Avtal för AI-implementering: åtta klausuler som saknas i IT-standarden

Vägledande material skrivet ur leverantörens perspektiv. Beskriver typiska lösningar och avgör inte enskilda fall. Vid möten inför implementering hos företag med 50–250 anställda återkommer ofta samma påstående: för att implementera AI räcker ett vanligt IT-implementeringsavtal plus ett GDPR-tillägg. Det låter rimligt. Ett standardavtal för IT reglerar tidsramar, godkännande, viten, äganderätt till kod samt personuppgiftsbiträdesavtal. Eftersom en chattbot eller dokumentautomatisering bara betraktas som "ytterligare ett system", varför formulera nya villkor. Dessutom kräver AI Act ingen särskild avtalsform för lågrisksystem.

Motpartens starkaste argument

Det argumentet har en solid grund. I ett standardavtal för IT finns vanligtvis en godkännandeplan, avtalsviten, överlåtelse av ekonomisk upphovsrätt till koden, rutiner för felrapportering och ett personuppgiftsbiträdesavtal enligt artikel 28 i GDPR. Vid införande av ERP eller en e-handelsplattform räckte detta oftast. AI-leverantörer erbjuder också mallar med generella villkor om säkerhet och förbud mot träning på kundens data. Sanktionerna enligt GDPR uppgår till 4% av den årliga omsättningen, så ett biträdesavtal ses ofta som ett tillräckligt skydd. Dessutom gäller sanktionerna enligt AI Act: upp till 15 000 000 EUR eller 3% av den globala omsättningen: främst leverantörer av högrisksystem, inte ett företag som implementerar en chattbot för orderhantering.

AIBild genererad av AI.

Vad detta argument utelämnar

Ett standardavtal för IT reglerar inte fyra avgörande riskfaktorer för AI. För det första, prompt och konfiguration: huruvida de utgör ett verk enligt upphovsrättslagen beror på deras verkshöjd, men standardmallar reglerar sällan vem som äger de ekonomiska rättigheterna. Följden blir ofta att leverantören kan använda samma promptlager hos era konkurrenter efter avslutat avtal. För det andra, modellversionering: OpenAI och Anthropic fasar ut modeller med några veckors eller månaders varsel, vilket framgår av dokumentationen för utfasningar. Ett standardavtal ger inte kunden rätt att blockera automatiska uppgraderingar före acceptanstester. För det tredje, dataexport: konversationsloggar och vektorbäddningar skiljer sig från vanliga SQL-tabeller, vilket gör formuleringen "leverantören ska återlämna data" tandlös i praktiken. För det fjärde, hallucinationer: ansvaret för ett "felaktigt resultat" kräver ett gränsvärde, annars blir varje felaktigt svar en tvist om leveranskvalitet. Därtill kommer ansvarsfördelningen enligt AI Act: leverantörer och tillhandahållare av AI-system har olika skyldigheter som IT-standardavtal oftast inte skiljer på. Från 2.08.2026 måste chatbotar informera om AI-interaktion och märka genererat innehåll.

Vår ståndpunkt

I vår verksamhet omfattar ett avtal för produktionssatt AI åtta klausuler som saknas i vanliga IT-avtal: rättigheter till prompter och konfiguration (överlåtelse av ekonomisk upphovsrätt eller en oåterkallelig, evig licens med rätt till ändring och vidarelicensiering), 60 dagars varsel vid utfasning av modeller, förbud mot automatiska uppgraderingar utan godkända acceptanstester, dataexport inom 30 dagar i formaten JSON/CSV/JSONL, radering av säkerhetskopior inom 60 dagar, en hallucinationsgräns på ≤5% på testdata, ansvarsbegränsning för leverantören motsvarande 12 månadsavgifter, deposition av prompter och kod hos notarie eller escrow samt 3 månaders avvecklingsstöd till ordinarie taxa. Vid vår implementering av en e-postassistent baserad på 500 testmeddelanden tog vi först fram ett modellkort med prestandamått, varpå acceptanstesterna på detta urval avgjorde produktionsversionen. Utan dessa villkor står kunden med ett fungerande system, men utan exitstrategi och utan ansvarsgränser för vad systemet genererar.

AIBild genererad av AI.

Rekommenderade åtgärder detta kvartal

Kontrollera före avtalstecknande detta kvartal om leverantören accepterar dataexport inom 30 dagar och ett hallucinationstest på ≤5%. Om leverantören avvisar båda innebär det inte att projektet faller, men det klargör vilka risker som stannar hos kunden. Vi omprövar endast denna hållning under en förutsättning: om leverantören driftar en lokal instans av en öppen källkodsmodell med granskat modellkort och full tillgång till vikterna, vilket gör klausuler om externa API-utfasningar överflödiga. Fram till dess hanterar vi implementeringsavtal för AI som separata dokument, inte som tillägg till en standardmall för IT.