Regelverk och efterlevnad¶
Fyra EU-regelverk formar hur ett hårdvaruföretag förväntas hantera säkerhet och AI. Den här sidan säger vad vart och ett betyder när ni använder Colleag, och vad Colleag tillhandahåller så att ni kan uppfylla er del. Den är skriven för den som ska svara på säkerhetsenkäten — inte för jurister.
Var er data lagras och vem som håller nycklarna: Driftsätt och datasäkerhet.
NIS2 — i Sverige cybersäkerhetslagen, sedan januari 2026¶
Medelstora och stora bolag i viktiga sektorer — bland annat tillverkning av maskiner, fordon och elektronik — måste arbeta systematiskt med säkerhet, rapportera allvarliga incidenter inom 24 timmar och ställa krav på sina leverantörer. Är det ni, så är Colleag en av de leverantörerna.
Vad Colleag tillhandahåller: en dokumenterad incidentrutin med åtagandet att informera berörda kunder inom 24 timmar efter en konstaterad incident som rör deras data — så att er egen rapporteringsklocka hinner. Vårt säkerhetsarbete (tenant-isolering, åtkomstkontroll, loggning) är dokumenterat och kan refereras i er leverantörsbedömning.
GDPR¶
Namn i dokument och konversationer är personuppgifter, så GDPR gäller så fort ert team använder Colleag. Ni är personuppgiftsansvariga; Colleag är biträde.
Vad Colleag tillhandahåller: personuppgiftsbiträdesavtal (PUB-avtal) som del av kundavtalet, en lista över underbiträden (som Microsoft Azure och Anthropic), och incidentrapportering utan onödigt dröjsmål så att ni hinner anmäla till IMY inom er 72-timmarsfrist. Vid avslut exporteras eller raderas ert innehåll — varje dokument är en vanlig fil i ett Git-repo ni kontrollerar (se Driftsätt och datasäkerhet).
EU:s AI-förordning (AI Act)¶
Kraven beror på riskklass. Colleag tar fram utkast som en människa granskar och publicerar — mänsklig granskning är arbetssättet, inte ett tillägg — så er användning av Colleag hamnar i den lägsta klassen. Det som återstår är transparens (det ska vara tydligt att man interagerar med AI — det är det, och det står så) och AI-grundkunskap hos personalen: att veta vad kollegorna kan och inte kan. Den här manualen är en del av att uppfylla det. Kraven på själva språkmodellen ligger hos Anthropic.
Cyber Resilience Act (CRA)¶
Gäller produkter med digitala delar som säljs i EU — programvara och uppkopplad hårdvara. Tillverkaren ska bygga in säkerhet från början, hantera sårbarheter i hela livscykeln, kunna ta fram en komponentlista (SBOM) och rapportera aktivt utnyttjade sårbarheter. Rapporteringen gäller sedan september 2026; resten från december 2027.
Vad Colleag tillhandahåller: det här handlar mest om era produkter — och CRA-bevakningsmodulen finns för exakt det: SBOM-uppladdning, daglig sårbarhetskontroll mot NVD och utkast till tidiga varningar för era uppkopplade produkter. Fråga er administratör om modulen är aktiverad för er organisation.
Frågor i en enkät som den här sidan inte besvarar: fråga er Colleag-kontakt — svaret finns oftast i skriven form.