Varför frågorna kommer nu
EU:s AI-förordning (förordning (EU) 2024/1689) trädde i kraft i augusti 2024 och börjar tillämpas i etapper. Förbuden mot vissa AI-metoder och kravet på AI-kunnighet kom först, i februari 2025. Reglerna för AI-modeller för allmänna ändamål följde i augusti 2025, och transparenskraven i augusti 2026. AI-system som redan fanns på marknaden då har till december 2026 på sig att märka det innehåll de genererar i ett maskinläsbart format.
Digital Omnibus, ändringen som trädde i kraft i juli 2026, ändrade tre saker som en leverantör kommer att få frågor om. Den sköt upp skyldigheterna för hög risk till december 2027 för de listade högriskanvändningarna och till augusti 2028 för AI som är inbyggd i reglerade produkter. Den mildrade kravet på AI-kunnighet: leverantörer och tillhandahållare ska vidta åtgärder som stöder personalens AI-kunnighet, i stället för att säkerställa en tillräcklig nivå hos varje person. Och den lade till två förbjudna AI-metoder från december 2026: AI som genererar intima bilder av en verklig person utan samtycke, och AI som genererar material som visar sexuella övergrepp mot barn.
De flesta av dina kunder är tillhandahållare enligt förordningen: de använder ett AI-system i sitt eget arbete och måste veta tillräckligt om det för att använda det inom reglerna. Deras inköps- och säkerhetsteam har lagt till ett AI-avsnitt i leverantörsfrågeformuläret för att ta reda på det, och det når varje leverantör vars produkt skriver utkast, poängsätter, sammanfattar eller rekommenderar något.
Vad ett frågeformulär om AI-förordningen frågar om
Frågorna varierar från kund till kund, men samma ämnen återkommer:
- Vilka funktioner som använder AI, vad var och en gör och om en kund kan stänga av den.
- Din roll: om du är leverantör av AI-systemet, och vilka leverantörer av AI-modeller för allmänna ändamål du bygger på.
- Riskklassen: om någon användning är en förbjuden AI-metod eller hör till listan över högriskanvändningar, och hur du kom fram till det.
- Transparens: om användarna får veta att de arbetar med AI, och om genererat innehåll märks som sådant.
- Kunddata: om prompter, dokument eller utdata används för att träna någon modell, var de behandlas och hur länge de sparas.
- Mänsklig tillsyn: om en person granskar utdata innan de används, och om personen kan rätta eller åsidosätta dem.
- Noggrannhet och testning: hur du utvärderar utdata, hur du hanterar kända felbeteenden och vad du loggar.
- Styrning: vem som är ansvarig för AI i ditt företag, om du har en AI-policy eller följer ISO 42001, och vad du gör för din egen personals AI-kunnighet.
Att svara som leverantör
Börja med en förteckning, en post per AI-funktion: vad den gör, vilken modell och leverantör den anropar, vilka data som skickas, om något sparas eller används för träning, vem som granskar utdata och vilken riskklass den har, motiverad i en mening. Fem funktioner ryms på en sida, och varje rad i AI-avsnittet besvaras utifrån den.
Två svar kräver ett beslut snarare än ett faktum. Det första är din rollbeskrivning: vad du levererar, vad kunden bestämmer och var kundens egna skyldigheter som tillhandahållare tar vid. Det andra är riskklassificeringen. ”Inte hög risk” är ett fullständigt svar bara när det anger användningen och skälet, till exempel ”skriver utkast till svar som kundens personal granskar; ingen användning som förtecknas i bilaga III”. Kom överens om båda med den som skriver under dina avtal, så att frågeformuläret och avtalet säger samma sak.
AI-avsnittet överlappar med två avsnitt som du redan besvarar. Träning på kunddata, var behandlingen sker och underbiträden är GDPR-frågor som ställs på nytt för AI-leverantörerna, och loggning, åtkomst och incidenthantering är säkerhetssvar du redan har. Svara utifrån samma text på båda ställena.
Svaren, och din egen AI
Svaren om AI-förordningen ligger i kunskapsbasen som alla andra godkända svar, med förteckningen och din AI-policy bifogade som underlag med granskningsdatum, och varje frågeformulär skrivs som utkast utifrån dem med kundens formuleringar. Responsemate är i sig en AI-produkt, så dess egna svar är ett exempel från verkligheten: varje utkast visar sina källor och en konfidenspoäng och väntar på att en person godkänner det, kunden väljer AI-leverantör och modell, och inget kundinnehåll används för att träna någon modell. Rapporten AI usage report visar vilka källor som använts. Responsemates egen AI- och datahantering.
Vanliga frågor
Gäller AI-förordningen för en SaaS-leverantör utanför EU?
Ja, när AI-systemet släpps ut på EU-marknaden eller dess utdata används i EU. En leverantör i USA eller Storbritannien som säljer till kunder i EU omfattas för de system som de kunderna använder.
Räknas vår produkt som hög risk enligt AI-förordningen?
Troligen inte. Hög risk avser en fastställd lista över användningsområden, som rekrytering, kreditbedömning, tillgång till utbildning eller grundläggande offentliga tjänster och säkerhetskomponenter i reglerade produkter. Att skriva utkast till text, sammanfatta dokument eller söka i en kunskapsbas finns inte med. Ange vilken kategori du hör till och varför, i en eller två meningar.
Tidsfristen för hög risk har flyttats till 2027. Kan vi vänta med att svara?
Nej. Uppskjutandet gäller skyldigheterna för hög risk, och de flesta B2B-program räknas ändå inte som hög risk. Förbuden mot vissa AI-metoder, transparenskraven och reglerna för AI-modeller för allmänna ändamål gäller redan, och dina kunder samlar in leverantörssvar nu, för avtal som löper långt efter 2027.
Behöver vi ISO 42001 för att besvara ett frågeformulär om AI-förordningen?
Nej. ISO/IEC 42001 är en frivillig standard för ledningssystem för AI, och ett certifikat är användbart underlag, men frågeformuläret går att besvara utan det. Kunder frågar om du har det på samma sätt som de frågar om ISO 27001.