Deployer-skyldigheter checklista for grundare och compliance leads

Deployer-skyldigheter enligt EU AI Act bor kontrolleras innan ett team tar ett hogrisk-AI-system i bruk, andrar hur det anvands, utokar det till ett nytt kund- eller medarbetarflode, eller litar pa outputen i ett viktigt beslut. Den praktiska checklistan ar: bekrafta rollen, anvand systemet enligt leverantorens instruktioner, tilldela kompetent mansklig tillsyn, kontrollera indata nar teamet kontrollerar dem, monitorera faktisk anvandning, bevara loggar, hantera information och impact-assessment-triggers samt definiera nar anvandningen ska stoppas eller eskaleras.

For SaaS-team ar detta ett operativt arbetsflode, inte bara ett juridiskt memo. Det kopplar produktkonfiguration, implementation, vendor management, support, utbildning, security logging, privacy review och incident response. En grundare eller compliance lead ska kunna oppna ett register och se vilket system som anvands, varfor bolaget ar deployer, vilka instruktioner som galler, vem som overvakar, vilka bevis som finns och vad som kraver omprovning.

Anvand checklistan tillsammans med AI governance-forvantningar pa SaaS-leverantorer. Ovriga relaterade amnen ar annu inte lokaliserade till svenska.

1. Bekrafta system och use case

Namngiv det exakta AI-systemet och arbetsflodet. Dokumentera leverantor, produkt, version eller konfiguration, syfte, business owner, anvandare, berorda personer, indata, output, beslutspunkt och kontext: kunder, medarbetare, kandidater, konsulter eller interna operations.

Ange om systemet ar hogrisk, transparensrelaterat, minimal risk eller fortfarande klassificeras. Om klassificeringen ar oppen ar checklistan inte klar. Den ska visa owner, oppna fragor, begarda leverantorsdokument och beslutsdatum.

2. Avgor om bolaget ar deployer

En deployer anvander ett AI-system under organisationens auktoritet, med undantag for personlig icke-professionell anvandning. SaaS-bolag kan vara deployers nar de anvander tredjeparts-AI i support, rekrytering, trust and safety, fraud review, kundscoring, content moderation eller interna processer.

Dokumentera fakta: vem valde systemet, vem definierar anvandningen, vem kontrollerar atkomst, trosklar, prompts, regler eller eskaleringar, vem utbildar anvandare och vem beslutar om outputen accepteras, granskas, overridas eller ignoreras.

3. Sakra leverantorsinstruktioner

Artikel 26 kraver tekniska och organisatoriska atgarder sa att hogrisk-system anvands enligt instruktionerna. Teamet behover aktuella instruktioner, release notes, granser, tillatna och otillatna anvandningar, monitoreringskrav, instruktioner for mansklig tillsyn och eskaleringsvagar.

Spara dem sa att product, security, legal, support och operations hittar dem. Notera version och granskningsdatum. Om support eller implementation anvander egna guider ska de stamas av mot de officiella instruktionerna fore lansering.

4. Tilldela mansklig tillsyn

Mansklig tillsyn uppfylls inte genom att namnge ett team i en policy. Artikel 26 kraver fysiska personer med kompetens, utbildning, auktoritet och stod. Registret ska visa roller eller namn, utbildning, beslutsmandat och interventionspunkter.

For varje arbetsflode: forstar granskaren outputen, har tillracklig kontext, kan overrida, pausa, eskalera eller avvisa, och vet nar systemet ar utanfor godkand anvandning?

5. Indata, monitorering och loggar

Nar deployern kontrollerar indata ska de vara relevanta och tillrackligt representativa for syftet. Det kan galla kunddata, HR-data, tickets, dokument, prompts, labels, CRM-falt, transaktioner eller konfigurationer. Dokumentera kvalitetskontroller, exkluderade data, gamla data, bias- eller representativitetsrisker och remediation owner.

Deployers ska monitorera driften utifran instruktionerna. Signaler kan vara supporttickets, klagomal, override rates, sampling, incidenter, drift, leverantorsnotiser, missbruk eller upprepade manuella korrigeringar.

Automatiskt genererade loggar under deployerns kontroll ska sparas under lamplig period och minst sex manader, om inte annan lag sager annat. Registrera vilka loggar som finns, vem som kontrollerar dem, retention, atkomst, security-begransningar, privacy review, export och incident retrieval.

6. Information, impact och eskalering

Innan ett hogrisk-AI-system anvands pa arbetsplatsen ska arbetsgivare som ar deployers informera arbetstagarrepresentanter och berorda arbetstagare nar det ar tillampligt. Beroende pa system och artikel 50 kan information ocksa behovas till personer som omfattas av AI-interaktioner eller AI-stodda beslut.

Artikel 27 kan krava fundamental rights impact assessment for vissa deployers. Artikel 26 kopplar ocksa leverantorsinformation till GDPR DPIA-krav nar de galler. Dokumentera beslut, fakta, owner och omprovningstriggers.

Om anvandning enligt instruktionerna kan skapa risk ska rutten omfatta leverantor eller distributor, marknadsovervakningsmyndighet och pausning. Vid allvarliga incidenter: lagg till legal, security, privacy och kundkommunikation.

7. Evidence pack och omprovning

Organisera bevis runt beslut: roll, klassificering, instruktioner, godkand anvandning, tillsyn, utbildning, inputkontroller, monitorering, loggretention, information, impact-beslut, leverantorskontakter, incident route och triggers.

Oppna checklistan igen nar instruktioner, version, workflow, kundsegment, input, automatisering, human review, klagomal, loggar, incidenter eller officiell guidance andras.

FAQ

Vad ar det praktiska syftet?

Att visa att teamet foljer instruktioner, tilldelar kompetent tillsyn, monitorerar anvandning, kontrollerar relevanta inputs, bevarar loggar, hanterar information och eskalerar risker.

Nar galler det for SaaS-team?

Nar teamet anvander ett AI-system under sin auktoritet i en affarsprocess, sarskilt vid hogrisk-anvandning eller workflows for kunder, medarbetare, kandidater, fraud, security eller operations.

Vad dokumenteras forst?

Ett register per AI-workflow: roll, klassificering, instruktioner, godkand anvandning, tillsyn, monitorering, loggar, information, impact-beslut, incident route och triggers.

Kallor

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission AI Act Service Desk, Article 26.
• European Commission AI Act Service Desk, Article 27.
• European Commission AI Act Service Desk, Article 50.
• European Commission AI Act Service Desk, Article 4.