Flex Applications AI-policy – EU AI Act

Innehåll

• Syftet med denna policy
• Dina rättigheter
• Vilka uppgifter behandlar vi i våra AI-funktioner, hur behandlar vi dem och varför?
• Säkerhet och integritet
• Överföring av data
• Hur kontaktar du oss? 
• Ändringar 

Syftet med denna policy

Syftet med denna policy är att:

• förklara hur våra AI-funktioner är tänkta att användas,

• beskriva hur vi arbetar för att uppfylla relevanta krav i AI Act,

• vara transparenta kring hur AI-funktionerna fungerar, deras begränsningar samt vilka skyddsåtgärder som finns.

Dina rättigheter

När du använder våra AI-funktioner ska det vara tydligt att du interagerar med AI. Du ska också kunna få stöd om något blir fel eller oklart.

I praktiken innebär det att du kan:

• få information om när en funktion använder AI och vad den är avsedd för,

• få vägledning om hur resultat ska tolkas och när du bör verifiera,

• kontakta oss om du vill rapportera problem, få hjälp eller ställa frågor.

Om en AI-funktion i framtiden kan föreslå eller initiera åtgärder i Flex HRM ska det finnas tydlig mänsklig kontroll innan något verkställs.

Vilka uppgifter behandlar vi i våra AI-funktioner, hur behandlar vi dem och varför?

 

Flexie (chattbot)

Flexie är en AI-assistent för användare av Flex HRM. Den ger svar och vägledning kring användning, konfiguration och felsökning av Flex HRM och kan använda fördefinierade verktyg för att hämta information eller utföra begränsade uppgifter som initieras av användaren.

Aktivitet:
Besvara frågor, ge vägledning och hjälpa användare med utvalda uppgifter i Flex HRM Payroll, Time, Plan, Employee, Pay Equity Compass och Travel via chatt.

Syfte:
Effektivisera support och självservice för användare och hjälpa dem att snabbare hitta rätt arbetsflöde och information.

Så fungerar Flexie (övergripande):
Flexie använder en RAG-arkitektur (Retrieval-Augmented Generation). Det innebär att Flexie hämtar relevant information från godkända källor, såsom manualer, guider och versionsinformation, och genererar svar baserat på dessa dokument.

Utöver godkänt källmaterial kan Flexie använda fördefinierade verktyg för att hämta eller uppdatera information i Flex HRM. Varje verktyg avgör vilka åtgärder som kan utföras, vilken information som kan nås och vilken information som returneras till Flexie.

Flexie har inte obegränsad åtkomst till den underliggande databasen och kan inte självständigt utöka ett verktygs omfattning baserat på hur en användare formulerar en begäran. Åtkomsten begränsas av den aktuella kundkontexten, den inloggade användarens befintliga behörigheter och den fördefinierade omfattningen för respektive verktyg.

Tillgängliga verktyg kan variera beroende på kundens licenser och konfiguration.

AI-typ:
Generativ AI (LLM) med RAG och fördefinierade verktyg.

Risknivå och transparens:
Flexie är en chatbot och AI-assistent där transparens är centralt.

Enligt vår interna bedömning enligt EU AI Act klassificeras Flexie som begränsad risk (limited risk) utifrån funktionens avsedda användning.

• Flexie är tydligt märkt som en AI-assistent.
• Användarna informeras om att svaren är AI-genererade och bör verifieras.

Mänsklig kontroll (human-in-the-loop):
Flexie fattar inte självständiga beslut om individer och genomför inte ändringar utan användarens godkännande.

• Åtgärder som skapar eller ändrar information kräver uttrycklig bekräftelse från användaren innan de genomförs.
• Flexie utför inte åtgärder självständigt i bakgrunden.
• All åtkomst och alla åtgärder begränsas av den inloggade användarens befintliga behörigheter och den fördefinierade omfattningen för det aktuella verktyget.

Data som kan behandlas:

• Text och annat innehåll som användaren tillhandahåller som en del av konversationen.
• Information som returneras av de fördefinierade verktyg som används för den aktuella begäran. För verktyg som hämtar anställningsrelaterade personuppgifter är denna information begränsad till den inloggade användarens egen anställning och begränsas ytterligare av användarens behörigheter.
• Beroende på verktyget och användarens begäran kan den information som behandlas innehålla personuppgifter och i vissa fall särskilda kategorier av personuppgifter, såsom frånvaroorsaker.

Information som returneras av dessa verktyg behandlas av Flexie endast för att besvara användarens begäran eller utföra en åtgärd som användaren uttryckligen har begärt. Flexie använder inte denna information för att fatta beslut om individer.

Användare bör inte lämna fler personuppgifter i fritextfält eller bilagor än vad som är nödvändigt för uppgiften. Information som användare anger eller bifogar kan behandlas som en del av konversationen, inklusive information som rör andra individer.

