OBJAVLJENO 01.10.2026

Nakup AI-orodja za podjetje: katera dokazila morate zahtevati od ponudnika?

Praktičen kontrolni seznam za vodstva, nabavo, informatiko in kadrovske službe, ki kupujejo AI-orodje. Pojasnjuje, katera dokazila zmanjšajo pravna, varnostna in operativna tveganja pred podpisom pogodbe.

AI-ilustracija

Pred nakupom AI-orodja zahtevajte dokazila o namenu, podatkih, varnosti, nadzoru, incidentih in izstopu; prodajna predstavitev ne zadostuje za skrbno odločitev.

Stanje na dan 26.09.2026: posamezne obveznosti so odvisne od vloge podjetja in tveganja sistema; spodnji seznam je okvir skrbnosti, ne univerzalni zakonski obrazec.

Uvod

AI-orodje je mogoče kupiti v nekaj minutah, posledice pa lahko ostanejo leta. Podjetje pogosto šele po uvedbi ugotovi, da se podatki uporabljajo za učenje, da izvoz ni mogoč ali da ponudnik ne zna pojasniti avtomatskega rezultata. Dobra nabava zato začne pri dokazilih, ne pri predstavitvi funkcij.

Zakaj običajni varnostni vprašalnik ni dovolj?

AI-orodje poleg običajnih informacijskih tveganj prinaša vprašanja o modelu, učnih podatkih, izhodih, človeškem nadzoru in spremembah delovanja. Klasični vprašalnik o strežnikih in šifriranju teh vprašanj pogosto ne pokrije.

Sistem lahko tehnično deluje brez izpada, vendar daje diskriminatorne, netočne ali nepojasnljive rezultate. Lahko tudi spremeni model brez jasnega obvestila, s čimer se spremeni tveganje poslovnega procesa.

Podjetje mora zato povezati nabavo, informacijsko varnost, varstvo podatkov, pravno presojo in dejanskega lastnika procesa. En sam oddelek redko vidi celotno sliko.

AI-ilustracija

Preverite pogodbena določila

Katera osnovna dokazila mora predložiti ponudnik?

Ponudnik mora jasno opisati namen sistema, njegove omejitve, predvidene uporabnike in način delovanja. Podjetje potrebuje dovolj informacij, da ugotovi svojo vlogo in morebitno razvrstitev po AI Act.

Zahtevati je smiselno:

• tehnični in funkcionalni opis sistema;
• navodila za uporabo in omejitve;
• opis vhodnih podatkov in izhodov;
• seznam podizvajalcev in lokacij obdelave;
• varnostno dokumentacijo ter postopek ob incidentu;
• informacije o testiranju natančnosti in robustnosti;
• način človeškega nadzora in možnost razveljavitve rezultata;
• možnosti izvoza podatkov, dnevnikov in nastavitev;
• pravila o spremembah modela in obveščanju.

Dokumenti morajo opisovati kupljeno različico in namen uporabe, ne le splošno platformo.

Kako preveriti, kaj se dogaja s podatki podjetja?

Podjetje mora poznati celoten podatkovni tok od vnosa do izbrisa. Posebej naj preveri, ali se pozivi, dokumenti, posnetki ali rezultati uporabljajo za učenje modela, analitiko ponudnika ali druge sekundarne namene.

Vprašanja naj zajamejo pravno podlago, kategorije podatkov, rok hrambe, lokacijo, prenose v tretje države, podizvajalce, varnostne kopije in način uveljavljanja pravic posameznikov. Funkcija »izbriši« v uporabniškem vmesniku ne zagotavlja nujno takojšnjega izbrisa iz vseh sistemov.

Če bo orodje obdelovalo podatke zaposlenih, kandidatov ali strank, mora podjetje preveriti tudi GDPR, pogodbeno ureditev obdelave in potrebo po oceni učinka. Zaupni poslovni podatki potrebujejo ločeno presojo.

Kako oceniti kakovost, omejitve in človeški nadzor?

