Datasuveränitet och AI:n i ert QMS

En kvalitetschef vill ha en sammanfattning av en lång avvikelserapport före morgonmötet, klistrar in den i en offentlig chattbot och har sammanfattningen tio sekunder senare. Rapporten nämnde en kund, en batch och två kollegor. Vart den tog vägen, vilket lands lag som nu gäller för den, och vem som sparar den, var det ingen som frågade om. AI i ett kvalitetsledningssystem är användbar för precis den sortens jobb: att sammanfatta, hitta och räkna poster som folk förr gick igenom för hand. Frågan som är värd att reda ut innan ni slår på den handlar om datasuveränitet: vart orden tar vägen, och vems regler som gäller när de väl är där.

Det ett QMS rymmer som inte bör resa#

Kvalitetsposter hör till de känsligaste dokument ett företag har, och de är fulla av de detaljer myndigheterna bryr sig om.

• Reklamationer nämner kunder och produkter, och ofta den person som klagade.
• Avvikelser, non conformances och CAPA:er nämner batcher, leverantörer och de människor som hittade och löste problemet.
• Utbildningsposter är medarbetardata: vem som har läst vad, när, och vem som är försenad.
• SOP:er och arbetsinstruktioner beskriver hur ni tillverkar och kontrollerar er produkt, vilket är den kunskap era konkurrenter helst skulle läsa.
• Revisionsfynd är det första en inspektör läser.

Enligt GDPR är namnen i de posterna personuppgifter, med regler för vem som får behandla dem och för överföringar utanför EU och EES. Enligt era kundavtal är resten oftast konfidentiellt. En AI-assistent som läser de posterna för att besvara en fråga behandlar det innehållet, var den än körs.

Vart orden tar vägen#

Varje AI-assistent fungerar på samma sätt under ytan: er fråga, och det innehåll den läser för att besvara den, skickas till en modell. Det som skiljer är var modellen körs och på vems villkor. Tre frågor avgör det mesta.

1. Var är tjänsten hostad, och i vilken region hanteras förfrågningarna? En europeisk leverantör, eller en molnregion ni själva väljer, håller innehållet under EU-rätt. En tjänst som drivs från USA drar in överföringsreglerna.
2. Tränar leverantören på ert innehåll? Svaret bör vara ett rakt nej, skriftligt. M‑Files uppger till exempel att de inte använder era dokument, tillhörande metadata eller frågor för att träna sin egen assistent, Aino.
3. Vem kan se loggarna, och hur länge sparas frågor och svar? En sammanfattning av en avvikelserapport är en kopia av avvikelserapporten.

Kan en leverantör inte besvara de tre frågorna på en sida är AI:n inte redo för kvalitetsposter.

Suveränitet handlar om vems lag som når fram till data#

Datasuveränitet betyder att data lyder under lagen där de lagras och behandlas, och under den lag som binder det företag som behandlar dem. För kvalitetsposter spelar båda halvorna roll. Den amerikanska CLOUD Act från 2018 låter amerikanska myndigheter kräva att en leverantör under amerikansk jurisdiktion lämnar ut data den har, var i världen de än lagras. Ett europeiskt datacenter som drivs av ett amerikanskt bolag svarar mot båda regelverken.

Överföringar av personuppgifter från EU till USA vilar på EU-US Data Privacy Framework, antaget 2023. Dess två föregångare, Safe Harbour och Privacy Shield, underkändes av EU-domstolen 2015 och 2020, så ett noggrant företag planerar för att den rättsliga grunden kan ändras igen i stället för att bygga på den. De två alternativ som inte beror på att ett ramverk håller är en leverantör som enbart lyder under EU-jurisdiktion, och era egna servrar.

Suveränitet har också en praktisk sida: att kunna gå. Om AI:n är en tjänst ni inte kan byta ut är era kvalitetsposter bundna till den leverantörens villkor, priser och jurisdiktion så länge ni använder den. En assistent som kan köras hos en europeisk leverantör i dag och på er egen hårdvara nästa år, utan att folk behöver arbeta annorlunda, håller beslutet hos er.

De europeiska alternativen#

Det finns tre ställen att köra modellen på, och vart och ett är ett riktigt val snarare än en kompromiss.

