För er som granskar
Ni är de som ska säga ja, så den här sidan är skriven till er och inte till ledningen. Fyra löften. För varje löfte står det hur ni kontrollerar det och vilket underlag ni får.
Fyra löften
Ni prövar varje löfte själva. Här står hur.
LÖFTETAllt ni bygger ligger hos er, i er SharePoint, i Google Drive eller på era egna datorer. AI-anropen går genom de AI-avtal ni redan har.
SÅ KONTROLLERAR NISe var filerna ligger. Se vilket konto som gör anropen. Båda ska vara era.
UNDERLAGETEn dataflödeskarta per leverabel: vilka data den läser, var de ligger och vart de skickas.
LÖFTETAllt ni bygger är era egna tillgångar. Ingen plattform hos oss och ingen licens som slocknar.
SÅ KONTROLLERAR NIStäng av vår åtkomst. Allt ska fungera dagen efter.
UNDERLAGETEn förteckning över allt som levererats, var det ligger och vem hos er som äger det. Äganderätten står i avtalet.
LÖFTETFungerar med Claude, ChatGPT, Gemini och GitHub Copilot. Byter ni leverantör följer arbetet med.
SÅ KONTROLLERAR NIÖppna filerna. Kunskapslagret och regelboken är vanlig text som vilken modell som helst kan läsa.
UNDERLAGETEn lista över vad som är knutet till en viss leverantör och vad som flyttar med utan ändring. Ni väljer leverantör efter er egen riskbedömning, inte efter oss.
VARFÖR DET HÅLLERAllt ni bygger följer context engineering, de principer som Anthropic, OpenAI och Google själva publicerar för hur AI får rätt underlag att arbeta med. Värdet ligger i ert innehåll, inte i en viss modell. Därför flyttar det med.
LÖFTETNi får ingen leverabel utan dokumentation.
SÅ KONTROLLERAR NIBe om ett exempel på dokumentationen innan ni säger ja.
UNDERLAGETPer leverabel: vad den gör, vilka data den rör, vem som äger den, hur den stängs av och vilka regelverk den berör.
Det ni prövar mot
Ni kan regelverken. Här ser ni hur arbetet möter vart och ett, och vad ni får att granska.
KRAVETLaglig grund, dataminimering och kontroll över var uppgifterna behandlas.
SÅ UPPFYLLER NI DETRegler för vad AI får läsa. Personuppgifter stoppas innan de når modellen, och varje stopp loggas.
NI FÅRDataflödeskarta och underlag till er konsekvensbedömning där den behövs.
KRAVETRiskhantering, säkerhet i leverantörskedjan, utbildning av ledningen och rapport om betydande incidenter till NCSC inom 24 timmar.
SÅ UPPFYLLER NI DETSpårbarhet i varje flöde, ägare och avstängning per leverabel, inga nya leverantörer utan att ni vet om det.
NI FÅRUnderlag till er riskbedömning och en förteckning över berörda leverantörer.
KRAVETAtt ni stödjer AI-kunnigheten hos dem som använder AI och talar om när någon har kontakt med en AI. Strängare regler gäller för vissa användningsområden.
SÅ UPPFYLLER NI DETLägesbilden och Verkstaden ger ledningen AI-kunnighet. Kartläggningen ger cheferna samma grund. Färdplanen klassar varje initiativ innan det byggs.
NI FÅRDokumentation av genomförd kunskapshöjning och en klassning per initiativ.
KRAVETInformationsrisker identifieras, hanteras och följs upp i ledningssystemet.
SÅ UPPFYLLER NI DETAI-arbetet går in i ert befintliga ledningssystem, med riskbedömning och ägare per leverabel.
NI FÅRRader att lägga in i ert riskregister.
KRAVETStyrning av AI med policy, roller, risk och uppföljning.
SÅ UPPFYLLER NI DETEr regelbok är uppbyggd så att den kan bli grunden för ett AI-ledningssystem, om och när ni vill certifiera er.
NI FÅRRegelboken, med ägare och versionshistorik.
KRAVETRutiner, egenkontroller och avvikelser hanteras i ledningssystemet.
SÅ UPPFYLLER NI DETAI-arbetet följer era befintliga processer. Ni får inga parallella att sköta.
NI FÅRRutinbeskrivningar som passar in i er dokumentstruktur.
Branschens egna regler, som OVK, F-gas och byggreglerna, finns samlade under Regelverk.
Känslig information
Ni bestämmer vilken information AI får röra. Innan vi bygger något går vi igenom er information tillsammans och väljer var den ska behandlas. Den femte nivån styrs av lag.
SÅ FUNGERAR DETNi använder Claude, ChatGPT, Gemini eller GitHub Copilot under ert eget företagsavtal. Era data används inte för att träna modellerna. För flera av tjänsterna kan ni välja att data lagras inom EU, beroende på tjänst och avtalsnivå.
PASSAR FÖRVanlig affärsinformation.
ATT VETAFör de flesta företag räcker den här nivån. Med ett säkerhetsarbete enligt NIS2 och leverantörens standardavtal för personuppgifter (DPA) är ni väl täckta.
SÅ FUNGERAR DETDe stora modellerna, till exempel Claude, i EU-regioner hos Amazon eller Google. Informationen behandlas inom EU.