Ponudnik mora dokazljivo pojasniti, za katere naloge je sistem testiran in kje so njegove meje. Splošna navedba, da je model »zelo natančen«, brez merila, vzorca in konteksta, nima velike vrednosti.

Podjetje naj zahteva podatke o napakah, lažno pozitivnih in lažno negativnih rezultatih, znanih omejitvah ter različni uspešnosti pri relevantnih skupinah uporabnikov. Pri generativnem AI mora razumeti tveganje izmišljanja informacij in način preverjanja virov.

Človeški nadzor ne sme biti zgolj podpis pod avtomatskim rezultatom. Oseba mora imeti čas, znanje, dostop do razlogov in dejansko pooblastilo, da rezultat zavrne ali spremeni.

AI-ilustracija

Zaščitite podatke v AI-orodjih

Katera dokazila so pomembna za varnost in incidente?

Podjetje potrebuje dokazila o upravljanju ranljivosti, dostopih, šifriranju, dnevnikih, varnostnih testih in odzivu na incident. Pomembno je tudi, kako ponudnik obravnava napade na model, zlonamerne vnose in nenamerno razkritje podatkov skozi izhod.

Pogodba naj določi čas obvestila, vsebino poročila, kontaktno osebo, pomoč pri omejevanju škode ter dostop do relevantnih dnevnikov. Ponudnik mora razkriti tudi, kateri podizvajalec je odgovoren za posamezen del storitve.

Certifikat je lahko koristen dokaz, ni pa nadomestilo za presojo konkretne uporabe. Podjetje naj preveri obseg certifikata in ali zajema storitev, ki jo dejansko kupuje.

Kaj mora podjetje vedeti o spremembah modela?

Podjetje mora vedeti, ali lahko ponudnik model, podatkovne vire ali ključne funkcije spremeni brez soglasja. Pri AI lahko posodobitev pomembno vpliva na rezultate, razvrstitev tveganja in že izvedena testiranja.

Zahtevati je smiselno obvestilo pred bistveno spremembo, opis vpliva, možnost ponovnega testiranja ter pravico do zavrnitve ali izstopa. Določiti je treba tudi, katera različica modela je uporabljena pri posameznem rezultatu in ali je mogoče to pozneje dokazati.

Brez takšne sledljivosti je težko pojasniti, zakaj je sistem isti primer januarja ocenil drugače kot septembra.

Kako preveriti možnost izstopa iz storitve?

Podjetje mora pred nakupom preveriti, kako bo odšlo. Potrebuje izvoz vhodnih podatkov, rezultatov, dnevnikov, nastavitev in drugih poslovno pomembnih zapisov v uporabni obliki.

Ponudnik naj opiše rok in ceno pomoči pri prehodu, format izvoza, brisanje po prenehanju ter obravnavo varnostnih kopij. Če poslovni proces uporablja ponudnikove lastniške profile ali vdelave, mora podjetje vedeti, ali jih je mogoče prenesti ali ponovno zgraditi.

Najcenejša naročnina je lahko draga, če je menjava praktično nemogoča. Izstopni preizkus je zato smiseln že v pilotni fazi.

Kdo mora v podjetju potrditi nakup?

Nakup naj potrdi skupina, ki vključuje poslovnega lastnika, informatiko, varnost, pravno funkcijo in varstvo osebnih podatkov, kadar je relevantno. Pri uporabi za zaposlene je pomembna tudi kadrovska služba in po potrebi predstavniki zaposlenih.

Odločitev mora določiti dovoljen namen, prepovedane uporabe, odgovorno osebo, merila uspeha, datum ponovnega pregleda in postopek ob incidentu. Orodje, ki ga nihče ne upravlja, hitro postane neviden del kritičnega procesa.

Pilot naj uporablja omejene podatke, jasna merila in možnost ustavitve. Uspešna demonstracija ni enaka dokazani primernosti za produkcijsko uporabo.

Pomembno: Evropske modelne AI-klavzule so koristno izhodišče, zlasti pri javnem naročanju, vendar niso popolna pogodba za vsako zasebno podjetje.

DOGOVORITE SE ZA POSVET