Anskaffelse av KI: krav du bør stille i konkurransen

Prinsippet

Alt du ikke krever i konkurransen, må du forhandle om senere — fra en svakere posisjon. Kravene under er formulert slik at de kan besvares og etterprøves.

Krav om roller og dokumentasjon

• Leverandøren skal angi sin rolle etter KI-forordningen og begrunne den.
• Ved høyrisiko-system: teknisk dokumentasjon, bruksanvisning, informasjon om treningsdata på overordnet nivå, kjente begrensninger og ytelsesmål.
• Leverandøren skal varsle ved endringer som kan påvirke klassifisering eller ytelse.

Krav om drift og kontroll

• Logging av systemets bruk, tilgjengelig for oppdragsgiver i lesbart format.
• Mulighet for saksbehandler til å overstyre, og logging av overstyringer.
• Mulighet for å slå av enkeltfunksjoner, inkludert KI-funksjoner.
• Beskrivelse av tiltak mot skjevhet, og hvordan de testes.

Krav om personvern

• Databehandleravtale etter artikkel 28 vedlagt tilbudet.
• Angitt lagringssted og overføringsgrunnlag.
• Skriftlig bekreftelse på at oppdragsgivers data ikke brukes til modelltrening.
• Oppdatert underleverandørliste med varslingsfrist.
• Bistand ved DPIA og FRIA.

Krav om exit

Dataeksport i åpent format, sletting med bekreftelse innen angitt frist, og overgangsbistand ved avvikling. Uten exit-krav blir en dårlig løsning permanent.

Evaluering

Vekt compliance-dokumentasjonen som eget tildelingskriterium. Be om utfylte svar, ikke bekreftelser på egenerklæring — forskjellen viser seg raskt.

Ta med kravene også i mindre anskaffelser. Det er ofte de små verktøyene som behandler de mest sensitive dataene.