Riskklassning, riskmatris och kontrollerna bakom dem
ExploreWorldAI är en plattform för EU-regelbevakning för företag, inte en resetjänst.
Europeiska regler frågar inte om en tjänst känns trygg, de frågar vilken klass den hör till, hur varje risk bedömdes och vilken kontroll som svarar mot den. Sidan visar de tre stegen i den ordning de används: klassen tjänsten ligger i, matrisen som gör sannolikhet och konsekvens till en nivå, och kontrollerna varje nivå utlöser.
Registret nedan är vår löpande bedömning. En risk skrivs ned innan en kontroll väljs, och en risk som sänkts står kvar med sin nya nivå i stället för att tas bort.
Granskad: 2026-08-08
Klassning
Två regelverk avgör klassen: AI-förordningen utifrån vad tjänsten gör mot en person, och dataskyddsförordningen utifrån vad behandlingen gör med rättigheterna. Båda står här, med den position vi tar under varje nivå.
| Tier | Definition | Typiska exempel | Vår position |
|---|---|---|---|
| Förbjuden användning (Artikel 5, förordning (EU) 2024/1689) | Användning som är förbjuden rakt av, för att den utnyttjar sårbarhet, poängsätter människor socialt eller läser känslor och egenskaper på sätt unionen inte accepterar. | Social poängsättning, oriktad insamling av ansiktsbilder, känsloläsning på arbetsplatsen, utnyttjande av ålder eller funktionsnedsättning. | Inte tillämpligt. Tjänsten läser publicerat företagsmaterial och tar fram affärsfynd, den poängsätter aldrig en person och härleder aldrig känslor, hälsa eller övertygelse. |
| Hög risk (Artikel 6 och bilaga III, förordning (EU) 2024/1689) | Användning inom listade områden där ett resultat påverkar tillgång till arbete, utbildning, kredit, samhällstjänster eller rättskipning, och som därför bär hela pliktuppsättningen. | Gallring av jobbansökningar, kreditbeslut, antagningsbeslut, fördelning av offentliga förmåner. | Inte tillämpligt så som tjänsten levereras. Rekrytering och kapitalmatchning ger en rangordnad vy med uträkningen synlig, och beslutet stannar hos kunden; en kund som använder resultatet som avgörande faktor tar på sig plikterna själv, vilket villkoren säger. |
| Begränsad risk (Artikel 50, förordning (EU) 2024/1689) | Användning där plikten är öppenhet: en person ska veta att hen talar med en maskin och att innehåll tagits fram av en. | Supportassistenter, genererad text och sammanfattningar, maskinskrivna förslag i en rapport. | Här ligger tjänsten. Assistenten säger att den är en tjänst och inte en person, genererad text märks som genererad, och varje tal bär källan det lästes från. |
| Minimal risk (Skäl 165, förordning (EU) 2024/1689) | Användning utan särskilda plikter utöver de allmänna reglerna, där frivilliga riktlinjer är enda extra lager. | Sortering, filtrering och rangordning av publicerat material utan verkan på rättigheter. | Täcker mätdelarna av tjänsten. Vi tillämpar ändå öppenhetsreglerna för begränsad risk på dem, för en kund ska slippa veta vilken del som tog fram en rad. |
| Hög risk för rättigheter och friheter (Artikel 35, förordning (EU) 2016/679) | Behandling som sannolikt leder till hög risk för en persons rättigheter, och som kräver en konsekvensbedömning innan den startar. | Profilering i stor skala, systematisk övervakning av offentlig plats, särskilda kategorier i omfattning. | Bedömd och dokumenterad som inte hög risk: inga särskilda kategorier, ingen profilering av enskilda, ingen övervakning, och identiteten hållen som en genererad kod i stället för ett namn. |
Matrisen
En risk får en nivå, och nivån är produkten av två bedömningar gjorda var för sig: hur sannolik den är inom tolv månader, och vad den skulle kosta personen eller kunden om den inträffade. Skalan är fast, så att två bedömningar gjorda med ett års mellanrum går att jämföra.
- Sannolikhet
- Sällsynt: inga kända fall i branschen de senaste tre åren
- Möjlig: har hänt i branschen, inte hos oss
- Sannolik: väntas minst en gång under tolv månader
- Konsekvens
- Begränsad: olägenhet, rättad samma dag
- Allvarlig: en person eller kund förlorar pengar, tid eller anseende
- Mycket allvarlig: rättigheter påverkas, eller tjänsten kan inte levereras
| Level | Rule |
|---|---|
| Låg | Accepterad och granskad i den årliga rundan. Ingen ny kontroll byggs. |
| Medel | Kräver en namngiven kontroll, med ägare och datum. Granskas varje kvartal. |
| Hög | Aktiviteten levereras inte förrän nivån sänkts. Granskas månadsvis tills det är gjort. |
Öppet riskregister
De risker vi faktiskt bär, bedömda på samma skala, var och en med den ansvariga och kontrollen som svarar mot den. En risk lämnar tabellen först när aktiviteten bakom den upphör.
