AI-efterlevnad: styrning av AI-system och användning av AI i efterlevnadsarbetet

AI-regelefterlevnad innebär två saker: det löpande arbetet med att säkerställa att de AI-system som din organisation bygger eller använder uppfyller tillämpliga lagar, standarder och interna policyer, och att använda AI för rutinmässigt arbete med regelefterlevnad i stor skala.

Den här artikeln täcker båda betydelserna: riskerna som AI-regelefterlevnad hanterar, de viktigaste ramverken, hur du bygger ett program för regelefterlevnad, kontroller för AI-agenter och var AI hjälper team för regelefterlevnad. Den avslutas med frågor att ställa innan du köper ett verktyg för regelefterlevnad.

Vad är AI-regelefterlevnad?

AI-regelefterlevnad avser två saker: att se till att AI-system uppfyller de regler som fastställs i AI-regleringen och att använda AI för att utföra arbete med regelefterlevnad.

I den första betydelsen säkerställer AI-regelefterlevnad att ett AI-system följer lagar, förordningar, etiska standarder och interna policyer under hela AI-livscykeln, från träningsdata till prestanda och användning.

Till exempel kräver New York Citys Local Law 144 att arbetsgivare som använder ett automatiserat verktyg för anställningsbeslut låter granska det för partiskhet inom ett år från användningen, offentliggör information om granskningen och meddelar anställda eller arbetssökande.

Arbetet med regelefterlevnad för AI pågår kontinuerligt eftersom AI-applikationer uppdateras, de data de arbetar med förändras och regelverken utvecklas.

I den andra betydelsen använder team för regelefterlevnad AI för rutinmässigt arbete i stor skala, till exempel att övervaka transaktioner, granska dokument och följa förändringar i regelverk.

Vissa finansinstitut använder till exempel AI för att granska transaktioner och minska antalet falska positiva larm från transaktionsövervakningen innan analytiker avgör vilka som kräver en rapport om misstänkt aktivitet.

AI-regelefterlevnad kontra AI-styrning kontra AI-riskhantering

De tre begreppen överlappar men täcker olika områden: styrning fastställer reglerna, riskhantering identifierar vad som kan gå fel och regelefterlevnad säkerställer att reglerna följs.

Varför AI-regelefterlevnad är viktigt

Att uppnå AI-regelefterlevnad begränsar din exponering för böter, skyddar integriteten för de personer vars information din AI behandlar och gör det möjligt för din organisation att redovisa sin användning av AI-system vid en revision.

• Sanktioner från tillsynsmyndigheter: Enligt EU:s AI-förordning kan användning av en förbjuden AI-metod, som att dra slutsatser om anställdas känslor på arbetsplatsen, kosta upp till 35 miljoner euro eller 7 % av den globala årsomsättningen. Leverantörer och tillhandahållare kan få böter på upp till 15 miljoner euro eller 3 % för överträdelser av förordningen.
• Dataskydd: Ett AI-system som behandlar personuppgifter omfattas av dataskyddslagstiftning, till exempel GDPR i EU. Det gäller träningsdata, prompter och utdata som innehåller personuppgifter.
• Revisionsberedskap: Med register över vilka AI-system du använder, vem som godkände dem och hur du övervakar dem kan du stå till svars inför tillsynsmyndigheter, revisorer och kunder.

De viktigaste riskerna som AI-regelefterlevnad hanterar

AI-regelefterlevnad hanterar fem huvudsakliga risker: algoritmisk partiskhet, bristande förklarbarhet, hallucinationer i reglerade processer, dataskydd och dataläckage samt skugg-AI.

Förstora

Så här yttrar sig de viktigaste riskerna, med exempel på kontroller som håller dem i schack:

