Vad ska en kravspecifikation för en LLM-gateway eller AI-plattform innehålla?

Var data behandlas, vad som lagras, vem som får träna på det, underbiträden och biträdesavtal, identitet och åtkomst (SSO, SCIM, nycklar), kostnadskontroll, vilka modeller och leverantörer som tillåts, granskningsloggar och export, stöd för skyldigheterna som tillhandahållare enligt AI-förordningen, villkor för exit och SLA. Mallen täcker varje område med 43 krav och underlaget att begära.

Kan en upphandlande myndighet använda mallen i en offentlig upphandling?

Ja. Den får kopieras och redigeras fritt. Upphandlande myndigheter använder den oftast som teknisk kravbilaga i förfrågningsunderlaget och bifogar de frivilliga EU:s standardavtalsklausuler för AI (MCC-AI) till avtalet. Stäm av kraven mot era upphandlingsregler och markera vilka som är ska-krav innan ni publicerar.

Vad är EU:s standardavtalsklausuler för AI?

Mallklausuler för köp av AI-system, publicerade av Community of Practice on Public Procurement of AI på kommissionens Public Buyers Community. Uppdateringen från mars 2025 har en fullständig version för AI med hög risk och en lättare version för annan AI. De är frivilliga och är tänkta som bilaga till ett avtal, som ändå måste reglera dataskydd, ansvar och immateriella rättigheter.

Är en modelleverantör underbiträde till en AI-gateway?

Oftast ja. När en gateway skickar prompter som innehåller personuppgifter vidare till en modelleverantör behandlar leverantören uppgifterna för gatewayens räkning. Därför kräver rad 13 och 14 en lista över underbiträden som omfattar inferensleverantörer och en underrättelse innan nya läggs till.

Hur länge ska en AI-plattform spara anropsloggar?

För användning med hög risk kräver artikel 26.6 i AI-förordningen att tillhandahållare sparar loggarna under sin kontroll i minst sex månader, om inte annat följer av annan lagstiftning. Många köpare begär 12 månaders anropsposter med bara metadata och inget lagrat innehåll.

Kravspecifikation för upphandling av en LLM-gateway eller AI-plattform

Uppdaterad 9 november 2026. Får kopieras, redigeras och användas fritt i era egna upphandlingsdokument.

Ett företag eller en myndighet som köper tillgång till stora språkmodeller för sin personal och sina applikationer köper oftast en gateway: ett konto och ett API framför flera modelleverantörer. Den här mallen listar 43 krav för det köpet, grupperade i den ordning en säkerhets- och upphandlingsgranskning går igenom dem. Varje krav anger varför det spelar roll och vilket underlag ni ska begära av leverantören.

Mallen är leverantörsneutral och fungerar som kravbilaga till en anbudsförfrågan, ett förfrågningsunderlag i en offentlig upphandling eller en säkerhetsgranskning av en leverantör. För AI-specifika avtalsvillkor kan ni komplettera med de frivilliga EU:s standardavtalsklausuler för AI (MCC-AI) som publicerades på kommissionens Public Buyers Community i mars 2025.

Ladda ner mallen (.md)Kalkylblad (.csv)

CSV-filen öppnas i Excel, Google Sheets eller Numbers, med tomma kolumner för vikt, leverantörens svar och mottaget underlag.

Kraven

Varje krav är skrivet så att en leverantör kan besvara det i ett stycke och bifoga underlaget. Markera vilka som är ska-krav för er, vikta resten som bör-krav och stryk det som inte är relevant.

