Din bank vill ha bevis på AI Act-efterlevnad: vad du ska göra som småföretagsleverantör

Vad som händer

Sedan Artikel 50 i AI Act trädde i kraft 2 augusti (vi tog upp det här innan datumet och här direkt efteråt) har något vi förutspådde börjat bli verklighet: stora företag nöjer sig inte med att bara följa reglerna själva — de granskar nu även sin leverantörskedja. Banker, försäkringsbolag, myndigheter och stora företag har börjat skicka frågeformulär och bevisbegäranden till de småföretag de samarbetar med, och frågar hur de använder artificiell intelligens och om de kan bevisa det skriftligt.

Det här är ingen isolerad avvikelse: det är typiskt beteende för alla nya regelverk med verkliga sanktioner. Stora företag hanterar sin egen risk genom att flytta en del av kravet nedåt till sina leverantörer — precis som redan sker med dataskydd (GDPR) eller cybersäkerhet.

Varför det drabbar dig även om du inte säljer "AI"

Det vanligaste misstaget är att tro att AI Act bara påverkar företag som utvecklar eller säljer AI-system. Så är det inte. Regelverket skiljer mellan leverantörer (de som utvecklar systemet) och användare/driftsättare (de som använder det i sin verksamhet), och båda har skyldigheter.

Om ditt företag betalar för ett ChatGPT-abonnemang, har Copilot aktiverat i Microsoft 365, använder en kundtjänstchattbot, eller har något AI-verktyg inbyggt i sitt CRM eller sin webbplats, är du en driftsättare enligt regelverket. Och om det verktyget interagerar med kunder eller genererar innehåll gäller transparenskraven i Artikel 50 som vi tog upp i tidigare artiklar.

Det verkliga glappet: hög adoption, låg styrning

Anledningen till att den här typen av begäran tar så många småföretag på sängen är ett väldokumenterat glapp: AI-adoptionen bland spanska småföretag är bland de högsta i Europa, men styrningen har inte hängt med i samma takt. Enligt IONOS/YouGov använder 41 % av spanska småföretag redan AI dagligen, vilket leder adoptionen i Europa, och enligt Adigital förväntar sig 89 % av spanska företag effektivitetsvinster från AI. Men branschmedia som La Ecuación Digital har dokumenterat att en stor del av den adoptionen sker utan den minimistyrning regelverket nu kräver: ingen inventering av verktyg som används, ingen intern policy, ingen utsedd ansvarig.

Det är exakt det glappet ett frågeformulär från en bank eller stor kund plötsligt blottar.

Vad de faktiskt frågar efter

Formatet varierar mellan företag, men de flesta av dessa förfrågningar kretsar kring samma saker:

• Inventering av AI-verktyg som används — vilka system ni använder, för vilka processer och sedan när.
• Bevis på transparens gentemot kund — om en chattbot eller AI-genererat innehåll når slutanvändare, bevis på att det identifieras som sådant (Artikel 50).
• En minimal intern policy för ansvarsfull AI-användning — den behöver inte vara 40 sidor lång, men den måste vara formell och daterad.
• En utsedd ansvarig — en kontaktperson för AI-efterlevnadsfrågor, även om det är samma person som redan hanterar GDPR.
• Ett register över när ni började utvärdera detta — datumet spelar roll: det visar aktsamhet även om processen inte är klar.

Vad du ska göra denna vecka om mejlet har kommit

1. Ignorera det inte och lägg det inte åt sidan "tills det finns tid". Dessa frågeformulär har oftast en svarsfrist, och att inte svara kan påverka affärsrelationen, inte bara den juridiska efterlevnaden.
2. Gör inventeringen inom 48 timmar. Lista vilka AI-verktyg företaget använder idag: kundtjänstchatt, innehållsgenerering, Copilot, AI-drivet CRM, allt. Var grundlig, inte bara de uppenbara verktygen.
3. Skriv en policy på en sida. Vilka verktyg som är tillåtna, för vilka syften, vem som är ansvarig, och hur AI-genererat innehåll märks för allmänheten.
4. Svara på frågeformuläret med det ni har, daterat. Ett ärligt svar som visar pågående arbete är bättre än tystnad eller ett generiskt svar utan substans.
5. Spara allt. Mejlet ni fick, ert svar, datumet för inventeringen och policyn. Den dokumentationen är ert bevis om AESIA eller kunden själv frågar igen.

Så undviker du att bli tagen på sängen nästa gång

Om det den här gången var en kund som fick er att reagera kan det nästa gång vara en AESIA-inspektion, en annan kunds revision, eller en due diligence i en finansieringsrunda. Att ha inventeringen och policyn klara i förväg — även innan någon frågar — förvandlar en stressig situation till en femminutersformalitet.

Slutsats

AI Act har slutat vara en abstrakt oro för avlägsna böter: den flyttar sig redan nedåt i leverantörskedjan, från stort företag till småföretagsleverantör, i form av mycket konkreta frågeformulär. Företag som svarar med en grundläggande styrningsnivå — inventering, policy, ansvarig — undviker inte bara friktion med viktiga kunder, de kommer också bättre förberedda den dag AESIA inspekterar dem direkt.

På Dataverse Solutions hjälper vi småföretag att sätta ihop den grunden på dagar, inte månader, så att ett mejl från en kund eller AESIA slutar vara en nödsituation.