Leverantorsskyldigheter: praktisk guide for SaaS-team

Leverantorsskyldigheter enligt EU AI Act spelar roll nar ett SaaS-bolag utvecklar, marknadsfor, modifierar vasentligt eller slapper ut ett AI-system eller GPAI-model pa EU-marknaden under eget namn eller kontroll. Fragan ar inte bara vem som skrev modellkoden. Det handlar ocksa om vem som definierar syftet, saljer funktionen, kontrollerar kundupplevelsen eller andrar nagon annans system.

Borja med rollanalys per arbetsflode. Bolaget kan vara deployer for ett internt verktyg, provider for en kundfunktion, provider av GPAI-model for ett API eller ny provider enligt Article 25 vid rebranding, substantial modification eller andrat intended purpose.

Vilket skyldighetsspar

For high-risk AI systems samlar Article 16 krav pa compliance, quality management system, teknisk dokumentation, logs, conformity assessment, EU declaration of conformity, CE marking, registrering, corrective actions, samarbete med myndigheter och accessibility dar det galler.

Article 25 kan flytta ansvar i vardekedjan. En deployer, importer, distributor eller tredje part kan bli provider genom eget namn, substantial modification eller andrat syfte.

For GPAI-models galler Article 53: teknisk dokumentation, information till downstream providers, copyright policy, publik sammanfattning av training content och samarbete med myndigheter.

Vad dokumenteras forst

Spara AI asset, intended purpose, roll, risk track, aktiverade skyldigheter och evidence. Ta med agare, reviewer, dokumentationsplats, risk-management file, tester, data governance, vendor documents, conformity status, release ticket, monitoring, incident process, customer documentation och reassessment triggers.

In i product gates

Lagg provider checks i discovery, architecture review, vendor review och release readiness. Product vet nar eskalering behovs, legal far fakta tidigt, engineering vet vilka logs och tester som raknas, compliance vet var evidence finns.

Vanliga misstag

Anta inte att model vendor alltid ar provider. Undvik inventories utan rollfalt, teknisk dokumentation i sista veckan, tappad downstream information och inga triggers for substantial modifications.

FAQ

Vad ar det praktiska syftet?

Att visa att organisationen som utvecklar, saljer, modifierar eller slapper ut ett AI-system eller GPAI-model kan bevisa design, dokumentation, bedomning, monitoring och support.

Nar galler det SaaS?

Nar teamet utvecklar, later utveckla, saljer under eget namn, modifierar vasentligt, andrar syfte eller tillhandahaller en GPAI-model.

Vad dokumenteras forst?

Roll och klassificering: AI asset, syfte, kundkontext, leverantorer, risk track, slutsats, skyldigheter, evidence owner och reassessment.