Regelefterlevnad stoppar i dag företagsaffärer minst lika ofta som teknisk passform, och köpare som inte har förberett granskningen i förväg förlorar ofta 2–3 månader mitt i processen. Mycket av den tiden går att undvika, men arbetet ligger lika mycket på dig som på leverantören. Att förbereda i förväg innebär att ha svar på 6 frågor innan din kortlista över leverantörer är klar. Säkerhetsgranskningen ska bekräfta det du redan vet, inte upptäcka det.
Fråga efter certifieringarnas omfattning, inte bara namnen
Ett certifieringsnamn säger lite utan sin omfattning. SOC 2 för en marknadsföringswebbplats är inte samma sak som SOC 2 för den inferensväg som dina kunddata färdas genom. Den första frågan är alltså vilka certifieringar leverantören har och vad var och en faktiskt omfattar.
En närliggande fälla att se upp för är ärvd säkerhet. En leverantör som kör på en stor molnplattform ärver mycket av infrastrukturens säkerhet, och vissa presenterar den ärvda säkerhetsnivån som sin egen. Be om revisionsrapporten där leverantörens egen juridiska person anges. Om det är hostingleverantören som står på certifikatet har du lärt dig något som är värt att veta tidigt.
Fråga när revisionen gjordes och vem som utförde den
Både aktualitet och oberoende spelar roll, och de brister på olika sätt. En aktuell certifiering från en revisionsbyrå utan verkligt oberoende säger mindre än en något äldre från en erkänd revisor. En gammal certifiering från en bra revisor visar att leverantören uppfyllde kraven vid en tidpunkt som kanske ligger före de AI-funktioner du köper.
Fråga efter datum och revisor samtidigt. Leverantörer som snabbt kan visa båda brukar snabbt kunna visa allt annat också, och det är en signal i sig.
Fråga specifikt om ISO 42001
Det här är frågan de flesta köpare hoppar över, främst för att standarden är så ny och ovanlig att många inte ens vet att de borde ställa den. Nu vet du!
Traditionella säkerhetscertifieringar omfattar organisationen. De bekräftar att ett företag har policyer, utbildar sin personal och hanterar behörigheter. Ingen av dem säger något om hur AI:n styrs: om hämtningen är förankrad i din kunskap, om modellen beter sig förutsägbart och om det finns en spårbarhet för de åtgärder en agent utför på ett kundkonto.
ISO 42001 är standarden för ledningssystem för AI som hanterar just detta, och en leverantör kan ha alla traditionella certifieringar utan någon oberoende bedömning av sin AI-styrning. Maven har 15 certifieringar och bedömningar, däribland ISO 42001, PCI-DSS 4.0 Level 1, SOC 2, HIPAA , och GDPR.
Fråga hur PCI DSS fungerar i ett live-röstsamtal
Den här frågan skiljer leverantörer åt snabbare än någon annan, eftersom röst gör det abstrakta konkret. I ett samtal läser kunden helt naturligt upp sitt kortnummer när hen ber om hjälp. Ingen gränssnittsdesign kan förhindra det.
PCI-DSS 4.0 Level 1 är den nivå som gäller vid transaktionsvolymer i företagsskala, och de relevanta följdfrågorna handlar om mekaniken. Sker maskeringen i realtid under samtalet eller i efterbearbetningen? Det är olika exponeringsfönster, och bara det första håller den känsliga informationen helt borta från flödet. Finns det spårbarhet för själva maskeringen? Är betalningshanteringen avskild från resten av konversationen?
En leverantör som svarar konkret har byggt sin plattform specifikt för detta.
Fråga vilka alternativ för datalagring som faktiskt finns
Fråga per region och be om detaljer, eftersom terminologin här är luddig. Regional datalagring i leverantörens moln, driftsättning i privat moln och driftsättning hos kunden är 3 olika åtaganden som ofta beskrivs med överlappande begrepp. Om ditt krav är att systemet ska köras i infrastruktur som du själv kontrollerar, säg det rakt ut och få svaret skriftligt.
Fråga om du kan göra ditt eget penetrationstest
Kombinera frågan med en fråga om hur ofta leverantören testar internt, eftersom en leverantör som gör angreppstester varje kvartal har en annan säkerhetskultur än en som bara testar när en kund kräver det.
Ribban går att klara – och att klara den tidigt lönar sig
Ett spelföretag på Fortune 500-listan hanterar mer än 330 000 interaktioner per månad med Mavens autonoma AI-agent under de villkor som gäller för reglerade branscher, det vill säga PCI-efterlevnad för köp i spelet samt hantering av AML och KYC. Den driftsättningen skalades upp i stället för att stanna av, vilket är vad som händer när djup regelefterlevnad är en tröskel plattformen byggdes för att klara, inte något som läggs till i efterhand.
Clio tog sig an sin utvärdering på samma sätt. Företaget, som utvecklar programvara för juristbranschen, bedömde 32 leverantörer, smalnade av fältet och lät sedan mer än 10 tävla mot varandra innan valet föll på Maven. Juridisk teknik innebär verkliga sekretesskrav, och så här ser det ut att uppfylla dem. Clio når nu 80 % autonom lösningsgrad och livesupporten svarar 4 gånger snabbare. Papaya Pay, som omfattas av regelverk för betalningar, nådde 90 % autonom lösningsgrad inom 3 veckor.
I inget av fallen drog compliance-granskningen ut driftsättningen till ett projekt som sträckte sig över flera kvartal.
Gör det här första veckan
De flesta utvärderingar lägger regelefterlevnaden nära slutet. Det är det som orsakar förlusten på 2–3 månader. En leverantör som inte kan uppfylla ett absolut regulatoriskt krav bör sållas bort redan första veckan, och de här 6 frågorna kostar så lite att ställa att de hör hemma redan i det första samtalet.
Det finns ytterligare ett skäl att göra det hellre förr än senare. Svaren om regelefterlevnad är ovanligt bra indikatorer på teknisk mognad, eftersom var data finns och hur systemet fungerar är samma fråga sedd från olika håll. Vaghet kring det första innebär oftast vaghet kring det andra.
De 6 frågorna i kortform finns i The AI Compliance Buyer's Checklist, som bygger på kapitlet Compliance Blind Spot i rapporten State of AI in CX 2026 .
Se det på dina egna konversationer.
Begär en kostnadsfri, personlig demo.
