Checklista för att bedöma en AI-leverantör – Word-mall

Vad ingår i checklistan?

Checklistan hjälper IT-ansvarig och inköpare att bedöma en ny AI-tjänst eller en ny AI-funktion hos en befintlig leverantör. Ni dokumenterar användningen, begärda belägg, luckor, beslut och nästa kontroll.

• Användning och avgränsning: uppgift, användare, data och berörda personer.
• Kontroll av förbjuden användning, roller enligt AI-förordningen och er egen GDPR-kontroll före godkännande.
• 14 bedömningsfrågor med begärt belägg och grund: AI-förordningen, GDPR eller rekommenderad inköpspraxis.
• En numrerad svarsdel för varje fråga, med relevans, motivering, kontrollerat belägg och luckor.
• Tre beslut, villkor, ansvariga och när ny bedömning ska göras.
• Ett ifyllt exempel för en intern AI-assistent.

De 14 frågorna

1. Avsett ändamål: vad ska tjänsten göra och för vem?
2. Kända begränsningar: vad ska den inte användas till?
3. Roller och modell: vem är leverantör och vilken modell används?
4. Datalagring och åtkomst: var, hur länge och vem kan se data?
5. Träning på kunddata: vad styr det, avtal eller inställning?
6. Personuppgifter: vilken roll har leverantören och vilka avtal krävs?
7. Underbiträden, supportåtkomst och skydd vid överföring utanför EU/EES.
8. Informationssäkerhet: inloggning, behörigheter och kryptering.
9. Mänsklig kontroll innan resultatet används i ett beslut.
10. Resultatkontroll med egna stickprov.
11. Dokumentation och loggning.
12. Information och märkning, även vid intern AI-användning.
13. Ändringar, modellbyten och incidenter.
14. Export, radering och avslut.

Alla frågor är inte lagkrav i varje inköp. Läs guiden till att bedöma en AI-leverantör för tabellen med belägg, grund och vad svaret betyder för beslutet.

Tre beslut och ett ifyllt exempel

Beslutet blir ett av tre: användningen godkänns inom angiven avgränsning, komplettering behövs eller användningen pausas och utreds. Exemplet i mallen gäller en intern AI-assistent för rutiner och instruktioner. Beslutet blir komplettering: leverantören saknar en frist för att meddela personuppgiftsincidenter, skyddet vid supportåtkomst från USA är inte färdigbedömt och dokumentbehörigheterna behöver testas. Piloten begränsas till en separat testmiljö med ett godkänt dokumenturval utan personuppgifter som alla pilotanvändare får läsa. Det ordinarie arkivet är inte anslutet. GDPR-kontrollen ska vara klar även för pilotens användarkonton och loggar innan piloten startar.

Gör en ny bedömning när leverantören inför en ny AI-funktion, när ni ändrar ändamål eller datakategorier, när en ny underleverantör används eller när villkoren ändras väsentligt.

Avgränsning

Kontrollera först att användningen inte är förbjuden. Innan ni tillåter personuppgifter dokumenterar ni rättslig grund, hur berörda personer informeras och om en konsekvensbedömning enligt GDPR krävs. Det gäller även interna AI-assistenter, oberoende av AI Acts högriskklassning. Genomför konsekvensbedömningen före behandlingen om den krävs. Guiden ovan länkar till IMY och AI-förordningens regler.

Mallen är ett manuellt beslutsstöd. Den gör ingen rättslig klassning och visar inte att ni uppfyller AI-förordningen eller GDPR. AI som bedömer jobbkandidater eller kreditvärdighet kan vara högrisk och behöver en separat utredning. Rättsläget kontrollerades 2026-10-20; se AI Act och tidslinjen.

Behöver ni bedöma leverantörens IT-säkerhet bredare finns tio frågor om IT-säkerhet att använda som komplement.