GDPR-checklistan före AI-avtalet

De flesta AI-avtal skrivs under tidspress: piloten är lyckad, verksamheten vill vidare och leverantörens papper ser proffsiga ut. Det är exakt då en checklista gör störst nytta. Här är kraven att ställa före signering – indelade i det ni ska kräva in, det ni ska fråga om och det ni aldrig kan lämna ifrån er. Listan är medvetet leverantörsneutral: samma krav gäller oavsett om avtalet rör en chattjänst, ett utvecklarverktyg eller en API-plattform, och den fungerar lika bra vid omförhandling som vid nyteckning.

Dokumenten att kräva in

Fyra dokument utgör grundpaketet. Saknas något av dem är det ett skäl att pausa, inte förhandla vidare:

Begär daterade versioner och spara dem i upphandlingsakten. En underbiträdeslista utan datum är i praktiken värdelös vid en granskning två år senare. Läs listan aktivt, inte som en formalitet: den visar ofta att kedjan är längre än säljpresentationen antydde – en modelleverantör, en hyperskalare och ibland analystjänster i tredje led. Varje led är en egen fråga om region och retention.

Frågorna som skiljer leverantörer åt

Dokumenten ovan har de flesta seriösa leverantörer. Skillnaderna – och riskerna – syns först i följdfrågorna:

• Retention och zero data retention per endpoint. Ett ZDR-löfte kan gälla vissa funktioner men inte andra. Fråga per endpoint ni faktiskt använder, inte per produkt.
• Var missbruksdetekteringen sker. Många leverantörer granskar prompts för missbruk – ibland utanför EU och ibland med mänsklig läsning. Fråga var, av vem och med vilken lagring.
• Incidentnotifieringstid. Standardformuleringen ”utan oskäligt dröjsmål” ger er inget att planera mot. Förhandla in en konkret timgräns i ett avtalstillägg – ni har själva 72 timmar på er mot tillsynsmyndigheten och behöver marginal.

Ett exempel på varför endpoint-nivån spelar roll: ett bolag upphandlar en AI-assistent för kundtjänst och nöjer sig med leverantörens ”vi erbjuder zero data retention”. Vid granskning visar det sig att ZDR gäller chattflödet – men inte transkriberings-API:t som alla telefonsamtal passerar. Samtalen har lagrats i 30 dagar utanför EU. En enda följdfråga per endpoint hade fångat det före avtal. Lärdomen är generell: ju närmare era faktiska anrop frågan ställs, desto ärligare blir svaret. Och be om svaren skriftligt även när de känns självklara i mötet – det är skillnaden mellan ett minne och ett underlag.

Ert eget ansvar går inte att delegera

Hur bra leverantören än är förblir fyra åtaganden era, som personuppgiftsansvarig:

1. DPIA – konsekvensbedömningen för behandlingar med hög risk.
2. Registerförteckning – AI-verktyget och dess underbiträdeskedja ska in i artikel 30-förteckningen.
3. Loggar – er egen spårbarhet över vad som skickats in och vad systemet gjort.
4. AI-kompetensplan – att de som använder verktyget förstår vad det får och inte får användas till.

Leverantörens dokument är underlag till de här punkterna, aldrig ersättning för dem. En granskare frågar efter era bedömningar, inte leverantörens broschyr. Punkterna är dessutom det bästa skyddet mot skugg-AI: en organisation som vet vilka verktyg som får användas till vad, och loggar hur de används, upptäcker avvikelser innan de blir incidenter.

Datera verifieringen – och gör om den

Allt ovan är en ögonblicksbild. Villkor, underbiträden och modellversioner ändras löpande, så checklistan behöver köras igen före driftsättning och vid varje modelluppgradering. Datera varje verifiering och håll versionshistorik – det förvandlar checklistan från en engångsritual till ett levande skydd. Ett praktiskt format är en enkel tabell per leverantör med kravpunkt, besked, källa och datum – tråkig att fylla i, ovärderlig den dag någon frågar.

Står ni inför ett AI-avtal och vill ha en teknisk motpart som sett skrivningarna förr? Vi på Weapp arbetar med AI-lösningar där avtalsfrågorna hanteras ihop med arkitekturen – hör av dig så går vi igenom er situation.