Checklista: upphandla AI-verktyg i kommun och region

Den här checklistan är tänkt som ett stöd, inte en mall att följa slaviskt. Varje verksamhet är olika, och kraven bör stå i proportion till hur känslig informationen är. Ni väljer själva vad som väger tyngst; vi hjälper er ställa rätt frågor.

1. Klassa informationen först

Innan du tittar på verktyg: vilken typ av data ska hanteras? Öppna uppgifter, personuppgifter, känsliga personuppgifter eller sekretessbelagd information? Kraven längre ner bör skalas efter svaret.

2. Var lagras och behandlas datan?

• I vilket land och vilken region lagras datan?
• Sker även behandling (inte bara lagring) inom EU/EES?
• Går det att välja EU-region, och gäller det er avtalsnivå, eller bara Enterprise?

3. Vem äger leverantören? (CLOUD Act)

• Är leverantören eller dess moderbolag amerikanskt? Då kan CLOUD Act ge amerikanska myndigheter åtkomst även vid EU-lagring.
• För känslig eller sekretessbelagd data: överväg svensk eller europeisk leverantör. Vår härkomstmärkning är en första gallring.

4. Underleverantörer och AI-flöden

• Finns en aktuell lista över underleverantörer (sub-processors)?
• Skickas inmatad data vidare till externa AI-modeller (t.ex. amerikanska)?
• Får leverantören använda er data för att träna sina modeller? (Bör kunna stängas av.)

5. Avtal och säkerhet

• Erbjuds personuppgiftsbiträdesavtal (DPA) med EU-standardavtalsklausuler?
• Kryptering i vila och under överföring? Stark autentisering och loggning?
• Rutiner för incidenthantering och rapportering?

6. AI-förordningen och exit

• Hur förhåller sig användningen till AI Act? De flesta kontorsverktyg är låg risk, men rekrytering och beslut om individer kan vara högrisk.
• Hur får ni ut och raderar er data om ni byter leverantör?

7. Väg samman: ni bestämmer

Ingen leverantör kryssar alla rutor. En svensk molnplattform som Berget, Elastx eller GleSYS ger stark datakontroll men kräver mer eget arbete; en stor internationell tjänst är smidig men kan innebära dataskyddsavvägningar. Vikta frågorna ovan efter er informationsklassning och ert uppdrag.

Men låt informationsklassningen avgöra, inte bekvämligheten: klassar ni informationen som känslig är det svenska spåret värt det extra arbetet, och då ska ni acceptera att det kostar mer egen tid. För okänslig information är avvägningen omvänd: då räcker det att kräva DPA, en aktuell underleverantörslista och en fungerande export, och välja det smidigaste som levererar det.

Detta ersätter inte er egen dataskydds- och upphandlingsfunktion, men det ger er en gemensam grund att utgå från.