1. Behandlingsplats

Nr	Krav	Varför det spelar roll	Underlag att begära
1	Behandlingsregion. Leverantören kan begränsa inferensen till en region som köparen anger, till exempel EU/EES eller Europa, för hela organisationen, ett team eller en enskild API-nyckel, inklusive nya försök och reservvägar.	Varför det spelar rollGatewayer växlar mellan leverantörer vid fel. Utan en regionregel som omfattar varje försök kan en reservväg flytta en prompt till en annan jurisdiktion utan att någon märker det.	Underlag att begäraRoutningsregeln för begränsad trafik, de slutpunkter som tillåts per region med deras placering och vad som händer när ingen slutpunkt i regionen kan betjäna ett anrop.
2	Definition av region. Leverantören anger vilka länder varje region omfattar, till exempel bara EU/EES, eller även Storbritannien, Schweiz eller andra länder.	Varför det spelar rollSäljmaterial använder ofta Europa och EU som synonymer. Er bedömning av tredjelandsöverföringar beror på den exakta listan.	Underlag att begäraEn skriftlig definition per region och behandlingsplatsen för varje underbiträde i den.
3	Placering av ingång och gateway. Leverantören anger var TLS termineras, var gatewayen körs och vilket värdnamn som ska användas för regional behandling.	Varför det spelar rollEtt anrop kan betjänas av en modell i rätt region och ändå först passera ett globalt edge-nätverk.	Underlag att begäraVärdnamn per region, driftleverantör och region för lastbalanseraren och gatewayen samt ett dataflödesdiagram.
4	Placering av metadata och loggar. Leverantören anger var kontouppgifter, användningsposter, driftloggar, säkerhetskopior och e-post lagras och behandlas.	Varför det spelar rollSvar om dataresidens gäller ofta bara prompter. Metadata innehåller ändå personuppgifter som namn, e-postadresser och IP-adresser.	Underlag att begäraEn lagringsplats per datakategori, inklusive säkerhetskopior och transaktionell e-post.

2. Lagring och noll datalagring

Nr	Krav	Varför det spelar roll	Underlag att begära
5	Ingen lagring av innehåll hos leverantören. Leverantören behandlar prompter och svar bara för att betjäna anropet, eller anger exakt vilket innehåll den lagrar, var och hur länge.	Varför det spelar rollGatewayen ser varje prompt som er organisation skickar. Dess egen lagring är den första exponeringen att kontrollera.	Underlag att begäraEn beskrivning av dataflödet, loggschemat som visar vilka fält som skrivs och motsvarande klausul i biträdesavtalet.
6	Noll datalagring hos modelleverantörer. Köparen kan kräva att anrop bara går till modellslutpunkter som åtar sig att inte behålla någon kopia av innehållet, på organisations-, team- eller nyckelnivå, och lägre nivåer kan inte stänga av kravet.	Varför det spelar rollModelleverantörer sparar ofta prompter en tid för att upptäcka missbruk, om inte en överenskommelse om noll datalagring gäller för slutpunkten.	Underlag att begäraLagringsvillkor per leverantör, hur inställningen upprätthålls för varje anrop och vilka funktioner som är avstängda medan den är på.
7	Funktioner som lagrar innehåll. Leverantören listar varje funktion som lagrar innehåll (prompt caching, sparade svar, konversationstillstånd, filer, batchjobb) med lagringstid och den inställning som stänger av den.	Varför det spelar rollÅtaganden om lagring har oftast undantag för vissa funktioner. Listan visar var undantagen finns.	Underlag att begäraEn funktionslista med lagringstid per funktion och den kontroll som stänger av den.
8	Radering när avtalet upphör. Leverantören raderar eller återlämnar köparens data inom en angiven tid efter att tjänsten upphört och bekräftar det skriftligt.	Varför det spelar rollEnligt artikel 28.3 g i dataskyddsförordningen ska biträdesavtalet reglera radering eller återlämnande när tjänsterna upphör.	Underlag att begäraKlausulen i biträdesavtalet med tidsfristen, hanteringen av säkerhetskopior och ett exempel på raderingsbekräftelse.

