Hvorfor spørsmålene kommer
EUs KI-forordning (EU AI Act, forordning (EU) 2024/1689) trådte i kraft i august 2024 og gjelder trinnvis. Forbudt praksis og KI-kompetanse kom først, i februar 2025. Reglene for KI-modeller for allmenne formål fulgte i august 2025, og åpenhetspliktene i august 2026. KI-systemer som allerede var på markedet da, har frist til desember 2026 med å merke innholdet de genererer på en maskinlesbar måte.
Digital Omnibus, endringen som trådte i kraft i juli 2026, endret tre ting en leverandør vil bli spurt om. Den flyttet forpliktelsene for høyrisikosystemer til desember 2027 for de oppførte høyrisikobrukene og til august 2028 for KI som er bygget inn i regulerte produkter. Den mildnet plikten om KI-kompetanse: tilbydere og idriftsettere må iverksette tiltak som støtter KI-kompetansen hos de ansatte, i stedet for å sikre et tilstrekkelig nivå hos hver enkelt. Og den la til to nye former for forbudt praksis fra desember 2026: KI som genererer intime bilder av en virkelig person uten samtykke, og KI som genererer materiale som viser seksuelle overgrep mot barn.
De fleste av kundene dine er idriftsettere etter forordningen: de bruker et KI-system i sitt eget arbeid, og de må vite nok om det til å bruke det innenfor reglene. Innkjøps- og sikkerhetsteamene deres har lagt til en KI-del i leverandørspørreskjemaet for å finne ut av det, og den når alle leverandører der produktet skriver utkast, vurderer, oppsummerer eller anbefaler noe som helst.
Hva et spørreskjema om KI-forordningen spør om
Spørsmålene varierer fra kunde til kunde, men de samme temaene går igjen:
- Hvilke funksjoner som bruker KI, hva hver av dem gjør, og om kunden kan slå dem av.
- Din rolle: om du er tilbyder av KI-systemet, og hvilke tilbydere av KI-modeller for allmenne formål du bygger på.
- Risikoklassen: om noen bruk er forbudt praksis eller faller inn under høyrisikolisten, og hvordan du kom frem til den konklusjonen.
- Åpenhet: om brukerne får vite at de jobber med KI, og om generert innhold er merket som det.
- Kundedata: om prompter, dokumenter eller resultater brukes til å trene en modell, hvor de behandles og hvor lenge de oppbevares.
- Menneskelig tilsyn: om en person gjennomgår resultatet før det brukes, og om vedkommende kan rette eller overstyre det.
- Nøyaktighet og testing: hvordan du evaluerer resultatet, hvordan du håndterer kjente feilsituasjoner, og hva du logger.
- Styring: hvem som har ansvaret for KI i selskapet, om dere har en KI-policy eller følger ISO 42001, og hva dere gjør for KI-kompetansen til deres egne ansatte.
Å svare som leverandør
Start med en oversikt, én linje per KI-funksjon: hva den gjør, hvilken modell og leverandør den kaller, hvilke data som sendes, om noe lagres eller brukes til trening, hvem som gjennomgår resultatet, og risikoklassen med begrunnelsen i én setning. Fem funksjoner får plass på én side, og hver rad i KI-delen besvares ut fra den.
To av svarene krever en beslutning snarere enn et faktum. Det første er rollebeskrivelsen: hva du leverer, hva kunden bestemmer, og hvor kundens egne plikter som idriftsetter begynner. Det andre er risikoklassifiseringen. «Ikke høyrisiko» er et fullstendig svar bare når det nevner bruken og begrunnelsen, for eksempel «skriver utkast til svar som kundens ansatte gjennomgår; ikke en bruk som er oppført i vedlegg III». Bli enige om begge med den som signerer kontraktene deres, så spørreskjemaet og kontrakten sier det samme.
KI-delen overlapper med to deler du allerede svarer på. Trening på kundedata, behandlingssteder og underdatabehandlere er GDPR-spørsmål som stilles på nytt for KI-leverandørene, og logging, tilgang og hendelseshåndtering er sikkerhetssvar du allerede har. Svar ut fra den samme teksten begge steder.
Svarene, og din egen KI
Svarene om KI-forordningen ligger i kunnskapsbasen som alle andre godkjente svar, med oversikten og KI-policyen din vedlagt som dokumentasjon med gjennomgangsdatoer, og hvert spørreskjema får utkast fra dem med kundens ordlyd. Responsemate er selv et KI-produkt, så selskapets egne svar er et praktisk eksempel: hvert utkast viser kildene og en konfidensscore og venter på at en person godkjenner det, kunden velger selv KI-leverandør og modell, og ikke noe kundeinnhold brukes til å trene en modell. AI usage report viser hvilke kilder som er brukt. Responsemates egen KI og databehandling.
Vanlige spørsmål
Gjelder KI-forordningen for en SaaS-leverandør utenfor EU?
Ja, når KI-systemet bringes i omsetning i EU eller resultatet brukes i EU. En leverandør i USA eller Storbritannia som selger til kunder i EU, er omfattet for de systemene disse kundene bruker.
Er produktet vårt høyrisiko etter KI-forordningen?
Sannsynligvis ikke. Høyrisiko er en avgrenset liste over bruksområder, som rekruttering, kredittvurdering, tilgang til utdanning eller grunnleggende offentlige tjenester og sikkerhetskomponenter i regulerte produkter. Å skrive utkast til tekst, oppsummere dokumenter eller søke i en kunnskapsbase står ikke på den. Si hvilken kategori dere er i og hvorfor, med én eller to setninger.
Fristen for høyrisiko er flyttet til 2027. Kan vi vente med å svare?
Nei. Utsettelsen gjelder forpliktelsene for høyrisikosystemer, og det meste av B2B-programvare er uansett ikke høyrisiko. Forbudt praksis, åpenhetspliktene og reglene for KI-modeller for allmenne formål gjelder allerede, og kundene dine samler inn svar fra leverandørene nå, for kontrakter som løper langt forbi 2027.
Trenger vi ISO 42001 for å besvare et spørreskjema om KI-forordningen?
Nei. ISO/IEC 42001 er en frivillig standard for et styringssystem for KI, og et sertifikat er nyttig dokumentasjon, men spørreskjemaet kan besvares uten. Kundene spør om du har det på samme måte som de spør om ISO 27001.