AI-regler i offentlig sektor: så här påverkas leverantörer till kommuner

EU:s AI-förordning har börjat tillämpas, och fler krav träder i kraft stegvis. Kraven träffar inte bara de stora teknikbolagen. Småföretag som säljer AI-lösningar till kommuner, regioner och myndigheter måste kunna redovisa hur systemen klassificeras, hur data hanteras och hur mänsklig tillsyn ser ut. Upphandlare i offentlig sektor börjar ställa frågorna i kravspecifikationerna, och ett ofullständigt svar kan utesluta företaget ur nästa anbudsrunda.

Riskklassning är första steget

Förordningen skiljer på system med olika risknivåer. De flesta lösningar som småföretag levererar till kommuner hamnar i kategorin begränsad risk, där kravet bland annat är att användaren får tydlig information om att han eller hon har att göra med ett AI-system. Vissa användningsområden faller däremot i kategorin hög risk, med betydligt tuffare dokumentationskrav.

Innan du talar med en upphandlare behöver du veta var din lösning hamnar. En chattbot som hjälper medborgare att hitta rätt blankett på kommunens webbplats är sannolikt begränsad risk. Ett system som prioriterar vilka familjer som ska få insats inom socialtjänsten, eller som används för att bedöma auktorisationer, kan falla under hög risk eftersom det påverkar individers rättigheter och livschanser.

Klassningen avgör vilka krav som gäller:

• Begränsad risk: transparenskrav, till exempel att användaren får veta att den interagerar med ett AI-system.
• Högre risk: systemlogg, teknisk dokumentation, datahanteringsrutiner, mänsklig tillsyn, robusthet och säkerhet.
• Otillåtet: vissa social scoring-system och manipulativa tekniker är helt förbjudna.

Högriskreglerna för bland annat rekrytering, kreditbedömning och vissa offentliga beslut börjar tillämpas 2 december 2027. Vissa system har längre övergångstider. Det betyder inte att arbetet kan skjutas upp: upphandlare kan ställa krav på dokumentation redan nu, och en ofullständig klassning kan bli ett affärsproblem långt före tillsynen.

Om du klassificerar fel riskerar du att sakna dokumentation när upphandlaren frågar. Då blir det svårt att hävda att din lösning uppfyller kraven.

Dokumentationen upphandlaren kommer att begära

Offentliga köpare har också egna skyldigheter som användare av AI-system, och de behöver kunna visa att kraven följs i upphandlingen. I praktiken betyder det att de kommer att be om mer än en prislista och en funktionsbeskrivning. Räkna med att behöva redovisa:

• En beskrivning av systemets avsedda användningsområde och dess begränsningar.
• Uppgifter om vilka data systemet tränats på eller behandlar, och hur de hanteras.
• Rutiner för löpande övervakning av systemets prestation.
• Beskrivning av hur människan behåller kontrollen och kan ingripa.
• Information om hur systemets säkerhet skyddas mot felaktig användning.

Sammanställ detta i en mapp som du kan skicka till varje intresserad upphandlare. Ju snabbare du kan leverera, desto bättre står du.

Mänsklig tillsyn mer än en formulering

Begreppet mänsklig tillsyn är lätt att skriva i en offert men svårt att leva upp till. Myndigheten som köper lösningen ska ha personal som förstår systemets begränsningar och som kan överge automatiserat beslut om resultaten är osäkra. Som leverantör behöver du kunna visa hur din lösning stödjer den tillsynen: loggar, möjlighet att granska varje beslut och tydliga varningar när osäkerheten är hög.

Det räcker inte att skriva i avtalet att kunden ansvarar för tillsynen. Om ditt system är designat så att människan i praktiken bara klickar igenom förslag, har du byggt in ett problem som kan återkomma till dig i nästa upphandling.

Praktiska nästa steg för småföretag

Börja med en intern klassificering av alla system du säljer. Skriv ner varför du landar i den riskklass du landar i. Gå sedan igenom din datahantering: var kommer träningsdata ifrån, har du rätt att använda den och hur länge sparas den. Utse en person i företaget som är ansvarig för AI-dokumentationen, även om det är en sidouppgift i början.

Kontrollera också dina avtalsvillkor. Om en kommun kräver att du som leverantör håller systemet uppdaterat och övervakat under hela avtalsperioden, behöver du ha rutiner för det. Ett löfte utan process bakom blir svårt att försvara.

Kontrollista innan nästa anbud:

• Klassificera varje system och dokumentera motiveringen.
• Samla datakällor, rättigheter och lagringstider på ett ställe.
• Beskriv hur mänsklig tillsyn fungerar i praktiken, inte bara på papperet.
• Utpeka en ansvarig för AI-dokumentationen internt.
• Gå igenom avtalsvillkoren mot era rutiner för uppdatering och övervakning.

Frågan är inte om din nästa kund kommer att fråga om AI-förordningen, utan när. De företag som kan visa en komplett mapp med klassificering, datahantering och tillsynrutiner vinner fördel i anbudsbedömningen – medan de som väntar riskerar att falla ur tidigare än de tror.