Utveckling av nya ämnesområden för ackreditering

AI-förordningens första steg har nu rullat i gång. Sedan 2 februari är AI-system med oacceptabel risk förbjudna inom EU. Regelverket fortsätter att rullas ut successivt och Swedac kommer att ackreditera organ för kvalitetssäkringen av AI-system.

AI är här för att stanna. Tillämpningarna av tekniken och möjligheterna som öppnas är enorma. Rätt använt kan människors liv förbättras och produktiviteten öka. Nyligen tillkännagav EU-kommissionens ordförande Ursula von der Leyden att EU ska satsa 200 miljarder euro på AI. Men det finns också risker med ny teknik. Därför har medlemsländerna i EU också gemensamt beslutat att skapa lagar som ska minimera att AI används på ett för mänskligheten skadligt sätt.

Vad har då detta med Swedac att göra? Jo i förordningen är ackreditering ett alternativ och viktigt verktyg för att säkerställa detta.

AI-systemen kommer kategoriseras enligt olika risknivåer. (Se faktarutor). För AI-system med begränsad risk kräver förordningen att systemen till exempel öppet redovisar att de använder AI.
För system med hög risk finns strikta regler för att säkerställa att de är säkra och transparenta. Det gäller riskhantering och riskbedömningar, mänsklig övervakning av systemet och krav på dokumentation och registerföring för att säkerställa att systemen kan granskas i efterhand. Förordningen ställer krav på att leverantörer ska ha ett kvalitetsledningssystem. Vidare kan AI-systemet genomgå bedömning av överensstämmelse, för att säkerställa att det uppfyller förordningens regler och skyddar grundläggande rättigheter.

– Det är logiskt att bygga vidare på redan befintliga system för bedömning av överensstämmelse och använda dem även inom AI-området, säger Magnus Pedersen utredare på ackrediteringsavdelningen.

Just nu håller de europeiska standardiseringsorganisationerna CEN och Cenelec på att utveckla standarder som kan användas för att visa på att kraven för AI-system med hög risk uppfylls.

De organ som ska bedöma överensstämmelse har till uppgift att bedöma om AI-system, särskilt sådana som klassificeras som hög risk, uppfyller de krav som fastställs i AI-förordningen. De granskar leverantörernas kvalitetsledningssystem och deras tekniska dokumentation. De har också möjlighet att utföra ytterligare tester av AI-systemen om det bedöms vara nödvändigt.

Det pågår också en av regeringen initierad utredning där den särskilda utredaren Helena Rosén Andersson har fått uppdraget att utreda “Trygg och tillförlitlig användning av AI i Sverige.” Utredningen ska vara klar 30 september.

Fakta: Syftet med AI-förordningen:

• Förbättra den inre marknaden genom att skapa en gemensam rättslig ram för utveckling och användning av AI-system inom EU
• Främja människocentrerad och pålitlig AI, samtidigt som den skyddar hälsa, säkerhet och grundläggande rättigheter
• Förhindra negativa effekter av AI och stödja innovation
• Säkerställer fri rörlighet för AI-produkter och tjänster inom EU och förhindrar att medlemsstater inför handelshinder,
• Ge en tydlig och förutsägbar ram för utvecklare, företag och myndigheter.

Fakta: Riskindelning
AI-system kommer klassificeras enligt hur potentiellt farliga de kan vara för människor.
Minimal risk
AI-system med minimal risk kommer även fortsättningsvis kunna utvecklas och spridas som i dag.
Begränsad risk
Förordningen kräver till exempel att systemen öppet redovisar att de använder AI.
Hög risk
Strikta regler för att säkerställa att de är säkra och transparenta. Det gäller riskhantering och riskbedömningar, mänsklig övervakning av systemet och krav på dokumentation och registerföring. För AI-system med hög risk som omfattas av annan av unionens harmoniseringslagstiftning ska leverantören följa det förfarande för bedömning av överensstämmelse som krävs enligt dessa rättsakter, tex. använda ett anmält organ, samt komplettera med relevanta krav enligt AI akten.
Oacceptabel risk
AI-system som exempelvis skulle syssla med fjärrbiometrisk övervakning eller poängsättningar av individer. Undantag finns för brottsbekämpande verksamhet.

LÄNK TILL FÖRORDNINGEN

Standarden ISO/IEC 17029:2019 Bedömning av överensstämmelse – Allmänna principer och krav för validerings- och verifieringsorgan, gavs ut 2019. Swedac och många andra i branschen är övertygade om att denna standard kommer att få ett stort genomslag och kommer att användas flitigt i framtiden, då en standard för detta har saknats.

