Läser in
AI Act · SektorNIS2 Bilaga I · väsentlig
- BilagaI
- TillsynPTS
AI-förordningen för IKT-tjänstehantering: MSP och managed services
- Sprint
- 79 000 kr engång
- Högrisk-andel
- 25 procent
- Granskningsklar
- 60 dagar / pengarna tillbaka
Översikt
Vad AI-förordningen innebär för sektorn
MSP:n är deployer av sina egna verktyg. Samtidigt driver de AI-system hos kunder, vilket skapar samverkande ansvar. Om MSP:n administrerar en AI-drivna SIEM i kundens miljö är kunden fortfarande deployer, men MSP:n kan ha operativt ansvar enligt avtal.
Art. 25 kan aktiveras om MSP:n modifierar systemet väsentligt eller gör det tillgängligt under eget varumärke.
Klassificering
Bilaga III-punkter som gäller sektorn
| Punkt | Tillämpning i ikt-tjänstehantering |
|---|---|
| III.5a | AI som styr kundens åtkomst till tjänster om MSP agerar på uppdrag |
| III.5b | AI i kreditrelaterade MSP-beslut mot slutkund (sällsynt) |
| III.4 | HR-automation hos stora MSP:er |
| III.2 | Om MSP driver safety-kritiska system åt kunder (vård, energi) |
AI-system
Typiska AI-system i svenska organisationer
| Användningsområde | Typiska leverantörer | Risknivå |
|---|---|---|
| Managed Detection and Response (MDR) med AI | CrowdStrike Charlotte AI, SentinelOne, Microsoft Copilot for Security | Begränsad till hög |
| AIOps och observability | Datadog AI, Dynatrace Davis, Splunk ITSI | Minimal till begränsad |
| Automatisk patch-deployment med AI-beslut | ServiceNow AI, Atera, ConnectWise | Begränsad till hög vid autonom respons |
| SIEM-korrelation med ML | Splunk UBA, Microsoft Sentinel, Exabeam | Begränsad |
| Helpdesk-automation (LLM) | ServiceNow AI, Zendesk Answer Bot, Microsoft Copilot | Begränsad (Art. 50) |
| Konfigurationsdrift-detektering | Red Hat Insights, Chef Automate | Minimal |
| Identity governance med AI | Sailpoint IdentityNow AI, Okta Identity Governance | Begränsad till hög |
Tillsyn
Myndigheter som har tillsyn
- PTS: sektorsmyndighet enligt NIS2 och parallell tillsyn enligt AI-förordningen
- PTS: föreslagen marknadskontrollmyndighet för AI-förordningen (SOU 2025:101)
- IMY: tillsyn enligt GDPR
- Finansinspektionen: sektorsvis tillsyn via DORA om MSP är kritisk ICT-leverantör
- NCSC (incidentrapporter via cyberportalen) och CERT-SE (operativt stöd): cybersäkerhetsincidenter
Regelverk
NIS2-överlapp och Cybersäkerhetslagen
IKT-tjänstehantering är Bilaga I NIS2. MSP är deployer av egna verktyg och operatör (men ej deployer) av kundens AI-system. Kunden är fortfarande deployer. MSP-avtal bör klargöra ansvarsfördelning för Art. 26-dokumentation. Incidenthantering sker ofta i kundens miljö. MSP:n rapporterar till kunden, kunden rapporterar till NCSC och IMY. Om MSP agerar kritisk ICT-leverantör enligt DORA kan de få direkt tillsyn från EU-myndighet.
Risk
Unika risker för AI i sektorn
- Felaktiga autonoma åtgärder i kundsystem som orsakar driftstörning eller datastörning
- LLM prompt injection i helpdesk-lösningar som leder till utlämnande av känslig information
- Kunddata i träningsdata när MSP-AI tränas på aggregerad kundinformation
- Ansvarsgränsen mellan MSP och slutkund är inte alltid tydlig i AI-sammanhang
- Dubbel exponering mot DORA, NIS2 och AI-förordningen för MSP till finansiella kunder
Så hjälper CyberKlar
Plattformen för ikt-tjänstehantering
Plattformen är byggd för den dubbla deployer-rollen: AI-systemregister med markering av egen-drift vs kund-drift. Ansvarsmatriser per kundavtal som dokumenterar vem som är Art. 26-deployer. Incidentflöde som skickar rapport till både kundens compliance-team och egna myndigheter. Leverantörsbedömning av AI-underleverantörer till MSP. Integration med kundfakturering för att hantera Art. 4-utbildning per kund-kontext.
