AI-policy | Vital AI

Så här bygger och driver Vital AI International AB AI-lösningar ansvarsfullt, i linje med EU:s AI-förordning (AI Act) och GDPR. Policyn gäller allt vi bygger åt kunder och allt vi använder internt.

Syfte, omfattning och ansvar

Syfte. AI ska göra våra kunders verksamheter snabbare och bättre, utan att kompromissa med säkerhet, integritet eller människors rätt att veta vad som händer med deras information.

Omfattning. Policyn gäller alla AI-lösningar vi bygger, driftar eller rekommenderar åt kunder, till exempel automatiseringar, AI-agenter, integrationer och verksamhetssystem. Den gäller också vår egen användning av AI internt. Den gäller alla som arbetar för Vital AI, även underkonsulter.

Ansvar. Mateo Hugosson, VD, är ansvarig för ansvarsfull AI-användning. Det innebär att han godkänner nya användningsområden innan de går i drift, tar emot incidenter och ser till att policyn följs och uppdateras. Varje kundprojekt har dessutom en namngiven projektansvarig.

Riskklassning enligt AI Act

Varje lösning riskklassas innan vi börjar bygga. Riskklassen avgör vilka krav som gäller och om vi alls tar uppdraget.

Risknivå enligt AI Act	Exempel	Vår hantering
Otillåten	Social poängsättning, manipulation som utnyttjar sårbarhet, känsloavläsning på arbetsplatser	Vi bygger aldrig detta
Hög risk	AI för rekrytering, kreditbedömning, utbildningsbeslut eller tillgång till samhällstjänster	Vi tar inte sådana uppdrag i dag. Om det blir aktuellt krävs en särskild bedömning och en partner med rätt kompetens
Begränsad risk	Chattbotar, AI-agenter som svarar kunder, AI-genererat innehåll	Tillåtet med transparens, se nästa avsnitt
Minimal risk	Automatisering av offerter, fakturor och rapporter, intern analys, sökning	Tillåtet och följer resten av policyn

De flesta av våra lösningar hör till minimal eller begränsad risk. Vi följer tidslinjen i AI Act: förbuden och kravet på AI-kunnighet gäller sedan 2 februari 2025, transparenskraven sedan 2 augusti 2026 och kraven för högrisksystem enligt bilaga III från 2 december 2027.

Transparens

Människor ska veta när de pratar med AI. Det följer av artikel 50 i AI Act, som gäller sedan 2 augusti 2026.

Chattbotar och AI-agenter som svarar kunder eller allmänheten berättar att de är AI, om det inte är uppenbart av sammanhanget. Det gäller även agenter i sociala medier.
AI-genererat innehåll, som text, bild, ljud och video som publiceras, märks enligt AI Act när kraven gäller.
Kunden informeras om vilka AI-modeller och leverantörer en lösning använder, och vilka beslut AI fattar respektive vilka en människa fattar.
Det finns alltid en väg till en människa för den som vill ha det.

Dataskydd och GDPR

Roller: kunden är personuppgiftsansvarig och Vital AI är personuppgiftsbiträde. Vi tecknar ett personuppgiftsbiträdesavtal (PUB) innan vi hanterar personuppgifter.
Dataminimering: en AI-lösning får bara tillgång till de uppgifter den behöver för sin uppgift.
Lagring inom EU: vi väljer i första hand infrastruktur i EU. När en tjänst behandlar data utanför EU sker det med stöd i GDPR, och kunden informeras.
Ingen träning på kunddata: vi använder AI-modeller via API-tjänster där kunddata enligt leverantörens villkor inte används för att träna modeller.
Känsliga uppgifter, som hälsa, personnummer och ekonomiska uppgifter om privatpersoner, hanteras bara efter en särskild bedömning.
Rätten att bli bortglömd: varje lösning ska kunna radera eller exportera en persons uppgifter på begäran.

Mänsklig kontroll

Varje AI-agent får en tydlig nivå för vad den får göra själv. Nivåerna bestäms tillsammans med kunden och dokumenteras innan lösningen går i drift.

Nivå	AI får	Exempel
Grön: gör själv	Upprepbart arbete med låg risk som går att rätta	Sortera ärenden, skriva utkast, svara med godkända standardsvar, logga i system
Gul: fråga först	Allt som binder verksamheten eller påverkar en relation	Pris och villkor, klagomål, publicering, kontakt med befintliga kunder
Röd: aldrig	Det som inte går att ta tillbaka	Skicka avtal eller fakturor, radera data, fatta beslut som rör en persons rättigheter

En människa kan alltid granska, ändra eller stoppa det AI gör. Alla agenter har en avstängningsknapp.

Informationssäkerhet

Minsta möjliga behörighet: varje användare, agent och integration får bara den åtkomst den behöver. Databaser skyddas med behörighetsregler på radnivå.
Hemligheter: API-nycklar och lösenord ligger i säkra lager, aldrig i koden eller i webbläsaren.
Säkerhetsgranskning: varje lösning säkerhetsskannas innan den går i drift och efter större ändringar. Brister åtgärdas i prioritetsordning.
Loggning: det AI gör loggas, så att det går att följa upp vad som hänt och varför.
Inloggning: interna system har inbjudan i stället för öppen registrering, och tvåstegsverifiering där det går.
Leverantörer: vi använder etablerade leverantörer av AI-modeller och molntjänster och följer deras säkerhetsrekommendationer.

Godkännande innan drift

Ingen AI-lösning går i drift förrän dessa punkter är uppfyllda och den AI-ansvarige har godkänt:

Riskklass bestämd och dokumenterad
PUB tecknat om personuppgifter hanteras
Transparens på plats: användare ser att de interagerar med AI
Nivåer för mänsklig kontroll satta och dokumenterade
Säkerhetsskanning genomförd, utan kritiska brister
Testad med riktiga exempel tillsammans med kunden
Loggning och avstängningsknapp fungerar
Kunden vet vem som är ansvarig och hur man rapporterar fel

Incidenter, AI-kunnighet och uppföljning

Incidenter. Om en AI-lösning gör fel, läcker information eller beter sig oväntat:

Den som upptäcker det stoppar lösningen, om det behövs, och rapporterar till den AI-ansvarige inom 24 timmar.
Vi informerar berörd kund utan dröjsmål, så att kunden kan fullgöra sin anmälningsplikt till IMY inom 72 timmar om personuppgifter berörs.
Vi åtgärdar orsaken, dokumenterar vad som hände och uppdaterar policyn om det behövs.

AI-kunnighet. Alla som arbetar för Vital AI ska förstå hur AI-modeller fungerar, deras begränsningar och denna policy. Vi hjälper också våra kunders personal att använda lösningarna rätt, med genomgång vid driftstart och dokumentation.

Uppföljning. Policyn ses över minst var sjätte månad och när lagstiftningen ändras. Nästa översyn: mars 2027. Frågor om policyn: mateohugosson@vitalai.agency.