• Algoritmisk partiskhet: En modell återskapar mönster i sina träningsdata som missgynnar vissa grupper. Ett rekryteringsverktyg kan till exempel rangordna kandidater lägre utifrån en indirekt indikator på ålder eller etnicitet, som examensår eller postnummer. Granskningar av partiskhet, som jämför utfall mellan demografiska grupper, hjälper till att upptäcka sådana mönster.
• Bristande förklarbarhet: Organisationen kan inte visa hur en modell kom fram till ett beslut. Om en långivare inte kan förklara varför en modell avslog en låneansökan kan den inte försvara utfallet. Organisationer förebygger detta genom att dokumentera modellens indata och beslutslogik och välja modeller med spårbara utdata.
• Hallucinationer i reglerade processer: Ett generativt AI-verktyg påstår något felaktigt med stor säkerhet. En advokat kan till exempel be ett AI-verktyg om rättspraxis som stöder ett argument och få hänvisningar till domstolsavgöranden som inte finns. Att kräva källor för varje utdata och låta en kvalificerad person verifiera dem fångar upp sådana fel.
• Dataskydd och dataläckage: Konfidentiell information eller kundinformation hamnar i ett verktyg utanför organisationens kontroll. En anställd kan till exempel klistra in kunduppgifter i ett offentligt AI-verktyg som sparar indata för att träna framtida modeller. Att bara använda godkända verktyg med avtalsenliga begränsningar för träning och datalagring minskar risken.
• Skugg-AI: Anställda använder AI-verktyg som organisationen inte har godkänt eller inte har insyn i. I en undersökning från Compliance Week 2026 rapporterade 42 % av deltagarna att anställda använde AI utan styrning. Möjliga lösningar är bland annat en lista över godkända verktyg i kombination med en snabb godkännandeprocess för AI-verktyg, samt webbgatewayer.

Viktiga ramverk för AI-regelefterlevnad

AI-regelefterlevnad bygger på bindande ramverk för AI-styrning, som EU:s AI-förordning, och frivilliga ramverk, som NIST AI Risk Management Framework och ISO/IEC 42001, som hjälper organisationer att uppfylla dem.

EU:s AI-förordning

EU:s AI-förordning (förordning (EU) 2024/1689) har ett riskbaserat förhållningssätt till AI-reglering: vissa metoder är helt förbjudna, högrisksystem omfattas av strikta begränsningar, medan andra endast har lätta transparensregler. Den gäller för leverantörer och tillhandahållare överallt ”där de utdata som produceras av AI-systemet används i unionen”.

Skyldigheterna enligt EU:s AI-förordning beror på organisationens roll:

• De som utvecklar ett AI-system med hög risk eller släpper ut det på marknaden under eget namn (leverantörer) måste genomföra en bedömning av överensstämmelse, anbringa CE-märkningen, registrera systemet, upprätthålla teknisk dokumentation och övervaka systemet efter lanseringen.
• De som använder ett system som någon annan har byggt (tillhandahållare) måste följa leverantörens instruktioner, tilldela tillsynen till personer med ”nödvändig kompetens, utbildning och befogenhet”, spara loggar i minst sex månader och informera arbetstagare och andra som påverkas av systemets beslut.

Förstora

Förordningen införs stegvis. Förbjudna metoder, AI-kunnighet och regler för AI för allmänna ändamål har gällt sedan 2025, medan skyldigheterna för högrisksystem börjar gälla den 2 december 2027, och den 2 augusti 2028 för AI som är inbyggd i produkter som omfattas av EU:s produktsäkerhetslagstiftning.

EN 18286:2026 om kvalitetsledningssystem är den första europeiska standarden som stöder förordningen. Leverantörer som följer den antas uppfylla förordningens krav på kvalitetsledning.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), som publicerades i januari 2023, är ett frivilligt amerikanskt ramverk som bygger på fyra funktioner: Govern, Map, Measure och Manage.

Dess Generative AI Profile, som släpptes i juli 2024, tillämpar ramverket på risker med generativ AI.

ISO/IEC 42001

ISO/IEC 42001 är den internationella standarden för ledningssystem för AI och omfattar de policyer, roller och processer som styr ansvarsfull utveckling och användning av AI. Certifiering är frivillig och utfärdas av oberoende certifieringsorgan, inte av ISO självt.

Ett certifikat omfattar organisationens ledningssystem, inte en specifik AI-produkt.

Amerikanska och branschspecifika regler som gäller för AI

USA har ingen enskild federal AI-lag. Reglerna kommer från städer, delstater och befintliga lagar och förordningar som gäller för AI.

Colorados SB26-189, som träder i kraft den 1 januari 2027, reglerar till exempel teknik för automatiserat beslutsfattande, och integritetslagar som California Consumer Privacy Act (CCPA) eller HIPAA gäller när AI behandlar skyddade uppgifter.

Så bygger du ett program för AI-regelefterlevnad

Att bygga ett program för AI-regelefterlevnad omfattar sex steg: inventera dina AI-system, klassificera dem efter risk, koppla kontroller till de regler som gäller, utse ägare, dokumentera varje system och övervaka det med register som en revisor kan granska.