3. Träning och användning av data

Nr	Krav	Varför det spelar roll	Underlag att begära
9	Ingen träning hos leverantören. Leverantören använder inte prompter, svar eller metadata för att träna eller förbättra modeller.	Varför det spelar rollTräning är den användning som köpare oftast utesluter, och den måste stå i avtalet för att vara bindande.	Underlag att begäraKlausulen i avtalet eller biträdesavtalet och motsvarande avsnitt i integritetspolicyn.
10	Ingen träning hos modelleverantörer. Leverantören routar köparens trafik bara till leverantörer som åtar sig att inte träna på den, och förklarar hur det upprätthålls för varje anrop.	Varför det spelar rollGatewayens eget löfte binder inte modelleverantörerna bakom den.	Underlag att begäraLeverantörsvillkor per slutpunkt, mekanismen som upprätthåller kravet och vilken trafik den omfattar.
11	Annan sekundär användning. Leverantören anger om innehåll eller metadata används för analys, benchmarking, produktförbättring eller manuell granskning, och hur man avstår.	Varför det spelar rollSekundär användning ligger utanför de instruktioner som en personuppgiftsansvarig ger ett biträde, om den inte har avtalats.	Underlag att begäraEn lista över sekundär användning, policyn för manuell granskning och inställningen för att avstå.

4. Underbiträden och biträdesavtal

Nr	Krav	Varför det spelar roll	Underlag att begära
12	Personuppgiftsbiträdesavtal. Ett biträdesavtal enligt artikel 28 i dataskyddsförordningen finns tillgängligt före undertecknande och omfattar föremål, varaktighet, instruktioner, sekretess, säkerhet, bistånd, radering och granskningar.	Varför det spelar rollArtikel 28.3 anger vad biträdesavtalet ska innehålla. En gateway behandlar personuppgifter i varje prompt som nämner en person.	Underlag att begäraTexten i biträdesavtalet, tillämplig lag och hur det undertecknas.
13	Lista över underbiträden. Leverantören publicerar varje underbiträde med syfte, vilka data det hanterar och var det finns, inklusive modell- och inferensleverantörer.	Varför det spelar rollFör en gateway är varje modelleverantör som kan betjäna er trafik ett underbiträde.	Underlag att begäraAdressen till listan och datum för senaste ändring.
14	Underrättelse om nya underbiträden. Leverantören underrättar inom en angiven tid i förväg innan ett underbiträde läggs till eller byts ut, med rätt att invända.	Varför det spelar rollEnligt artikel 28.2 ska den personuppgiftsansvarige informeras om ändringar och ges möjlighet att invända.	Underlag att begäraKlausulen i biträdesavtalet med tidsfristen och den kanal som används för underrättelser.
15	Tredjelandsöverföringar. För all behandling utanför EES anger leverantören överföringsmekanismen (beslut om adekvat skyddsnivå, standardavtalsklausuler, UK IDTA).	Varför det spelar rollÖverföringar kräver stöd i kapitel V i dataskyddsförordningen, och köparen dokumenterar sin bedömning.	Underlag att begäraBilagorna till standardavtalsklausulerna och en sammanfattning av leverantörens konsekvensbedömning för överföringar.
16	Anmälan av personuppgiftsincidenter. Leverantören anmäler personuppgiftsincidenter utan onödigt dröjsmål och inom ett angivet antal timmar.	Varför det spelar rollDen personuppgiftsansvarige har 72 timmar på sig att anmäla till tillsynsmyndigheten enligt artikel 33, så biträdets frist måste vara kortare eller lika lång.	Underlag att begäraKlausulen i biträdesavtalet, en sammanfattning av incidenthanteringen och säkerhetskontakten.