Utvecklingsarbetet fortsätter för att kunna erbjuda fler ackrediteringar för verifiering/validering inom olika områden. Områden där standarden kan komma till användning ytterligare är tex. verifiering av avtal i samband med upphandling, påståenden eller företags egendeklarationer.

Blankett för ansökan om ackreditering – Verifieringsorgan/Valideringsorgan

Läs mer om ISO/IEC 17029: Standard för att kvalitetssäkra påståenden och uttalanden

I Swedac berättar: ISO 17029 berättar Magnus Pedersen och Arne Lund mer om hur ISO/IEC 17029 fungerar.

Kontaktpersoner:
Magnus Pedersen, magnus.pedersen@swedac.se
Kaarlo Book, kaarlo.book@swedac.se när det gäller EU-ETS

Sedan 2018 är GDPR inskriven i svensk lag. GDPR är en förkortning för General Data Protection Regulation, på svenska kallad dataskyddsförordningen – 2016/679.

I Artikel 42.1 i förordningen står det:
Medlemsstaterna, tillsynsmyndigheterna, styrelsen och kommissionen ska uppmuntra, särskilt på unionsnivå, införandet av certifieringsmekanismer för dataskydd och sigill och märkningar för dataskydd som syftar till att visa att personuppgiftsansvarigas eller personuppgiftsbiträdens behandling är förenlig med denna förordning.

Nu har en möjlighet öppnats i Sverige för organisationer att bli certifierade av ackrediterade certifieringsorgan för sin hantering av personuppgiftsdata i enlighet med GDPR.

Den svenska Integritetsskyddsmyndigheten, IMY, har fastställt kraven för ackreditering av certifiering. Det är dessa krav som Swedac ska tillämpa om ett certifieringsorgan vill bli ackrediterat.

Enligt artikel 43.1 i dataskyddsförordningen ska certifieringsorgan vara ackrediterade för att utfärda och förnya certifieringar.

I dagsläget finns inte någon svensk nationell certifieringsordning för personuppgiftshantering enligt GDPR och Swedac inväntar därför nationella intressenters agerande.

Den som är intresserad av att få en certifieringsordning gällande personuppgiftshantering enligt GDPR godkänd ska lämna in en ansökan till IMY samt ansöka till Swedac för accept av ordning.

Den europeiska dataskyddsstyrelsen, EDPB, har sedan tidigare accepeterat en ordning för internationell nivå.

Läs mer:

• Nyhetstext om IMY:s beslut
• Ansökan om acceptans av ordning
• EDPB:s sida om ordningar

För accepterade ordningar där Swedac har ackrediterat organ sök i ackrediteringsregistret.
För nedan listade ordningar kan Swedacs möjlighet att ackreditera samt tid från ansökan om ackreditering till att erhålla bedömning inför ackreditering variera beroende på kompetensområdet. För mer information om ordningar och Swedacs möjlighet att ackreditera kontakta registrator@swedac.se.

Certifieringsordning för ledningssystemcertifiering:

• Mot mutor enligt SS-ISO 37001, SIS/TS 60
• Tillgångar enligt SS-ISO 55001, SIS/TS 64
• GMP+ Feed safety
• FAMI QS *
• IAQG 9001 *
• Innovationsledningssystem enligt SS-EN ISO 56001 – Certifieringsordning SIS/TS 560:2025

Certifieringsordning för produkt-, process-, tjänste-certifiering:

• Kommunal företagslotsning enligt SS 884000:2013, SIS/TS 48
• Tullombudtjänster enligt SS-EN 16992:2016, SIS/TS 53
• Patientdelaktighet i hälso- och sjukvård, tjänster enligt SS-EN 17398,
  SIS/TS 602
• CERTALARM
• Betrodda tjänster och e-legitimationer
• FEMB (Sustainability requirements for office and non-domestic furniture for indoor use)
• GRMS (Global Red Meat Standard)
• IFS *
• PSAP (NavCert)
• Organic Content Standard
• Textile Exchange (recycled)
• BRC *
• ICAO CORSIA *

Certifieringsordning för personcertifiering:

• EOQ CoS 9000
• IPC Management System Auditor Certification Scheme *

Program för verifiering/validering:

• Verifiering av miljöteknik enligt SS-EN ISO 14034:2018, SIS/TS 95

Ordning för kontroll:

• Food Store Quality Standard (FSQS)

Kombinationer av flera kontrollformer:

• Riskplaza

* Länk till IAF:s webbplats för Scopes.