Tre spørgsmål der afgør om jeres AI er dokumenterbar i EU

En revisor eller en tilsynsmyndighed spørger sjældent: “Har I EU-residency?” Spørgsmålet er: “Vis mig det.” Forskellen på at have ret og at kunne bevise det er hele forskellen i en gennemgang, og den kan testes på forhånd. Tre kontrolspørgsmål er nok til at se om jeres AI-brug holder. De er desuden gratis at stille på forhånd og meget dyre at få som en overraskelse.

Spørgsmål 1: Er hele flowet dokumenterbart i EU?

Ikke “lover leverandøren EU?”, men: Kan I skriftligt vise hvor lagring, transit og inferens foregår, for præcis den SKU, tier og model I kører?

De fleste løfter om residency dækker lagring, men ikke inferens, altså selve modelkørslen. Og løfter på produktniveau siger intet om jeres konfiguration: Den samme tjeneste kan behandle data i EU eller USA afhængigt af deploymenttype, tenantens alder og modelversion. Beviset er en dateret skriftlig bekræftelse pr. konfiguration, ikke et skærmbillede fra en markedsføringsside.

Testen: Bed den der ejer løsningen, om at fremskaffe bekræftelsen inden for en arbejdsdag. Findes den ikke, er svaret på spørgsmål 1 nej, uanset hvor godt indkøbet føltes. Skriv også ind i aftalen at bekræftelsen skal opdateres ved ændringer. Et bevis med en bedst før-dato er bedre end et der i stilhed er blevet forældet.

Spørgsmål 2: Hvad er jeres forsvarlige overførselsmekanisme?

Før eller siden kommer spørgsmålet: Hvad sker der den dag en amerikansk myndighedsanmodning rammer jeres leverandør? Så skal I kunne pege på en fungerende overførselsmekanisme, afhængigt af leverandørvejen oftest deltagelse i DPF eller standardkontraktbestemmelser suppleret med jeres egen TIA.

At spørgsmålet ikke er teoretisk, viste Microsoft Frankrig, der under ed i det franske senat ikke kunne garantere at data aldrig udleveres til amerikanske myndigheder. Det vidneudsagn er en brugbar risikoreference i jeres TIA: Selv leverandører med stærke EU-forpligtelser er i sidste ende underlagt amerikansk ret. Jeres mekanisme skal holde også i det scenarie, med afhjælpende foranstaltninger som kundekontrollerede nøgler og dokumenteret restrisiko.

Øv desuden scenariet før det indtræffer: Hvem i organisationen får spørgsmålet, hvilke dokumenter bliver fundet frem, og hvem kontakter leverandøren? En times skrivebordsøvelse viser hurtigt om mekanismen er et dokument eller en evne.

Spørgsmål 3: Kan I tegne hele kortet over underdatabehandlere og retention?

Sæt en kritisk reviewer foran et whiteboard, og tegn flowet: hver part der rører jeres data, i hvilken region og med hvilken retention. Klarer kortet opfølgende spørgsmål, er I godt stillet. Det halter oftest tre steder:

• Multimodel-routing: assistenter der vælger model for hvert kald, hvor hver model er en selvstændig underdatabehandler med egne vilkår.
• Afhængigheder af hyperscalere: Laboratoriets model kører i en cloud, hvis tilknyttede tjenester har egne regioner og flows.
• Tvungen retention på frontier-modeller: De nyeste modeller kan have logning der ikke kan forhandles væk, med andre vilkår end leverandørens GA-udbud.

Et konkret eksempel: En organisation kører en assistent der router enkle spørgsmål til en billig model og svære til en frontier-model. Kortet viser sig at have to helt forskellige veje for retention, den ene med zero data retention, den anden med tvungen logning. Uden kortet var begge blevet beskrevet som “det samme værktøj”. Tegn kortet før leverandøren gør det for jer. Den der holder pennen, vælger detaljeniveauet, og det er i detaljerne manglerne viser sig.

Svarene hører hjemme i DPIA og aftalebilag

De tre svar skal ikke bo i mailtråde eller i hovedet på en arkitekt. De hører hjemme i jeres DPIA og i aftalebilagene, daterede og versionerede, så man kan vise hvad I vidste og besluttede på hvert tidspunkt. Ved hver modelopgradering eller ændring af underdatabehandlere opdateres dokumenterne og får en ny dato. Versionshistorikken har sin egen bevisværdi: Den viser at styringen har levet over tid og ikke er skrevet sammen ugen før gennemgangen.

Det er hele metoden: tre spørgsmål, skriftlige svar, levende dokumenter. En AI-satsning der klarer dem, er ikke bare mere lovlig. Den er også lettere at bygge videre på fordi hver ny use case arver et kort der allerede stemmer. Vil I stressteste jeres eget kort før en vigtig beslutning? Kontakt os. Hos Weapp bygger vi AI-løsninger hvor dokumentationen er en del af leverancen.