5. Identitet och åtkomst

Nr	Krav	Varför det spelar roll	Underlag att begära
17	Enkel inloggning. Inloggning med SAML 2.0 eller OpenID Connect via köparens identitetsleverantör, till exempel Microsoft Entra ID, Okta eller Google Workspace, för administrationskonsolen och för användare.	Varför det spelar rollJobbkonton håller åtkomsten knuten till anställningen, med köparens MFA och inloggningsregler.	Underlag att begäraProtokoll och identitetsleverantörer som stöds, installationsguiden och en testanslutning.
18	Tvingande SSO. Köparen kan kräva SSO för alla användare och stänga av lösenord och andra inloggningsmetoder.	Varför det spelar rollSSO som körs vid sidan av lösenord lämnar konton utanför identitetsleverantörens kontroll.	Underlag att begäraInställningen och hur den hanterar befintliga sessioner och API-nycklar.
19	Användarprovisionering. Provisionering och avprovisionering med SCIM 2.0 från identitetsleverantören, med koppling av grupper till roller eller team.	Varför det spelar rollUtan avprovisionering behåller den som slutat sin åtkomst tills någon kommer ihåg att ta bort den.	Underlag att begäraVilka SCIM-resurser som stöds (användare, grupper) och hur snabbt avprovisionering återkallar sessioner och nycklar.
20	Roller och API-nycklar. Rollbaserad åtkomst, en nyckel per person och per applikation, avgränsade nycklar och omedelbar återkallelse.	Varför det spelar rollDelade nycklar döljer vem som skickade vilket anrop och kan inte återkallas för en enskild person.	Underlag att begäraRollmatrisen och nyckelns livscykel: skapande, avgränsning, rotation och återkallelse.
21	Skrivbordsappar och kodagenter. Leverantören anger hur anställda autentiserar sig i AI-appar för skrivbordet och kodagenter (till exempel Claude Desktop, Claude Code och IDE-tillägg): inloggning med jobbkonto eller utdelade nycklar.	Varför det spelar rollDet är i de här verktygen som privata konton och kopierade nycklar dyker upp utanför upphandlingen.	Underlag att begäraInstallationsguiden och listan över verktyg som stöds.

6. Kostnadskontroll

Nr	Krav	Varför det spelar roll	Underlag att begära
22	Budgetar på de nivåer ni styr. Hårda månadsgränser per användare, per applikation och per team eller avdelning, som stoppar kostnaderna vid gränsen.	Varför det spelar rollAgenter och batchjobb kan förbruka en månadsbudget på några timmar. En gräns som bara larmar är en rapport.	Underlag att begäraVilka nivåer som stöds och vad som händer vid gränsen: stopp, larm eller överförbrukning.
23	Tak för organisationen och larm. Ett tak för hela organisationen och larm innan någon gräns nås.	Varför det spelar rollEkonomifunktionen behöver en siffra som inte kan överskridas, oavsett vad som händer under den.	Underlag att begäraInställningarna och larmkanalerna.
24	Priser och fakturering. Pris per modell eller per plan, faktureringsvaluta, fakturor med köparens företagsuppgifter och momsregistreringsnummer samt kostnadsrapporter per användare och applikation för internfakturering.	Varför det spelar rollPriset per token skiljer sig mellan modeller med flera tiopotenser, så utvärderingen behöver prisgrunden och rapporteringen.	Underlag att begäraPrislistan, en exempelfaktura och en exempelrapport över användning.

7. Modellåtkomst och tillåtelselistor

Nr	Krav	Varför det spelar roll	Underlag att begära
25	Modellkatalog. De ledande och öppna modeller som erbjuds, och vilka av dem som finns tillgängliga under varje regionregel.	Varför det spelar rollEn modell som inte finns i er region är inte tillgänglig för er när regionregeln är påslagen.	Underlag att begäraEn modellista per region och policyn för att lägga till modeller.
26	Tillåtna modeller. Administratörer väljer vilka modeller varje team, applikation eller nyckel får använda. Anrop till andra modeller avvisas.	Varför det spelar rollErt godkännande av en modell för ett användningsfall ska upprätthållas, inte bara dokumenteras.	Underlag att begäraInställningen och felmeddelandet som returneras för en modell som inte är tillåten.
27	Tillåtna leverantörer. Administratörer väljer vilka inferensleverantörer som får betjäna trafiken. Reservvägar följer listan, och nya leverantörer läggs aldrig till utan godkännande.	Varför det spelar rollEn leverantör som leverantören lägger till blir en ny plats där era data behandlas.	Underlag att begäraInställningen, hur reservvägar tillämpar den och vad som händer när leverantören lägger till en inferensleverantör.
28	Modelländringar. Leverantören meddelar i förväg när modeller fasas ut eller versioner ändras, och köparen kan låsa en version.	Varför det spelar rollEn modelländring utan förvarning påverkar kvaliteten på svaren och kan ogiltigförklara utvärderingen som gjorts för ett användningsfall.	Underlag att begäraPolicyn för utfasning och kanalen för meddelanden.
29	Transparens i routningen. Om leverantören routar automatiskt mellan modeller eller leverantörer, för kostnad eller tillgänglighet, dokumenterar den reglerna och registrerar vilken modell och leverantör som betjänade varje anrop.	Varför det spelar rollAutomatisk routning har bara värde om ni kan se vart varje anrop gick.	Underlag att begäraDokumentationen av routningen och ett exempel på en post per anrop.

