AI-bilaga

1. Syfte

Denna bilaga beskriver hur EXON använder AI, hur användningen klassificeras enligt EU:s AI-förordning (EU 2024/1689, "AI Act") och vilka transparens- och tillsynsåtgärder som gäller. Bilagan utgör tillägg till Tjänsteavtalet och DPA.

2. AI-tjänster som används

EXON använder inte AI-tjänster som är klassificerade som förbjudna enligt AI Act artikel 5. Aktuell lista över AI-underleverantörer och exakta modellversioner tillhandahålls Kunden separat och uppdateras enligt notifieringsprocessen i DPA punkt 5.

3. Klassificering enligt AI Act

EXONs AI-användning bedöms enligt AI Act i huvudsak som begränsad risk (limited risk). Systemen är avsedda att stödja försäkringsförmedlare med information och analys som förmedlaren själv granskar innan användning.

3.1 Begränsad risk (Article 50 — transparenskrav)

• Chat-assistans: Användaren informeras alltid om att den interagerar med AI.
• Sammanfattningar och analyser: Genererad output märks som "AI-genererad" i användargränssnittet.
• Dokument-parsning: Extraherad data visas i redigerbart formulär för manuell granskning innan användning.

3.2 Potentiellt högrisk-scenarier och våra kontroller

AI Act bilaga III klassar vissa användningar inom försäkring som högrisk om de används för prissättning eller riskbedömning för livförsäkringar eller sjukförsäkringar gentemot fysiska personer.

EXONs tjänst är inte designad för autonom prissättning eller riskbedömning gentemot slutkund. AI:n är alltid ett hjälpmedel för förmedlaren. För att förhindra oavsiktlig drift mot högrisk-användning:

• Ingen AI-modul fattar beslut om acceptans, avslag eller prissättning gentemot slutkund.
• Förmedlaren måste alltid granska och godkänna AI-output innan den delas med tredje part.
• Rekommendationer märks "AI-genererad" och åtföljs av friskrivning om mänsklig granskning.
• Kunden ansvarar för att inte konfigurera Tjänsten på ett sätt som förvandlar den till ett högrisk-AI-system enligt AI Act.

3.3 Förbjudna konfigurationer och användningar

Kunden får inte konfigurera eller använda Tjänsten för följande ändamål:

• Automatiserad prissättning eller premie-beräkning för liv- eller sjukförsäkring gentemot fysiska personer utan mänsklig granskning i det enskilda ärendet.
• Automatiserad riskklassificering av fysiska personer (t.ex. "acceptera / avslå" utan mänsklig granskning).
• Användning av AI-utdata som ensam grund för beslut som väsentligt påverkar slutkund (t.ex. avslag på försäkringsansökan) utan att beslutet granskas av behörig personal.
• Behandling av biometriska personuppgifter eller uppgifter om etniskt ursprung, politisk åsikt, religion, sexuell läggning eller fackligt medlemskap genom AI-funktionerna.
• Automatiserad profilering enligt GDPR Art. 22 utan uttryckligt samtycke från registrerad.
• Koppling av AI-utdata direkt till åtgärder mot slutkund (t.ex. automatisk uppsägning av försäkring) utan mänsklig grindkontroll.
• Träning av tredjeparts-AI-modeller på data från Tjänsten.

Om Kunden är osäker på om en planerad användning omfattas av förbuden ovan, eller avser att använda Tjänsten på ett sätt som kan aktualisera högrisk-klassificering enligt AI Act bilaga III, ska Kunden kontakta EXON innan sådan användning påbörjas.

4. Transparens

• Alla AI-funktioner är märkta i användargränssnittet.
• Kunden kan när som helst avaktivera AI-funktioner tenant-brett via Inställningar → AI.
• AI-anrop loggas i audit-log med tidsstämpel, användare och modell.

5. Human oversight

I linje med AI Act artikel 14 säkerställer EXON att mänsklig granskning är möjlig och krävs innan AI-genererat innehåll används externt:

• AI-output visas alltid i ett redigerbart format innan lagring, delning eller utskick.
• Kunden är skyldig att låta behörig personal granska AI-output innan slutkundskommunikation.
• Loggning och audit-trail möjliggör granskning i efterhand.

6. Träningsdata och dataminimering

EXON använder inte kunddata för att träna egna AI-modeller. Anrop till AI-leverantören görs med följande skydd:

• AI-leverantören är avtalsmässigt förhindrad från att använda kunddata för modellträning.
• Endast den kontext som krävs för uppgiften skickas till AI-leverantören (dataminimering).
• Ingen data lagras hos AI-leverantören utöver den korta sessionen som krävs för att generera svar.

7. Robusthet, säkerhet och prompt-injektion

• Alla AI-anrop går genom autentiserade API-endpoints med tenant-scope.
• Prompt-templates är fastställda i kod och kan inte modifieras av användaren.
• AI-output valideras (JSON-format, längd, förbjudna innehåll) innan lagring.
• Röd-teamning och prompt-injection-tester ingår i penetrationstest när sådant genomförs.

8. Registrerade personers rättigheter

Personer vars personuppgifter kan förekomma i AI-behandling har samma rättigheter som gäller för övrig behandling enligt GDPR och Integritetspolicy. Enligt AI Act artikel 86 har berörda personer även rätt att få förklaring av individuella AI-beslut som kan påverka dem. EXON bistår Kunden med underlag för sådana förklaringar.

9. Ändringar

AI-tjänster och modeller kan ändras. Vid materiell ändring (byte av AI-leverantör, ny AI-modul med ny klassificering) meddelas Kunden minst 30 dagar i förväg och denna bilaga uppdateras.

10. Kontakt

• AI-relaterade frågor: legal@exon.insure
• Dataskydd: privacy@exon.insure