PASSAR FÖRKänslig information som inte får lämna EU.
ATT VETAHär får ni modellen utan verktyg. Det som ingår i exempelvis Claude och ChatGPT för företag, som dokument, artefakter och kopplingar, måste byggas. Därför blir priset betydligt högre än ett abonnemang. Amazon och Google är amerikanska bolag, även när datacentret står i EU. Den som inte kan ta risken att amerikanska myndigheter begär ut informationen med stöd av CLOUD Act väljer svenskt moln eller en lokal modell.
SÅ FUNGERAR DETNi använder öppna AI-modeller hos en svensk leverantör utan amerikansk ägare, till exempel Berget AI eller evroc i Stockholm. Informationen stannar i Sverige, under svensk och europeisk lag.
PASSAR FÖRKänslig information som inte får kunna begäras ut av myndigheter utanför EU.
ATT VETAÖppna modeller är mindre kapabla än de största, och även här måste verktygen runt modellen byggas. Kontrollera ägande, underleverantörer och var datacentret står i avtalet innan ni väljer leverantör.
SÅ FUNGERAR DETEn öppen modell, till exempel gpt-oss, Qwen eller Mistral, körs på en server som ni äger. När den är installerad och rätt uppsatt skickar den ingenting utanför huset. Den kan köras helt utan internet: modellen förs in på ett USB-minne, och all uppdatering och telemetri är avstängd.
PASSAR FÖRSekretessbelagd information.
ATT VETALokala modeller är mindre kapabla än de största molnmodellerna och kräver en egen server. För avgränsade uppgifter räcker de väl: att sammanfatta, sortera och söka i era egna dokument.
GÄLLERVerksamheter som skyddar landet och samhällets grundläggande funktioner, och de företag som levererar till dem.
SÅ ARBETAR VIRådgivning och kunskapsöverföring. Er egen personal lär sig förstå, bygga och driva säker lokal AI utan telemetri, så att ni som organisation får förmågan. Vi arbetar med öppet material och exempel, aldrig med era skyddade uppgifter, och vi bygger inte i era system.
Den säkraste informationsdelningen är den som aldrig sker. Det är inte en begränsning i vårt arbete. Det är utgångspunkten för det.
Säkerhetsskydd är skyddet av uppgifter och verksamheter som har betydelse för Sveriges säkerhet. Det regleras i säkerhetsskyddslagen och gäller alla verksamheter där sådana uppgifter finns, både myndigheter och privata företag. Säkerhetspolisen och Försvarsmakten har tillsyn.
Uppgifterna delas in i fyra säkerhetsskyddsklasser efter hur stor skada ett röjande kan ge Sveriges säkerhet: begränsat hemlig (endast ringa skada), konfidentiell (inte obetydlig skada), hemlig (allvarlig skada) och kvalificerat hemlig (synnerligen allvarlig skada).
För en leverantör som får tillgång till uppgifter i klassen konfidentiell eller högre krävs ett säkerhetsskyddsavtal, och den personal som får tillgång ska vara säkerhetsprövad. För begränsat hemlig ska skyddet regleras i en annan skriftlig överenskommelse. Informationssystem som behandlar sådana uppgifter ska uppfylla särskilda krav, bland annat åtskillnad från andra nät och godkänd kryptering. En AI-tjänst i molnet uppfyller inte de kraven.
Därför arbetar vi på ett annat sätt här. Vi för över kunskapen till er, så att er organisation själv får förmågan att driva och utveckla säker lokal AI. Er personal lär sig vad AI kan och inte kan, vilka lokala modeller som passar, hur en lösning byggs upp och hur den kopplas in i de verktyg och processer ni redan har. Det ger mer värde än att göra er beroende av en extern leverantör: förmågan stannar i er organisation och växer med den.
Därför kan vi det här
För Myndigheten för civilt försvar och Läkemedelsverket.
AI-operativ som gör granskningen åt granskarna.
Hindrar att personuppgifter delas med AI-modeller. Varje stopp loggas.
Leverabler som överträffar kraven i de hårdast reglerade branscherna.
Vi gör jobbet själva, i Sveriges hårdast reglerade verksamheter, med deadlines som inte flyttar sig. Det ni får är det som höll där. Resten har vi strukit.
Frågor
Det styrs av ert avtal med AI-leverantören, inte av oss. Ni går igenom inställningarna tillsammans med oss innan något byggs.
Nej. Allt arbete sker i er miljö, på era datorer och konton och efter era instruktioner, på samma sätt som för er egen personal. Inga uppgifter lämnar er miljö och ingenting behandlas i våra system. Därför tillkommer ingen ny biträdesrelation.
De som arbetar i uppdraget, med konton som ni skapar och stänger. När uppdraget är slut stänger ni dem.
Filerna ligger där de redan ligger. Var AI-leverantören behandlar data styrs av ert avtal och den region ni har valt.
Varje leverabel har en ägare hos er och en beskriven avstängning. Ni kan stänga av den direkt, utan oss.
Ja. Det är meningen.
För er som granskar
Arkitektur, dataflöden, behörigheter och ansvarsfördelning. Ni får det före första mötet och hinner granska innan ledningen bestämmer sig.