Resultatbaserat
Vad du betalar för i ikt-tjänstehantering
Sprint-avgiften 79 000 kr exkl. moms täcker 60 dagars onboarding mot tio mätbara kriterier. Plattformen utvärderar varje natt om sektorns specifika krav är uppfyllda. På dag 60 är ni antingen granskningsklara eller får hela avgiften tillbaka via Stripe.
Sprinten är densamma oavsett sektor och storlek: en avgift, ett resultat. Efter Sprint tar ett löpande paket vid: NIS2 + AI-paketet (60 000 kr per år) samlar NIS2-samordnaren, AI-kompetensregister och AI-systemregister, och tecknas paketet inom 90 dagar från Sprint-start avräknas Sprint-avgiften mot första årsavgiften. Enskilda moduler säljs inte separat. Hela katalogen finns på prissidan.
Vanliga frågor
Frågor vi oftast får från ikt-tjänstehantering
01Är vi som MSP deployer för kundens AI-system?
Är vi som MSP deployer för kundens AI-system?
Nej. Kunden är deployer av sina system även om MSP driver dem operativt. MSP:n är deployer av MSP:ns egna verktyg. Avtalet bör tydliggöra att MSP agerar på uppdrag, inte som deployer, för kundens system.
02Vad händer om vi modifierar ett AI-system väsentligt?
Vad händer om vi modifierar ett AI-system väsentligt?
Art. 25 aktiveras. Ni blir provider av den modifierade versionen. Provider-skyldigheter enligt Art. 8 till 15 gäller, inklusive teknisk dokumentation, CE-märkning om relevant, och utsläppande på marknaden. Viktig gräns: enkel konfiguration aktiverar inte Art. 25, men omträning eller förändrat avsett syfte gör det.
03Hur hanterar vi incidenter som påverkar flera kunder?
Hur hanterar vi incidenter som påverkar flera kunder?
Vid AI-relaterad incident som påverkar flera kunders miljö: rapportera enligt avtal till varje kund omedelbart. Varje kund rapporterar vidare till NCSC och IMY enligt deras egna tidsfönster. MSP kan rapportera eget brott mot NIS2 om ni är egen väsentlig enhet.
04Kan vi ha gemensam Art. 4-utbildning för hela personalen oavsett kunduppdrag?
Kan vi ha gemensam Art. 4-utbildning för hela personalen oavsett kunduppdrag?
Ja som basnivå. Rollbaserad kompetensmatris bör dock reflektera kundens specifika risk-exponering. En MSP-konsult som jobbar mot en bankkund behöver djupare kunskap om Art. 26 än en som jobbar mot SaaS-startup.
05Är kunddata i träningsdata tillåten?
Är kunddata i träningsdata tillåten?
Beror på avtal och GDPR. Aggregerad, anonymiserad data är ofta tillåten om det står i MSP-avtalet. Personuppgifter kräver rättslig grund enligt GDPR plus explicit avtal. Art. 10 i AI-förordningen kräver dessutom att träningsdata är representativ och rensad från bias.
06Vad gäller vid DORA-klassificering som kritisk ICT-leverantör?
Vad gäller vid DORA-klassificering som kritisk ICT-leverantör?
Om ni har minst en finansiell kund och er tjänst är ICT-kritisk kan ni pekas ut som kritisk ICT-tredjepartsleverantör enligt DORA. Då får ni direkt tillsyn av EU-myndighet (ESMA, EIOPA eller EBA). Dokumentationskraven ökar markant. Samordna dokumentationen för DORA och AI-förordningen tidigt.
Relaterade sektorer
Andra sektorer med liknande krav
Sektorerna nedan delar tillsynsmyndighet, NIS2-bilaga eller regulatorisk profil och kan vara relevanta att läsa parallellt.
Relaterat
Fortsätt med nästa steg
Verifierad mot
- SFS 2025:1506
- EU 2024/1689
- OJ-version