8. Granskningsloggar och export

Nr	Krav	Varför det spelar roll	Underlag att begära
30	Administratörslogg. Varje ändring av användare, nycklar, budgetar och regler, med vem som gjorde den, när, och värdet före och efter.	Varför det spelar rollGranskare frågar vem som ändrade en regel och när. Utan värden före och efter kan loggen inte svara på vad som ändrades.	Underlag att begäraEtt exempel på en loggpost och lagringstiden.
31	Anropslogg. För varje anrop: tid, användare eller nyckel, modell, betjänande leverantör, regionregel, status, tokens och kostnad, utan innehåll om inte köparen väljer det, med en angiven lagringstid.	Varför det spelar rollFör användning med hög risk kräver artikel 26.6 i AI-förordningen att tillhandahållare sparar loggar under sin kontroll i minst sex månader. Anropsloggen är också underlaget för AI-inventeringen.	Underlag att begäraFältlistan, lagringstiden och en exempelexport.
32	Export. Loggar kan exporteras som CSV eller via ett API och skickas till köparens SIEM.	Varför det spelar rollPoster som köparen inte kan ta ut kan inte användas i den egna granskningen.	Underlag att begäraFormat, begränsningar i rader eller tid och API-dokumentation.

9. Skyldigheter för tillhandahållare enligt AI-förordningen

Nr	Krav	Varför det spelar roll	Underlag att begära
33	Stöd för inventering och AI-kunnighet. Leverantören ger den information som köparen behöver för sin AI-inventering och sina åtgärder för AI-kunnighet enligt artikel 4: vilka modeller som används per applikation, deras leverantörer och deras dokumenterade begränsningar.	Varför det spelar rollArtikel 4 har gällt sedan den 2 februari 2025, och en inventering är utgångspunkten för alla andra skyldigheter enligt AI-förordningen.	Underlag att begäraPoster per applikation över modell och leverantör samt länkar till modelldokumentation.
34	Användning med hög risk. Om köparen ska använda tjänsten för ett ändamål som anges i bilaga III, anger leverantören sin roll enligt AI-förordningen och godtar de relevanta klausulerna i EU:s standardavtalsklausuler för AI (MCC-AI).	Varför det spelar rollSkyldigheterna för tillhandahållare enligt bilaga III gäller från den 2 december 2027 och bygger på information som bara leverantören och modelleverantören har.	Underlag att begäraLeverantörens beskrivning av sin roll och en ifylld bilaga till MCC-AI High Risk eller Light.
35	Dokumentation om AI-modeller för allmänna ändamål. För varje sådan modell som erbjuds länkar leverantören den dokumentation som modelleverantören gör tillgänglig för leverantörer längre ned i kedjan och den offentliga sammanfattningen av träningsinnehållet.	Varför det spelar rollArtikel 53 förpliktar leverantörer av AI-modeller för allmänna ändamål att göra detta tillgängligt, och köpare arkiverar det per modell.	Underlag att begäraLänkar per modell och hämtningsdatum.
36	Transparens. Leverantören anger om utdata märks i maskinläsbart format och hur den stöder köparens skyldighet att upplysa om AI-genererat innehåll.	Varför det spelar rollTransparensskyldigheterna i artikel 50 gäller från den 2 augusti 2026.	Underlag att begäraInformation per modell om märkning och vägledning för upplysningar.

