AI-riskbedömning

Finns en förteckning över alla AI-system som används i organisationen?

Inkluderar förteckningen även informellt använda verktyg (shadow AI)?

Har varje AI-system en utpekad ägare?

Är det definierat vilka data som får och inte får matas in i externa AI-tjänster?

Finns kontroller som hindrar att personuppgifter eller känslig information delas med externa AI-tjänster?

Är det klarlagt var data bearbetas och lagras (jurisdiktion)?

Reglerar avtal leverantörens rätt att använda inmatad data för modellträning?

Har AI-systemen testats för robusthet mot adversariala attacker och prompt injection?

Finns processer för att hantera hallucineringar och felaktiga utdata?

Loggas interaktion med AI-system för spårbarhet?

Finns mänsklig översyn för beslut med väsentlig konsekvens som baseras på AI?

Är det tydligt vem som bär ansvaret för AI-baserade beslut?

Informeras berörda parter om att AI används i beslutsprocesser?

Har ni bedömt vilka AI-system som klassificeras som högrisk enligt AI-förordningen?

Ingår AI-risker i den allmänna riskanalysen?

Finns en AI-policy som är godkänd av ledningen?