När kundens AI-krav blir ditt compliance-ansvar

För många små och medelstora företag kommer kraven på AI-transparens inte från Bryssel direkt, utan via kundavtalet. När ett större bolag eller en offentlig upphandlare ska förnya ett avtal får du plötsligt en bilaga om AI-användning i brevlådan – med krav på att du ska kunna beskriva vilka system du använder, hur de hanterar data och vad du gör för att begränsa risken. Företag som inte kan svara tappar affären, eller skriver under en klausul de inte vet om de håller.

Krav uppifrån, ansvar nedåt

EU:s AI-förordning har fått mer tid att verka, och kraven på dokumentation och spårbarhet filtrerar nu ner genom leverantörskedjorna. Det som för ett storbolag är en fråga om efterlevnad blir för dig en fråga om att fortsätta sälja.

När ett företag som omfattas av skärpta regler själva köper in tjänster med AI-komponenter behöver de kunna visa att hela kedjan håller. De lägger därför över dokumentationskraven på sina leverantörer. Det är praktiskt för dem – och en direkt utmaning för dig som inte har en fullständig bild av var din egen organisation faktiskt använder AI.

Det vanligaste misstaget är att tro att inventeringen bara gäller de system som formellt köpts in av IT-avdelningen. I praktiken finns generativ AI i marknadsavdelningens textverktyg, i säljarens mejl, i konstruktionens ritningsprogram och ibland i kundtjänstens chattbot. Om ingen kartlagt detta saknar du underlag när frågan kommer.

Så gör du en enkel AI-inventering

Du behöver inte ett stort projekt. Du behöver en lista som är aktuell och som någon äger.

• Gå igenom vilka AI-baserade verktyg som används i affärsprocesserna: marknadsföring, sälj, inköp, produktion, kundservice och ekonomi.
• Notera för varje verktyg vad det används till, vilka typer av uppgifter som matas in och om personuppgifter eller affärshemligheter berörs.
• Kontrollera om verktyget är ett färdigt system ni köper in eller en funktion inbyggd i en befintlig tjänst – det avgör vilka krav som ställs på er som kund respektive på er som leverantör.
• Ta reda på om underleverantörer i er kedja själva använder AI i det de levererar till er.
• Utse en ansvarig för listan. Utan en namngiven ägare blir inventeringen inaktuell inom några månader.

Listan behöver inte vara perfekt. Den behöver finnas.

Leverantörsklausulen du själv bör ställa

Om du levererar till större bolag har du sannolikt själv fått acceptera krav på AI-transparens. Samma logik gäller åt andra hållet: när du köper in tjänster där AI ingår bör du i avtalet reglera vad leverantören får använda er data till, om indata tränar modeller och hur ni får besked om förändringar i tjänsten.

Den som bara accepterar andras klausuler utan att ställa egna bygger en kedja där ansvaret rullar nedåt utan att någon tar emot det.

Praktisk checklista före nästa kundavtal

• Har du en aktuell lista över AI-verktyg i verksamheten?
• Vet du vilka av dessa som hanterar personuppgifter eller kunddata?
• Har du läst era leverantörsavtal vad gäller AI och dataanvändning?
• Kan du svara skriftligen på en fråga om AI-användning inom en vecka?

Företag som redan har en fungerande inventering kan använda den som säljargument: vi kan visa hur vi använder AI och hur vi begränsar den. Företag utan inventering får förklara varför de inte har det – i en upphandling där tidsfristen är kort.

Frågan är inte om kraven kommer att nå ditt företag, utan om du får dem i form av en klausul du kan tänka igenom i lugn och ro, eller som ett akut svar krävt av en kund som redan väntar.