Vad är ett underbiträde?

När du köper en AI-tjänst köper du sällan bara av ett bolag. Bakom leverantören finns en kedja av underleverantörer som också behandlar din data. Underbiträdet är namnet på det ledet – och det är ofta där de verkliga dataskyddsfrågorna gömmer sig, långt från logotypen på fakturan.

Definitionen

Ett underbiträde är personuppgiftsbiträdets egen leverantör i behandlingskedjan. Ni är personuppgiftsansvarig, er leverantör är biträde, och de underleverantörer som biträdet i sin tur anlitar för att leverera tjänsten är underbiträden.

Det viktiga är principen: det är kedjan, inte varumärket, som avgör var data ligger och vilket ansvar som gäller. Två tjänster med samma logotyp utåt kan ha helt olika underbiträdeskedjor – och därmed olika jurisdiktion och risk. Den som bara tittar på leverantörens namn ser bara toppen av kedjan.

För er som personuppgiftsansvarig är det här inte en teoretisk finess. Ansvaret för hela kedjan stannar ytterst hos er: väljer ni en leverantör, väljer ni indirekt också dess underbiträden. Det märks konkret i registerförteckningen, där varje behandling ska kunna kopplas till var data faktiskt hamnar, och i en eventuell granskning, där ni behöver kunna redogöra för leden – inte bara namnge er direkta leverantör. Att förstå underbiträdesbegreppet är därför en förutsättning för att kunna dokumentera era AI-tjänster korrekt.

AI-exemplen som gör det konkret

I AI-världen blir det här snabbt påtagligt, eftersom modellerna ofta körs via molnplattformar:

• Kör ni Claude via AWS Bedrock blir AWS databehandlare i ledet och Anthropic underbehandlare. Datan går genom Amazons infrastruktur, med Anthropics modell längre in i kedjan.
• Kör ni OpenAI är Microsoft Azure den primära underleverantören. Det innebär att OpenAI-data bär amerikansk exponering även när ni valt EU-lagring – underbiträdet drar in en jurisdiktion som lagringsvalet inte tar bort.

Poängen är att jurisdiktion och exponering följer kedjan. Ett scenario: ett bolag väljer en AI-tjänst med europeisk profil och antar att datan stannar i EU. Kartläggningen av underbiträden visar att ett led i kedjan ligger i USA – och att CLOUD Act därmed är relevant, trots den europeiska ytan.

Beställarens rättigheter i DPA:t

Eftersom kedjan är avgörande måste du kunna se den. Ett korrekt personuppgiftsbiträdesavtal (DPA) ger dig tre saker:

1. En aktuell underbiträdeslista – vilka underleverantörer som ingår just nu.
2. Notis vid ändringar – besked när leverantören lägger till eller byter underbiträde.
3. Invändningsrätt – möjlighet att protestera mot ett nytt underbiträde du inte accepterar.

Saknas de här rättigheterna i avtalet är det en varningsflagga. Utan dem tappar du insyn i och kontroll över den nedre delen av kedjan – där en stor del av risken faktiskt bor.

Multimodellplattformar ger flera kedjor

En sista sak att hålla reda på: multimodellplattformar. En tjänst som ger tillgång till modeller från flera leverantörer skapar flera parallella underbiträdeskedjor, var och en med sin jurisdiktion.

Det räcker då inte att kartlägga plattformen som om den vore en enda leverantör. Varje modellväg har sin egen kedja, och alla dessa ska in i registerförteckningen. En verksamhet som använder flera modeller behöver alltså dokumentera flera kedjor parallellt.

Så kartlägger du kedjan

För att få kontroll över underbiträdena, gör så här i praktiken:

1. Utgå från datan, inte logotypen. Följ det faktiska flödet: vart går prompten, vilken infrastruktur behandlar den, vilken modell svarar? Det är den vägen som avgör jurisdiktionen.
2. Begär underbiträdeslistan. Läs den mot flödet. Stämmer de led du hittat med det leverantören redovisar? Saknas något är det värt en fråga.
3. Notera jurisdiktionen per led. Markera vilka led som ligger utanför EU och vilken exponering det medför, till exempel via CLOUD Act.
4. För in varje kedja i registerförteckningen. Använder ni flera modeller eller plattformar blir det flera kedjor – alla ska dokumenteras, inte bara den mest synliga.

Vill du se hur underbiträdesfrågan hänger ihop med residens, överföringsmekanismer och myndighetsåtkomst i ett helt AI-projekt finns mer på vår AI-sida. Behöver du hjälp att kartlägga underbiträdeskedjorna för era AI-tjänster? Hör av dig.