AI-utdata används i kreditbeslut klassas systemet som högrisk – och då slår artikel 26-skyldigheterna för driftansvarig in.

Det avgörande är att detta gäller oavsett hur verktyget såldes. Ett verktyg som marknadsförts som ett allmänt produktivitetsstöd blir ett högrisksystem i det ögonblick dess utdata påverkar ett kreditbeslut. Det är användningsområdet som styr riskklassen, inte produktbladet. Många banker upptäcker detta sent, när ett “hjälpmedel” visar sig ha glidit in i en beslutskedja.

Den operativa risken som underskattas

Utöver juridiken finns en praktisk kollision som är lätt att missa: korta utfasningsfönster mot formell omvalidering.

En bank kan inte byta modell över en natt – varje ny modell ska valideras enligt interna processer. Men leverantören kan fasa ut en modell snabbare än den valideringen hinner klart. Resultatet blir en glipa där banken antingen kör vidare på en utfasad modell eller tvingas ta i bruk en oprövad.

Motmedlet är att köra parallella modellversioner under revalideringen. Då kan den gamla modellen leva kvar tills den nya är godkänd, i stället för att ett utfasningsdatum tvingar fram ett byte som compliance inte hunnit granska.

Tänk dig att leverantören aviserar att den modell ni validerat utfasas om några veckor. Er interna omvalidering av ersättaren tar längre tid än så. Utan förberedelse står ni inför ett omöjligt val: köra vidare på något som snart inte stöds, eller släppa in en modell som ännu inte passerat er kontroll. Med parallella versioner och en testad reservväg blir samma besked hanterbart – ni migrerar i er egen takt i stället för i leverantörens.

Mitigeringspaketet

Sammantaget finns det ett paket åtgärder som gör ett “ja” försvarbart:

Poängen med paketet är att kunna visa kontroll: var data behandlas, vem som håller nycklarna, varför överföringen är laglig och vad som händer om leverantören försvinner. Det är den dokumenterade kontrollen, inte leverantörens ursprung i sig, som en granskning bedömer.

Vad som avgör om beslutet håller

För en bank räcker det inte att åtgärderna finns – de måste kunna visas upp, i den ordning en tillsyn eller en internrevision frågar efter dem. Det praktiska beslutskriteriet blir därför: kan vi, för varje AI-flöde, peka på var data behandlas, vilken överföringsmekanism som gäller, hela underbiträdeskedjan och vår plan om leverantören faller bort? Kan ni det är beslutet försvarbart. Kan ni det bara för några av flödena är det där arbetet ligger.

Två fallgropar är särskilt vanliga i finanssektorn. Den första är att behandla AI som ett IT-verktyg och missa att användningsområdet kan göra det till ett högrisksystem – kreditbedömningen är det tydligaste exemplet, men liknande logik gäller andra beslut som rör kunder. Den andra är att glömma kontinuiteten: ett kort utfasningsfönster som krockar med en formell omvalidering kan tvinga fram ett byte banken inte hunnit godkänna, om det inte finns parallella versioner och en testad reserv på plats.

Att väga dessa frågor mot varandra i en reglerad verksamhet är krävande, och rätt svar beror på bankens konkreta situation. Vill ni ha ett bollplank för hur ett AI-införande kan struktureras kan du läsa om våra AI-tjänster eller höra av dig. Den här sidan är beslutsstöd, inte juridisk rådgivning – ett skarpt beslut bör stämmas av med er compliance-funktion.