10. Exit och portabilitet

Nr	Krav	Varför det spelar roll	Underlag att begära
37	Standardgränssnitt. API:et följer ett allmänt använt gränssnitt, till exempel det OpenAI-kompatibla formatet för chat completions, så att applikationer kan flyttas utan att skrivas om.	Varför det spelar rollEtt proprietärt gränssnitt gör ett leverantörsbyte till ett mjukvaruprojekt.	Underlag att begäraAPI-referensen och de SDK:er och verktyg som fungerar med den.
38	Dataexport vid exit. Köparen kan exportera konfiguration, användare, metadata om nycklar, användning och loggar i maskinläsbart format före och efter att avtalet upphört.	Varför det spelar rollNär tjänsten är en databehandlingstjänst enligt dataförordningen (Data Act) ger kapitel VI kunden rätt att byta leverantör, och från den 12 januari 2027 får inga avgifter för byte tas ut.	Underlag att begäraExportformat, det stöd som erbjuds vid övergången och hur länge data finns kvar efter uppsägning.
39	Avtalstid och uppsägning. Avtalstid, uppsägningstid, eventuella avgifter vid uppsägning och övergångsperioden.	Varför det spelar rollLånga avtalstider och uppsägningsavgifter avgör vad ett byte kostar.	Underlag att begäraDe kommersiella villkoren och uppsägningsklausulen.

11. Support och SLA

Nr	Krav	Varför det spelar roll	Underlag att begära
40	Drifttids-SLA. Ett månatligt åtagande om tillgänglighet med servicekrediter, mätmetod och undantag.	Varför det spelar rollAI flyttar in i produktionsflöden, där driftstopp kostar pengar.	Underlag att begäraSLA-dokumentet, den offentliga statussidan och tillgängligheten de senaste 12 månaderna.
41	Reservväg vid leverantörsfel. När en modelleverantör inte är tillgänglig går anropen vidare till en annan godkänd leverantör av samma modell, inom reglerna för region och tillåtna leverantörer.	Varför det spelar rollEn reservväg som bortser från regionen eller listan bryter mot reglerna just när en incident redan pågår.	Underlag att begäraUtformningen av reservvägarna och antalet leverantörer per modell under varje regionregel.
42	Support och incidentkommunikation. Supportkanaler, svarstider per allvarlighetsgrad, språk och hur incidenter kommuniceras.	Varför det spelar rollKöparens egen incidenthantering beror på leverantörens.	Underlag att begäraSupportpolicyn, adressen till statussidan och nyliga incidentrapporter.
43	Säkerhetsdokumentation. En säkerhetsöversikt, ett ifyllt säkerhetsformulär och de granskningsrapporter eller certifieringar som leverantören och dess driftleverantörer har.	Varför det spelar rollDet är detta som köparens säkerhetsfunktion granskar före godkännande. Att begära det med anbudet sparar en omgång.	Underlag att begäraSäkerhetssidan, ett ifyllt formulär som det öppna säkerhetsformuläret för LLM-gatewayer och eventuella rapporter.

Ladda ner mallen (.md)Kalkylblad (.csv)

Så svarar Standard Compute

Standard Compute är en europeisk AI-gateway: ett företagskonto och ett API för Claude, GPT, Gemini och öppna modeller, drivet av Standard Compute AS i Oslo. Här är våra svar på kraven ovan, med samma formuleringar som på vår säkerhetssida och i vårt biträdesavtal. Siffrorna hänvisar till raderna i mallen.

