AI används i allt fler delar av offentlig verksamhet. Myndigheter och kommuner undersöker hur tekniken kan effektivisera handläggning, analysera stora informationsmängder och förbättra servicen till medborgarna. Men när AI ska gå från idé till praktisk användning uppstår en central fråga: Hur upphandlar man en AI-tjänst på ett tryggt och ansvarsfullt sätt?
Norstedts Juridiks guide, Att upphandla AI i offentlig sektor ger praktiskt stöd till organisationer som behöver förstå och hantera de juridiska, tekniska och säkerhetsmässiga frågor som följer med en AI-upphandling.
AI är inte ett traditionellt IT-system
Att upphandla AI skiljer sig på flera sätt från att upphandla traditionella IT-system. En AI-tjänst består ofta av flera tekniska lager som samverkar: en applikation, en AI-modell, olika datakällor och en molnbaserad infrastruktur. Delarna kan dessutom tillhandahållas av olika aktörer.
Det innebär att organisationen inte bara behöver bedöma vad tjänsten kan göra. Den behöver också förstå hur lösningen är uppbyggd, vilka leverantörer som ingår, hur information behandlas och vem som ansvarar för olika delar av tjänsten.
Upphandlingen behöver därför involvera flera kompetenser. Upphandlare, jurister, IT- och informationssäkerhetsansvariga samt verksamheten behöver tillsammans bedöma både behov, risker och krav.
Tre frågor som behöver hanteras tidigt
Guiden lyfter flera frågor som bör analyseras före och under upphandlingen. Tre områden är särskilt centrala.
1. Vilka aktörer ingår i leveranskedjan?
En AI-tjänst kan bygga på teknik från flera olika leverantörer. Den huvudsakliga leverantören kan exempelvis använda en extern AI-modell, molninfrastruktur och olika datakällor.
Den upphandlande organisationen behöver därför få en tydlig bild av vilka leverantörer och underleverantörer som ingår, vilka delar de ansvarar för och hur förändringar i leveranskedjan hanteras. Huvudleverantörens ansvar för sina underleverantörer behöver också regleras tydligt.
2. Hur behandlas organisationens data?
AI-tjänster kan behandla personuppgifter, sekretessbelagd information, interna dokument och andra känsliga uppgifter. Organisationen behöver bland annat förstå var informationen lagras och behandlas, om den överförs utanför EU/EES och vilka säkerhetsåtgärder som används.
En särskilt viktig fråga är om leverantören får använda organisationens data för att träna eller förbättra generella AI-modeller. Även lagringstider, radering, behörighetsstyrning och incidenthantering behöver regleras.
3. Hur fördelas ansvaret?
AI-system kan generera resultat som är felaktiga, missvisande eller ofullständiga. Avtalet behöver därför tydliggöra leverantörens ansvar för tjänstens funktion, kvalitet, dokumentation och kända begränsningar.
Samtidigt ansvarar den offentliga organisationen för hur AI-tjänsten används i den egna verksamheten och för de beslut som fattas med stöd av systemet. När AI används som beslutsstöd behöver det finnas tydliga rutiner för mänsklig kontroll, granskning av resultat och rapportering av fel eller incidenter.
Carolina Vinberg, Compliance Manager, Norstedts Juridik
Praktisk vägledning från juridik till uppföljning
Carolina Vinberg, Compliance Manager på Norstedts Juridik, har bidragit med expertperspektiv till guiden. Hon arbetar med frågor som rör AI, dataskydd, informationssäkerhet och regulatorisk efterlevnad.
– AI-upphandling handlar inte bara om teknik, utan om ansvar, transparens och kontroll. Organisationer behöver förstå både tekniken och regelverket för att kunna upphandla AI på ett ansvarsfullt sätt, säger Carolina Vinberg.
Hon betonar också vikten av att betrakta upphandlingen som början på ett långsiktigt arbete.
– AI-system kan förändras genom nya modeller, datakällor och funktioner. Därför räcker det inte att ställa rätt krav vid upphandlingen. Organisationen behöver också kunna följa upp hur tjänsten utvecklas och används i praktiken.
Det här får du i guiden, Att upphandla AI i offentlig sektor
Att upphandla AI i offentlig sektor riktar sig till upphandlare, jurister, IT- och informationssäkerhetsansvariga samt verksamhetschefer inom myndigheter, kommuner och andra offentliga organisationer.
I guiden får du bland annat stöd för att:
- bedöma när AI är rätt lösning,
- förstå hur en AI-tjänst är uppbyggd,
- identifiera juridiska risker och ansvarsförhållanden,
- analysera dataskydd och informationssäkerhet,
- bedöma hur EU:s AI-förordning påverkar upphandlingen,
- utvärdera AI-leverantörer,
- formulera krav på datahantering, dokumentation och säkerhet,
- planera för uppföljning och styrning efter upphandlingen.
Guiden innehåller också konkreta exempel på kravformuleringar och frågor som kan användas som stöd i upphandlingsprocessen.
Ladda ner guiden kostnadsfritt
Vill du veta vilka frågor din organisation bör ställa före, under och efter en AI-upphandling?
Ladda ner Att upphandla AI i offentlig sektor – en praktisk vägledning om juridik, dataskydd och kravställning vid upphandling av AI-tjänster kostnadsfritt.
