Den som letar efter en fast lista med dokument för AI-förordningen blir besviken: den ena listan finns inte. Det som förordningen kräver beror på vilken roll ditt företag har för det AI-system som du använder eller erbjuder. Ett företag som köper in en färdig chatbot eller ett ansökningsfilter brukar vanligtvis behålla andra handlingar än ett företag som utvecklar ett sådant system själv eller lanserar det på marknaden under sitt eget namn.
Den skillnaden är exakt den detalj som orsakar det mesta av förvirringen. Förordningen talar om leverantören av ett AI-system och om användningsansvarig som använder systemet. För de flesta små och medelstora företag inom elektronik och ICT gäller det senare: de använder AI inom sin egen organisation, men har inte byggt systemet själva. Dokumentlistan som hör till det är kortare och handlar främst om hur du använder systemet, inte om hur det är byggt.
Dokument som en leverantör samlar in
En part som räknas som leverantör brukar vanligtvis bygga upp ett dossier omkring själva systemet: en beskrivning av syftet och funktionen, den riskklass som har tillämpats, uppgifter om de data som systemet har tränats eller testats på, och en beskrivning av åtgärderna för mänsklig övervakning. För de flesta små och medelstora företag som köper in AI gäller detta inte listan som är tillämplig på dem; dessa dokument upprättas av leverantören och de hör till systemet, inte till ditt företag. Ändå är det användbart att veta att dessa handlingar finns, för en del av dem ska du som användare faktiskt ta emot.
Dokument som en användningsansvarig bevarar
Om ditt företag använder ett AI-system som är byggt av någon annan handlar ditt dossier främst om tre slags handlingar. För det första användarinstruktioner och information som leverantören är skyldig att tillhandahålla: vad systemet är avsett för, vilka begränsningar det har och vilken riskkategori som gäller för det. För det andra en redogörelse för hur ditt företag faktiskt använder systemet, inklusive vem som är internt ansvarig för mänsklig övervakning. För det tredje dokumentation om den information som anställda fick innan de började arbeta med systemet, något som även arbetstagares medverkan kan ha en roll i. Tillsammans utgör dessa tre kategorier det dossier som en tillsynsmyndighet, om den någonsin frågar om det, först skulle vilja se.
Det du frågar din programvaran leverantör om
Eftersom en stor del av ditt dossier beror på vad leverantören tillhandahåller är det klokt att fråga om det innan du börjar använda ett system. Fråga om den riskklass som leverantören har tilldelat systemet, om användarinstruktionerna i förståelig språk, och om kontaktuppgifter för det fall något går fel med systemet. Om du inte får dessa handlingar eller om svaren är vaga är det i sig själv redan information: det säger något om hur mogna leverantören är i sitt förhållande till förordningen. En mer omfattande översikt över frågor som du kan ställa till en programvaruleverantör hittar du i kunskapsbanken med förklaringar per ämne.
Varför detta inte är skilt från det digitala produktpasset
Företag som importerar eller marknadsför elektronik eller ICT-utrustning måste förhålla sig till både AI-förordningen och det digitala produktpasset. Båda regelverken kräver ett dossier, men det är inte förpliktelser som du kan kombinera till ett enda dokument: passet handlar om ursprunget och sammansättningen av en fysisk produkt, AI-dokumentationen om driften och användningen av ett system. Det är dock klokt att strukturera båda dossiererna på samma sätt, så att du inte gör samma utredningsarbete två gånger. Hur ett sådant dossier för produktpasset ser ut kan du läsa om i kunskapsbasen.
Hur du organiserar detta för ditt företag
Kärnan är att du först fastställer vilken roll ditt företag har när det gäller varje AI-system som används innan du börjar sammanställa en dokumentlista. Det förhindrar att du lägger tid på dokument som tillhör leverantören, eller att du missar dokument som faktiskt tillhör dig. Om du är osäker på vilken roll ditt företag har i ett visst system bör du vända dig till den behöriga tillsynsmyndigheten eller en jurist för att få detta bedömt; denna text ger en överblick, ingen bedömning av din situation.
Vill du först få en uppfattning om var ditt företag står utan att omedelbar bygga upp en fil? Gör den kostnadsfria snabbscanningen via se på bara ett par frågor var du står, eller bläddra genom ämnena i överblicken över alla ämnen per situation.