Nr	Status	Vårt svar
Nr 1	Tillgängligt, aktiveras	Sätt en Europa-regel för företaget, ett team eller en enskild nyckel, så betjänas varje anrop, även nya försök och reservvägar, bara av godkända europeiska inferensslutpunkter. Kan ingen europeisk slutpunkt betjäna anropet avvisas det innan prompten skickas.
Nr 2	Tillgängligt	En Europa-regel släpper bara in de godkända europeiska inferensslutpunkter som står på vår lista över underbiträden, var och en med sin behandlingsplats.
Nr 3	Tillgängligt	Vår EU-gateway på eu.stdcmpt.com terminerar TLS och körs i Finland, och era kontouppgifter lagras i Frankfurt.
Nr 4	Tillgängligt	Era konto- och användningsuppgifter lagras i Frankfurt i Tyskland. Anropsposterna innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar. Varje underbiträde för plattformen står på listan med sin plats.
Nr 5	Tillgängligt	Vi behandlar era prompter i minnet för att betjäna varje anrop och skriver dem aldrig till lagring eller loggar.
Nr 6	Tillgängligt, aktiveras	Slå på noll datalagring för företaget, ett team eller en nyckel, så routas varje anrop bara till inferensslutpunkter som åtar sig att inte behålla någon kopia av era data. Team och nycklar ärver kravet och kan aldrig stänga av det.
Nr 8	Tillgängligt	Biträdesavtalet anger att alla övriga personuppgifter om kunden raderas eller återlämnas inom 30 dagar efter att avtalet upphört (avsnitt 10).
Nr 9, 10	Tillgängligt	Standard Compute tränar aldrig på era prompter eller svar. Med en regionregel eller noll datalagring påslagen går varje anrop bara till leverantörer som åtar sig att inte träna på det.
Nr 12, 16	Tillgängligt	Signera vårt personuppgiftsbiträdesavtal i instrumentpanelen på några minuter. Det förpliktar oss till ingen träning på era data, ingen lagring av ert innehåll och anmälan av incidenter inom 72 timmar. Avtalet lyder under norsk rätt.
Nr 13, 14	Tillgängligt	Vi publicerar varje underbiträde med syfte, data och plats, och meddelar er 14 dagar innan vi lägger till ett nytt.
Nr 15	Tillgängligt	Överföringar från EES eller Storbritannien till ett land utan beslut om adekvat skyddsnivå regleras av EU:s standardavtalsklausuler och, för data från Storbritannien, UK IDTA (biträdesavtalet avsnitt 6).
Nr 17	Tillgängligt	Anslut Microsoft Entra ID eller en annan SAML-identitetsleverantör, så loggar era medarbetare in i Standard Compute med sitt jobbkonto. Alla på er verifierade domän ansluts automatiskt till företaget.
Nr 18	Delvis	Inloggning med SAML finns för alla företag med SSO. Inloggning med lösenord finns kvar vid sidan av, så SSO är inte den enda vägen in.
Nr 19, 21	Tillgängligt	Anställda loggar in i Claude Desktop och Claude Code med sitt Microsoft-jobbkonto, via vår EU-gateway, så det finns inga API-nycklar att dela ut. Åtkomsten följer era Microsoft Entra-grupper genom SCIM-provisionering.
Nr 20	Tillgängligt	Dela in företaget i team, bjud in kollegor via e-post och ge varje person och varje app en egen nyckel, allt under ett företagskonto. Rollerna är administratör och medlem.
Nr 22, 23	Delvis	Varje person och varje app får en fast månadsbudget som aldrig överskrids, och ni kan sätta utgiftstak per nyckel och för hela företaget. Det finns ingen separat budget per team: team styrs genom budgetarna för deras personer och appar.
Nr 24	Tillgängligt	Fasta månadsplaner per person eller app, utan överraskningar per token, och Stripe-fakturor med ert företagsnamn och momsregistreringsnummer. Priserna anges i amerikanska dollar.
Nr 25	Tillgängligt	Kör ledande öppna modeller, bland annat GLM, DeepSeek, MiniMax och Kimi, tillsammans med Claude, GPT och Gemini via ett API. GLM, DeepSeek och MiniMax betjänas också av europeiska leverantörer för arbetsytor med Europa-regel.
Nr 26	Tillgängligt	Bestäm vilka modeller varje nyckel får använda, så att varje app och varje teammedlem får exakt de modeller ni godkänner.
Nr 27	Tillgängligt	Välj exakt vilka inferensleverantörer som får behandla era data, för hela företaget, ett team eller en enskild nyckel. Lägre nivåer kan bara skärpa reglerna, nya leverantörer läggs aldrig till utan en administratörs godkännande och reservvägar kan aldrig gå förbi er lista.
Nr 29	Tillgängligt	Varje steg går till den billigaste modell som klarar det och den billigaste leverantör som är snabb nog att betjäna det, och anropsposten visar modellen och leverantören som betjänade det.
Nr 30, 31, 32	Tillgängligt	Varje administratörsändring registreras med värdet före och efter, och ni kan exportera en post för varje anrop som visar modellen, leverantören som betjänade det och regionregeln som gällde, sparad i 12 månader. Exporten sker som CSV.
Nr 33	Tillgängligt	En nyckel per person och per app, de modeller varje nyckel får använda, och modell och betjänande leverantör för varje anrop: de poster som vår checklista för tillhandahållare enligt AI-förordningen efterfrågar.
Nr 37	Tillgängligt	Ett OpenAI-kompatibelt API (chat completions-formatet) för alla modeller, beskrivet i API-referensen.
Nr 40, 41	Tillgängligt	Om en leverantör går ner går anropet automatiskt vidare till en annan godkänd leverantör av samma modell, utan att lämna era regler för region och leverantörer. Enterprise omfattar ett månatligt drifttids-SLA på 99,9 % med servicekrediter. Aktuell status är offentlig på /status.
Nr 43	Tillgängligt	Vår säkerhetssida, vårt ifyllda säkerhetsformulär, listan över underbiträden och biträdesavtalet är offentliga.

