Hvorfor spørgsmålene kommer nu
AI-forordningen, forordning (EU) 2024/1689, trådte i kraft i august 2024 og finder anvendelse i etaper. Forbuddene mod visse former for AI-praksis og kravene om AI-færdigheder kom først, i februar 2025. Reglerne for AI-modeller til almen brug fulgte i august 2025 og gennemsigtighedsforpligtelserne i august 2026. AI-systemer, der allerede var bragt i omsætning inden da, har frist til december 2026 til at mærke det indhold, de genererer, i et maskinlæsbart format.
Digital Omnibus, ændringen, der trådte i kraft i juli 2026, ændrede tre ting, som en leverandør vil blive spurgt om. Den udskød forpligtelserne for højrisiko-AI-systemer til december 2027 for de opregnede højrisikoanvendelser og til august 2028 for AI, der er indbygget i regulerede produkter. Den lempede pligten om AI-færdigheder: Udbydere og idriftsættere skal træffe foranstaltninger, der understøtter medarbejdernes AI-færdigheder, i stedet for at sikre et tilstrækkeligt niveau for hver enkelt person. Og den tilføjede to forbudte former for AI-praksis fra december 2026: AI, der genererer intime billeder af en virkelig person uden samtykke, og AI, der genererer materiale med seksuelt misbrug af børn.
De fleste af dine kunder er idriftsættere efter forordningen: De bruger et AI-system i deres eget arbejde og skal vide nok om det til at bruge det inden for reglerne. Deres indkøbs- og sikkerhedsteams har tilføjet et AI-afsnit til leverandørspørgeskemaet for at finde ud af netop det, og det rammer alle leverandører, hvis produkt udarbejder udkast, scorer, opsummerer eller anbefaler noget som helst.
Hvad et spørgeskema om AI-forordningen spørger om
Spørgsmålene varierer fra kunde til kunde, men de samme emner går igen:
- Hvilke funktioner der bruger AI, hvad hver af dem gør, og om kunden kan slå dem fra.
- Jeres rolle: om I er udbyder af AI-systemet, og hvilke udbydere af AI-modeller til almen brug I bygger på.
- Risikoklassen: om en anvendelse er en forbudt praksis eller hører under listen over højrisikoanvendelser, og hvordan I er nået frem til det.
- Gennemsigtighed: om brugerne får at vide, at de arbejder med AI, og om genereret indhold er mærket som sådant.
- Kundedata: om prompts, dokumenter eller output bruges til at træne en model, hvor de behandles, og hvor længe de opbevares.
- Menneskeligt tilsyn: om en person gennemgår outputtet, før det bruges, og om personen kan rette eller tilsidesætte det.
- Nøjagtighed og test: hvordan I evaluerer outputtet, hvordan I håndterer kendte fejltyper, og hvad I logger.
- Governance: hvem der har ansvaret for AI i virksomheden, om I har en AI-politik eller følger ISO 42001, og hvad I gør for jeres egne medarbejderes AI-færdigheder.
At svare som leverandør
Start med en oversigt med én linje pr. AI-funktion: hvad den gør, hvilken model og udbyder den kalder, hvilke data der sendes, om noget opbevares eller bruges til træning, hvem der gennemgår outputtet, og funktionens risikoklasse med begrundelsen i én sætning. Fem funktioner kan være på én side, og hver række i AI-afsnittet besvares ud fra den.
To svar kræver en beslutning frem for et faktum. Det første er jeres rollebeskrivelse: hvad I leverer, hvad kunden beslutter, og hvor kundens egne pligter som idriftsætter begynder. Det andet er risikoklassificeringen. "Ikke højrisiko" er kun et fyldestgørende svar, når det nævner anvendelsen og begrundelsen, for eksempel "udarbejder svarudkast, som kundens medarbejdere gennemgår; ikke en anvendelse opført i bilag III". Aftal begge dele med den, der underskriver jeres kontrakter, så spørgeskemaet og kontrakten siger det samme.
AI-afsnittet overlapper med to afsnit, du allerede besvarer. Træning på kundedata, behandlingssteder og underdatabehandlere er GDPR-spørgsmål, der stilles igen for AI-udbyderne, og logning, adgang og hændelseshåndtering er de sikkerhedssvar, du allerede har. Svar ud fra den samme tekst begge steder.
Svarene, og jeres egen AI
Svarene om AI-forordningen ligger i vidensbasen som alle andre godkendte svar, med oversigten og jeres AI-politik vedhæftet som dokumentation med gennemgangsdatoer, og hvert spørgeskema udarbejdes ud fra dem med kundens ordlyd. Responsemate er selv et AI-produkt, så dets egne svar er et konkret eksempel: Hvert udkast viser sine kilder og en sikkerhedsscore og venter på, at en person godkender det, kunden vælger selv AI-udbyder og model, og intet kundeindhold bruges til at træne en model. AI usage report viser de anvendte kilder. Responsemates egen AI og datahåndtering.
Spørgsmål, folk stiller
Gælder AI-forordningen for en SaaS-leverandør uden for EU?
Ja, når AI-systemet bringes i omsætning på EU-markedet, eller dets output bruges i EU. En leverandør i USA eller Storbritannien, der sælger til kunder i EU, er omfattet for de systemer, kunderne bruger.
Er vores produkt højrisiko efter AI-forordningen?
Sandsynligvis ikke. Højrisiko er en fastlagt liste over anvendelser, for eksempel rekruttering, kreditvurdering, adgang til uddannelse eller væsentlige offentlige tjenester og sikkerhedskomponenter i regulerede produkter. At skrive tekstudkast, opsummere dokumenter eller søge i en vidensbase står ikke på den. Angiv, hvilken kategori I hører under og hvorfor, i en eller to sætninger.
Fristen for højrisiko er udskudt til 2027. Kan vi vente med at svare?
Nej. Udskydelsen gælder forpligtelserne for højrisiko-AI-systemer, og det meste B2B-software er alligevel ikke højrisiko. Forbuddene mod visse former for AI-praksis, gennemsigtighedsforpligtelserne og reglerne for AI-modeller til almen brug gælder allerede, og jeres kunder indsamler leverandørsvar nu, til kontrakter, der løber langt ud over 2027.
Skal vi have ISO 42001 for at besvare et spørgeskema om AI-forordningen?
Nej. ISO/IEC 42001 er en frivillig standard for et ledelsessystem for AI, og et certifikat er god dokumentation, men spørgeskemaet kan besvares uden. Kunderne spørger, om I har det, på samme måde som de spørger til ISO 27001.