Säkerhetsfredag: När AI förändras under avtalstiden – så upphandlar och följer ni upp

Hur upphandlar vi AI-lösningar som förändras över tid? Och hur ser vi till att juridiska krav faktiskt blir en del av de IT-system vi utvecklar?

Under oktober månads Säkerhetsfredag möter du Jenny Mangelsdorf, strateg på Upphandlingsmyndigheten, med erfarenhet av IT-upphandling och säkerhetsskydd från bland annat Polismyndigheten och Finansinspektionen. Jenny visar hur organisationer kan ställa rätt krav vid upphandling av AI och behålla kontrollen när tekniken förändras.

Du får också lyssna till Anders M Olausson, CPTO på Restipulate, som har arbetat med IT-system i över 30 år. Med erfarenheter från bland annat systemutveckling, kravanalys och testning visar Anders vad som händer när juridik och IT inte riktigt talar samma språk – och hur vi kan bli bättre på att omsätta juridiska krav i praktiken.

När AI förändras under avtalstiden – så upphandlar och följer ni upp

AI ställer andra krav än traditionell IT. Modeller kan uppdateras, bytas ut eller avvecklas under avtalstiden, och lösningens funktion kan förändras. Hur ställer man då krav som går att följa upp i praktiken?

Passet utgår från behov och riskklassning och visar hur ni kan ställa krav på bland annat:

• datahantering
• informationssäkerhet
• spårbarhet
• modellförändringar
• möjlighet att byta leverantör

En röd tråd är vilka beslut ledningen behöver fatta innan upphandlingen börjar, för att verksamheten ska kunna behålla kontrollen över tid.

Jenny Mangelsdorf

Jenny är i grunden försäljningsingenjör med en bakgrund inom e-förvaltning, transportinfrastruktur och logistik i privat sektor.

Hon har arbetat som IT-upphandlare med fördjupning inom skyddad verksamhet och säkerhetsskydd på Polismyndigheten och Finansinspektionen.

I dag arbetar Jenny som strateg på Upphandlingsmyndigheten, där hon bland annat driver arbetet kring ett regeringsuppdrag avseende IT-upphandling.

Juridik är från Mars, IT är från Venus – hur vi lär oss mötas på mitten?

Fråga en jurist om ett system får spara en viss uppgift, och svaret blir ofta: det beror på. Fråga en utvecklare, och hen vill ha ett ja eller ett nej. Där börjar missförståndet. Utvecklare förväntar sig binära svar, medan juridiken alltid tolkas utifrån sitt sammanhang. Båda går från mötet övertygade om att den andra inte har förstått.

Ansvaret för att ge sammanhanget ligger hos dem som bygger systemet. Men det kräver något av juristen också: en grundläggande förståelse för hur IT fungerar. Inte på expertnivå, utan ungefär som en ishockeyfantast som kan diskutera spelet utan att själv stå på isen.

Föredragets kärnpoäng är enkel: juridiken når ett system via kravspecifikationen, eller inte alls. Det som inte står i kraven byggs inte, och det som inte byggs går inte att följa upp. På vägen från lagtext till kravspecifikation tappas rättsligt bindande krav ofta bort. I värsta fall blir de bör-krav. Då har beställaren i praktiken lämnat över tolkningen till leverantören, som gör den först vid leveransen.

Med exempel från verkliga kravspecifikationer visar vi var kraven försvinner och hur de kan räddas genom att skilja det som är bindande från det som är önskvärt.

Tre saker deltagarna tar med sig

• Juridiken når systemet via kraven, eller inte alls.
  Ett lagkrav som inte står i kravspecifikationen finns inte för den som bygger.
• Ett bör-krav innebär att tolkningen lämnas över till leverantören.
  Bindande krav ska formuleras som bindande.
• Fem nivåer av bindande kraft ger jurister och IT ett gemensamt språk.
  De sträcker sig från lag till systemets egna behov.

Anders M Olausson

CPTO på Restipulate

Anders M Olausson har arbetat med IT-system i över 30 år, i allt från roller som utvecklare och testare till kravanalytiker och teststrateg. Han har sett samma mönster i bransch efter bransch: system som uppfyller specifikationen men ändå inte fungerar i verkligheten.

Ur dessa erfarenheter växte Kvalitetstårtan fram, ett ramverk för de krav som oftast glöms bort, och boken med samma namn som gavs ut 2026.

I dag är Anders CPTO på Restipulate, som bygger ett systemstöd för upphandling.