Förstora

Varje steg nedan avslutas med det underlag det ger:

1. Inventera alla AI-system. Lista de system som din organisation bygger, köper eller använder, inklusive AI-funktioner i befintlig programvara och verktyg som anställda har börjat använda utan godkännande. Registrera vad varje system gör, vem som använder det och vilka data det hanterar.
   Resultat: En AI-inventering.
2. Klassificera varje användningsfall efter risk. Bedöm varje system utifrån den skada det kan orsaka, med hjälp av en indelning som riskklasserna i EU:s AI-förordning. Ett verktyg som fastställer premier för livförsäkringar klassas till exempel som högrisk enligt förordningen, medan ett verktyg som sammanfattar interna möten inte gör det.
   Resultat: Ett riskregister.
3. Koppla kontroller till tillämpliga regler. Lista de lagar, standarder och interna policyer som gäller för varje system, och den kontroll som uppfyller varje krav på regelefterlevnad. En dokumenterad mänsklig granskning bidrar till exempel till att uppfylla kraven på mänsklig tillsyn för högrisksystem i EU:s AI-förordning och NIST AI RMF:s rekommendation om dokumenterade processer för mänsklig tillsyn.
   Resultat: En kontrollkarta.
4. Fastställ ägare och punkter för mänsklig tillsyn. Utse en ägare för varje system och bestäm var en person granskar dess utdata. Till exempel ansvarar juridik- och regelefterlevnadsfunktionerna för skyldigheterna, säkerhetsfunktionen för de tekniska kontrollerna och verksamhetsansvariga för sina egna användningsfall, medan en person i ledningen har det övergripande ansvaret. Se till att personer i hela organisationen är medvetna om detta och upprätta tydliga kommunikationsvägar.
   Resultat: Namngivna ägare för varje system.
5. Dokumentera varje system. Registrera varje systems syfte, träningsdata, testning och kända begränsningar i format som modellkort och konsekvensbedömningar. Leverantörer av högrisksystem måste också ta fram den tekniska dokumentation som anges i bilaga IV till EU:s AI-förordning.
   Resultat: En uppsättning systemdokumentation.
6. Övervaka, logga och spara bevis. Utforma loggar som revisionsbevis från början för att visa vad ett system gjorde och vem som granskade det. EU:s AI-förordning kräver att högrisksystem automatiskt registrerar händelser under hela sin livstid. En revisionslogg bör innehålla:
   • Den modell och version som används
   • Indata och utdata, eller ett definierat urval av dem
   • Data för träning eller finjustering
   • Punkter för mänsklig granskning och deras utfall
   • Åtgärder som en agent har vidtagit och de behörigheter den använde
   • Hur länge varje post sparas

Resultat: Övervakningsregister och en revisionslogg.

Specialiserade verktyg för AI-regelefterlevnad, som IBM watsonx.governance och OneTrust AI Governance, kan ta över delar av detta program, bland annat AI-inventeringen, riskbedömningar mot EU:s AI-förordning och dokumentationen.

Så godkänner du AI-verktyg som anställda får använda

Kontrollera fyra saker innan du godkänner ett AI-verktyg:

• Dataåtkomst: Vilka filer, system och anslutna kunskapsbaser verktyget kan läsa, och om de innehåller personuppgifter som det skulle kunna exponera.
• Träning på indata: Om leverantören använder prompter, filer eller utdata för att träna sina modeller, och om ditt avtal med leverantören förbjuder det.
• Lagringstid: Hur länge leverantören sparar prompter, filer och konversationshistorik, och om du kan förkorta den.
• Hosting och överföringar: Var leverantören lagrar och behandlar data, inklusive överföringar utanför din region.

Regelefterlevnadskontroller för AI-agenter

AI-agenter kräver fler kontroller än chattverktyg eftersom de själva bestämmer sina steg och agerar via de verktyg och behörigheter de har tilldelats. Tre kontroller håller dem i schack:

• Åtkomst enligt principen om minsta behörighet: Ge en agent endast de verktyg och behörigheter som dess uppgift kräver. Excessive Agency, där en agent kan göra mer än uppgiften kräver, är en av de största säkerhetsriskerna enligt OWASP Top 10 for LLM Applications 2026.
• En logg över varje åtgärd: Registrera varje verktygsanrop, vilka data som hämtades och vilka behörigheter som användes, för att kunna spåra vad en agent gjorde och för vems räkning.
• Mänskligt godkännande för åtgärder med stor påverkan: Kräv att en person bekräftar steg som skickar data utanför organisationen, flyttar pengar eller inte kan ångras.