| Risk | Sannolikhet | Konsekvens | Nivå | Ägare | Kontroll |
|---|---|---|---|---|---|
| En genererad rad läses som ett faktum om en namngiven person | Möjlig | Allvarlig | Medel | Produktägare | Källa per fält, genererad text märkt, saknad uppgift visad som saknad |
| En kund använder en rangordnad lista som enda grund för ett beslut om en person | Möjlig | Mycket allvarlig | Hög | Verkställande direktör | Uträkningen visad per rad, mänskligt beslut krävs i villkoren, ingen automatisk avvisning |
| Personuppgifter hamnar i en rad som bara ska hålla den genererade koden | Sällsynt | Allvarlig | Medel | Dataskyddsansvarig | Kvartalsvisa stickprov, maskning före lagring, ingen fritext sparad |
| En leverantör utanför unionen behandlar kundinnehåll | Sällsynt | Mycket allvarlig | Medel | Verkställande direktör | Drift inom unionen, leverantörslista med jurisdiktion per rad, överföring bedömd före användning |
| En källa som tjänsten läser är fel eller inaktuell | Sannolik | Begränsad | Medel | Redaktionellt ansvarig | Läsdatum på varje tal, källänk sparad, kontroll var tredje dygn |
| Driftavbrott under en kundkörning | Möjlig | Begränsad | Låg | Driftansvarig | Kö med nytt försök, ingen betalning för misslyckad körning, driftsida |
| En partnernyckel används av någon annan än partnern | Sällsynt | Allvarlig | Medel | Driftansvarig | Nyckel sparad som avtryck, byte av kunden, tak och giltighetstid per nyckel |
Riskhantering som löpande process
- Artikel 9, förordning (EU) 2024/1689
- Syfte
- En riskbedömning som skrivs en gång och arkiveras är värdelös; värdet ligger i rundan som sker oavsett om något gick fel.
- Så fungerar det
- Varje ny del av tjänsten bedöms i matrisen innan den når en kund
- Medelrisker granskas varje kvartal, höga varje månad, låga en gång om året
- En ändring som höjer en nivå öppnar bedömningen igen i stället för att noteras som ett undantag
- Registret behåller historiken, så att en sänkning kan visas och inte bara påstås
- Absolut gräns
- Ingen aktivitet på hög nivå levereras till en kund. Att sänka nivån är enda vägen, en accepterad hög risk finns inte.
- Kontrollpunkt
- Registret granskas i den takt nivån sätter; en utebliven granskning syns som ett gammalt datum.
Mänsklig översyn
- Artikel 14, förordning (EU) 2024/1689; artikel 22, förordning (EU) 2016/679
- Syfte
- Ett resultat är ett underlag för ett beslut, aldrig beslutet självt, och den som beslutar måste kunna vara oenig med det.
- Så fungerar det
- Varje rangordnat resultat visar uträkningen bakom varje rad, så en läsare ser varför den hamnade där
- Assistenten lämnar över till en människa vid juridik, betalning och identitet i stället för att svara
- Inget resultat avvisar en ansökan, stänger ett konto eller nekar en kund på egen hand
- Kunden kan exportera uträkningen och bestrida en rad utan att be oss om den
- Absolut gräns
- Inget beslut med rättslig eller på liknande sätt betydande verkan för en person tas fram av tjänsten ensam.
- Kontrollpunkt
- Överlämningsreglerna granskas vid varje ändring som rör dem; överlämningar räknas i driften.
Datastyrning och kvalitet
- Artikel 10, förordning (EU) 2024/1689; artikel 5.1 d, förordning (EU) 2016/679
- Syfte
- Ett fel tal kostar mer än ett saknat tal, därför visar tjänsten vad den läste och medger vad den inte fann.
- Så fungerar det
- Varje tal bär källan det kom från och datumet det lästes
- Ett fält som inte kunde läsas visas som saknat i stället för uppskattat
- Källor kontrolleras var tredje dygn, och en död källa ger larm i stället för att åldras tyst
- Bara publicerat material läses; inget bakom en inloggning, inget om privatliv
- Absolut gräns
- Tjänsten fyller aldrig ett hål med ett troligt värde. Saknat förblir saknat.
- Kontrollpunkt
- Källkontrollen går efter schema; fel loggas och hanteras samma dag.
Teknisk robusthet och säkerhet
- Artikel 15, förordning (EU) 2024/1689; artikel 32, förordning (EU) 2016/679
- Syfte
- En tjänst som fallerar ska fallera synligt och billigt, och ett fel får inte bli ett dataproblem.
- Så fungerar det
- Tak per användare och per dygn, så att en tung användare inte tar tjänsten från de andra
- Misslyckade körningar prövas igen enligt schema och debiteras inte kunden
- Allt som sparas är krypterat, allt på väg går över en skyddad förbindelse
- Driften övervakas löpande och ett fel larmar en namngiven ägare
- Absolut gräns
- Ett fel ger aldrig ett delvis svar presenterat som ett fullständigt.
- Kontrollpunkt
- Driftövervakning med larm; incidentrader granskas månadsvis.
Dokumentation och spårbarhet
- Artikel 12, förordning (EU) 2024/1689; artikel 5.2 och artikel 30, förordning (EU) 2016/679
- Syfte
- Kontroll som inte kan visas i efterhand är en åsikt, därför lämnar varje körning och varje åtkomst en rad efter sig.
- Så fungerar det
- Varje körning skriver en egen rad, så ett resultat kan spåras tillbaka till det som tog fram det
- Varje läsning och export skriver tid, syfte, jurisdiktion och identitetskoden bakom begäran
- Raderna håller antal, utfall och hänvisningar, aldrig texten kunden skrev
- Incidenter registreras med tid, omfattning och åtgärder medan de hanteras
- Absolut gräns
- Raderna används aldrig för att bygga en bild av enskildas beteende.
- Kontrollpunkt
- Åtkomstrader granskas månadsvis; själva granskningen registreras.
Närliggande sidor
ExploreWorldAI is operated by Valkiv Ventures AB (Reg. no. 556995-1311), Kungsgatan 8, 111 43 Stockholm, Sweden. EU-hosted, with data processing assessed against the GDPR. Contact: hello@exploreworldai.com.
Machine-readable summaries for AI agents: /llms.txt and /llms-full.txt.