Rader som inte finns med besvarar ni i anbudet tillsammans med ert kontaktteam hos oss. Mallen ovan är leverantörsneutral: använd den med vilken leverantör som helst.

Skapa ett företagskonto

Frågor

Vad ska en kravspecifikation för en LLM-gateway eller AI-plattform innehålla?: Var data behandlas, vad som lagras, vem som får träna på det, underbiträden och biträdesavtal, identitet och åtkomst (SSO, SCIM, nycklar), kostnadskontroll, vilka modeller och leverantörer som tillåts, granskningsloggar och export, stöd för skyldigheterna som tillhandahållare enligt AI-förordningen, villkor för exit och SLA. Mallen täcker varje område med 43 krav och underlaget att begära.
Kan en upphandlande myndighet använda mallen i en offentlig upphandling?: Ja. Den får kopieras och redigeras fritt. Upphandlande myndigheter använder den oftast som teknisk kravbilaga i förfrågningsunderlaget och bifogar de frivilliga EU:s standardavtalsklausuler för AI (MCC-AI) till avtalet. Stäm av kraven mot era upphandlingsregler och markera vilka som är ska-krav innan ni publicerar.
Vad är EU:s standardavtalsklausuler för AI?: Mallklausuler för köp av AI-system, publicerade av Community of Practice on Public Procurement of AI på kommissionens Public Buyers Community. Uppdateringen från mars 2025 har en fullständig version för AI med hög risk och en lättare version för annan AI. De är frivilliga och är tänkta som bilaga till ett avtal, som ändå måste reglera dataskydd, ansvar och immateriella rättigheter.
Är en modelleverantör underbiträde till en AI-gateway?: Oftast ja. När en gateway skickar prompter som innehåller personuppgifter vidare till en modelleverantör behandlar leverantören uppgifterna för gatewayens räkning. Därför kräver rad 13 och 14 en lista över underbiträden som omfattar inferensleverantörer och en underrättelse innan nya läggs till.
Hur länge ska en AI-plattform spara anropsloggar?: För användning med hög risk kräver artikel 26.6 i AI-förordningen att tillhandahållare sparar loggarna under sin kontroll i minst sex månader, om inte annat följer av annan lagstiftning. Många köpare begär 12 månaders anropsposter med bara metadata och inget lagrat innehåll.

Källor

Besvara hela mallen med en leverantör: en europeisk gateway till ledande och öppna modeller, med kontrollerna samlade på ett företagskonto.