Hur AI används i arbetet med regelefterlevnad

Team för regelefterlevnad och riskhantering använder AI för att övervaka kontroller, bedöma risker, följa förändringar i regelverk, granska dokument och prioritera larm om ekonomisk brottslighet.

I en undersökning från Compliance Week 2026 bland 193 ledare inom regelefterlevnad, etik, risk och revision uppgav mer än 83 % att de använder AI, och nästan 40 % att deras företag har infört det för riskbedömning och övervakning.

Vanliga användningsfall för AI inom regelefterlevnad är bland annat:

• Kontinuerlig övervakning av regelefterlevnad och insamling av bevis: AI kör kontroller och samlar in bevis på att de fungerar (t.ex. försenade säkerhetsinspektioner av utrustning vid en anläggning).
• Riskbedömning och prioritering: AI rangordnar affärsenheter eller tredje parter efter risk (t.ex. leverantörer med nya sanktioner eller ny exponering för rättstvister).
• Övervakning av regeländringar: AI följer tillsynsmyndigheters publikationer och sammanfattar ändringar (t.ex. reviderad vägledning mot mutor som sänker gränsen för gåvor i utläggspolicyn).
• Granskning av dokument och policyer: AI jämför avtal och policyer med krav (t.ex. leverantörsavtal utan klausul om revisionsrätt).
• Screening för ekonomisk brottslighet: AI prioriterar larm från transaktionsövervakning och kundkontroller (t.ex. namnträffar mot sanktionslistor som visar sig gälla en annan person).

AI som används för regelefterlevnad kräver samma styrning som andra AI-system. Som brittiska Financial Conduct Authority konstaterade i oktober 2026 är ”företag ansvariga för AI-system som de utvecklar, upphandlar och driftsätter – inklusive deras utdata och utfall”, och myndigheten varnade för att göra den mänskliga granskningen till ”en ’avbockningsövning’”.

I praktiken kan AI-verktyg hantera rutinuppgifter som att samla in bevis eller flagga förändringar i regelverk, men inte beslut som medför juridiskt ansvar, som att avgöra om misstänkt aktivitet ska rapporteras eller hur policyer ska utformas.

Datakontroller i Perplexity Enterprise

Perplexity Enterprise ger administratörer kontroller för träning på indata, dataåtkomst och lagring:

• Ingen träning på dina data: Perplexity använder aldrig företagsinnehåll för att träna sina AI-modeller, och företagets avtal med externa modelleverantörer förbjuder dem att träna på det.
• Åtkomstkontroll: SSO, SCIM och rollbaserade behörigheter styr vem som kan ladda upp filer och dela svar.
• Lagring och granskningsloggar: Filer som bifogas i sessioner raderas efter sju dagar. Organisationer med 50 eller fler licenser, eller minst en Enterprise Max-licens, kan också ställa in lagringstid för sessioner och få granskningsloggar över användaraktivitet.
• Certifieringar: Perplexity är SOC 2 Type II-certifierat, följer GDPR och tillåter arbete med skyddad hälsoinformation endast inom ramen för ett undertecknat Business Associate Agreement.

Vill du ha en genomgång av dessa kontroller kan du kontakta vårt säljteam och boka en personlig demo.

Vanliga frågor

Vad är AI-efterlevnad i EU?

AI-efterlevnad i EU innebär att uppfylla skyldigheterna enligt EU:s AI-förordning för din roll (leverantör eller tillhandahållare) och för varje systems risknivå. Skyldigheterna börjar gälla stegvis, och skyldigheterna för högrisksystem gäller från och med den 2 december 2027.

Vad är en HIPAA-kompatibel AI?

En HIPAA-kompatibel AI är ett verktyg som används inom ramen för HIPAA:s skyddsåtgärder för skyddad hälsoinformation. Om leverantören lagrar eller behandlar den informationen kräver USA:s hälso- och socialdepartement först ett undertecknat Business Associate Agreement.

Gäller EU:s AI-förordning för amerikanska företag?

Ja. AI-förordningen omfattar amerikanska företag som släpper ut AI-system på EU-marknaden och företag vars AI-utdata används i EU.

Kan AI ersätta complianceansvariga?

AI kan inte ersätta complianceansvariga. Organisationer ansvarar för sitt arbete och AI-tekniker kan göra fel, så complianceansvariga behöver fortfarande granska och godkänna det AI producerar.