En europeisk leverantör. Scaleway är en europeisk AI-leverantör med drift i EU. Innehållet stannar under EU-jurisdiktion, och de kapabla modeller som finns där klarar en QMS-assistents vardagsjobb bra: sammanfatta en rutin, jämföra två versioner, hitta CAPA:erna bakom en non conformance och räkna dem per steg.

En hyperscaler i en europeisk region. Azure AI Foundry låter er köra modeller i en region ni själva väljer. Er IT-avdelning känner redan avtalen och kontrollerna, och dataregionen är en inställning i stället för en förhandling. Leverantörens hemjurisdiktion gäller fortfarande, och det är den avvägning som ska skrivas ner.

Era egna servrar. En modell på er egen hårdvara betyder att innehållet aldrig lämnar företaget, och att ingen främmande lag når det via en leverantör. Mindre öppna modeller är i dag bra nog för det mesta av det en QMS-assistent gör, och det är alternativet för organisationer vars kunder eller myndigheter frågar exakt var deras poster behandlas. Det kräver mer av er IT-avdelning, och svaren blir inte bättre än den modell ni väljer.

Det AI-förordningen lägger till#

EU:s AI-förordning trädde i kraft den 1 augusti 2024 och började tillämpas generellt den 2 augusti 2026, med vissa delar som ännu är på väg. Två delar gäller redan för varje företag som använder AI i arbetet: förbudet mot vissa AI-metoder och skyldigheten att säkerställa AI-kunnighet hos personalen, båda i kraft sedan den 2 februari 2025, och skyldigheterna för AI-modeller för allmänna ändamål, i kraft sedan den 2 augusti 2025. Reglerna för högrisksystem på känsliga områden följer i december 2027, och för AI i reglerade produkter i augusti 2028.

Att sammanfatta en rutin eller räkna öppna CAPA:er är inte en högriskanvändning, så för de flesta kvalitetsteam är förordningen en dokumentations- och medvetenhetsplikt snarare än en ombyggnad. Två vanor täcker en stor del: vet vilka AI-tjänster era medarbetare använder för kvalitetsposter, och se till att de som använder dem vet vad verktygen gör och inte gör. Era egna rådgivare kan säga var er organisation står.

Så hanterar VisualQMS det#

AI-assistenten vi levererar tillsammans med VisualQMS sitter inne i M‑Files, bredvid den post ni har öppen, och ni väljer var den körs: Scaleway, OpenAI, Azure AI Foundry eller en modell på era egna servrar. Frågorna, och det innehåll assistenten läser för att besvara dem, går till den tjänsten och ingen annanstans, och valet kan ändras senare utan att folk behöver arbeta annorlunda.

Tre saker gäller vilken tjänst ni än väljer. Varje sökning, läsning och räkning körs som den som frågar, så en post personen inte får öppna når aldrig svaret. Filer en användare bifogar från sin egen dator går till samma tjänst, och bilagor kan stängas av. Om ni slår på sökning efter innebörd indexeras de dokument ni väljer i förväg, och indexet kan ligga i ett lager ni själva driver.

Lägg M‑Files och modellen på era egna servrar, med sökindexet och den tjänst som bygger det bredvid, så lämnar era kvalitetsposter aldrig företaget. Se AI i VisualQMS för vad assistenten gör och vad varje alternativ kräver.

Sex frågor för er egen uppsättning#

• Vilka AI-tjänster använder folk redan för kvalitetsposter, godkända eller inte?
• Var är var och en hostad, och under vilket lands lag verkar leverantören?
• Tränar leverantören på ert innehåll, och hur länge sparas frågor och svar?
• Respekterar assistenten behörigheterna på varje post, eller ser den allt?
• Vad skulle en kundrevision eller en inspektion fråga om var posterna behandlas?
• Kan ni flytta modellen till en annan leverantör eller in i huset senare utan att folk behöver arbeta annorlunda?

Boka en demo, så visar vi assistenten köra på en europeisk tjänst och går igenom vad era egna servrar skulle kräva. Eller skriv till sales@solutionmanagement.eu med er datapolicy till hands, så svarar vi samma arbetsdag.