Datalagring och kundseparering:

• Flexie körs i Microsoft Azure (Microsoft Foundry) inom EU.
• Kunddata separeras logiskt med hjälp av Tenant ID.
• Åtkomst till information begränsas till den aktuella kundkontexten, den inloggade användarens behörigheter och den fördefinierade omfattningen för det aktuella verktyget.

Konfidentialitet och modellträning:
Kunddata, promptar och information som returneras av Flexies verktyg används inte för att träna eller förbättra de underliggande basmodellerna.

Microsoft använder säkerhetsfilter och så kallad abuse monitoring för att upptäcka potentiellt missbruk av AI-tjänsten. Innehåll som flaggas av dessa säkerhetsfunktioner kan i vissa fall lagras separat för säkerhetsgranskning av särskilt behörig personal hos Microsoft. Denna hantering är separat från modellträning och innehållet används inte för att träna eller förbättra de underliggande basmodellerna.

Riskhantering och testning:

• En intern AI-bedömning har genomförts.
• Interna bedömningar enligt EU AI Act har genomförts.
• Ett penetrationstest har genomförts inom Visma.

Support och dokumentation:
Support för Flexie följer den ordinarie supportprocessen för Flex HRM. Dokumentation och användarsupport tillhandahålls via kunskapsbanken.

 

 

SmartScan (kvitto- och dokumenttolkning)

SmartScan är en AI-baserad tjänst som automatiskt extraherar och tolkar information från kvittobilder och andra dokument kopplade till utlägg och reseräkningar.

Aktivitet:
Automatiskt läsa och föreslå relevanta uppgifter (t.ex. datum, belopp och leverantör) baserat på kvittobilder/dokument.

Ändamål:
Effektivisera utläggshantering genom att minska manuell registrering, reducera fel och spara tid.

Så fungerar SmartScan (övergripande):
SmartScan analyserar uppladdade kvittobilder/dokument och returnerar strukturerade fält som förslag. Användaren kan kontrollera och vid behov korrigera uppgifterna innan rapporten skickas in.

AI-typ:
AI-baserad dokumentanalys (bild- och texttolkning/OCR) samt maskininlärning.

Risknivå och transparens:
SmartScan är utformad som en stödjande funktion.

Enligt vår interna bedömning enligt EU AI Act klassificeras SmartScan som minimal risk utifrån funktionens avsedda användning.

• SmartScan ska vara tydligt kommunicerad som en AI-funktion som gör automatiska tolkningar.
• Extraherade värden ska betraktas som förslag och kan behöva verifieras/korrigeras.
• Funktionen ska inte ersätta användarens kontroll av underlag.

Riskarbete och testning:

• Intern AI-assessment har genomförts.
• Intern EU AI Act-assessment har genomförts.

Mänsklig kontroll (human-in-the-loop):
Användaren (och vid behov attestant) ansvarar för att granska och korrigera uppgifter innan de sparas eller skickas vidare i processen.

Uppgifter som kan behandlas:

• Kvittobilder/dokument som användaren laddar upp.
• Utläggs- och reserelaterade uppgifter som extraheras eller kompletteras.

Vi rekommenderar att användare undviker att ladda upp dokument som innehåller känsliga personuppgifter om det inte uttryckligen krävs för uppgiften.

Dataplacering och underleverantörer:
Tjänsten SmartScan driftas inom EU/EES.

Mer information om tjänstens hosting, underbiträden och säkerhetsarbete finns i Visma Trust Centre – ML Assets

Konfidentialitet och modellträning:
Kundernas kvittobilder, dokument och tolkningsresultat används inte för modellträning i Flex HRM:s användning av SmartScan.

Flex HRM använder inte SmartScans feedback-funktionalitet, som annars kan användas för att skicka tillbaka information som underlag för fortsatt modellträning.

Lagring och radering:
Kunddata lagras under en begränsad tid och raderas automatiskt enligt tjänstens raderingspolicy (för närvarande 365 dagar från mottagande). Radering kan också initieras tidigare när det behövs.

Support och dokumentation:
Support för SmartScan följer ordinarie Flex HRM support.

SmartDetect (avvikelseidentifiering i lön)

SmartDetect är en funktion i Flex HRM Payroll som hjälper löneadministratörer att upptäcka avvikelser i löneunderlag och utbetalningar. Funktionen bygger på den underliggande tjänsten PayrollDetect (Visma Resolve).

Aktivitet:
Flaggar avvikande löneposter och visar förklaringar/indikatorer som stöd för granskning innan lönekörning går till betalning.

Ändamål:
Minska risken för felaktiga utbetalningar, effektivisera kontrollarbetet och stärka kvaliteten i löneprocessen.

Så fungerar SmartDetect (övergripande):
Historisk, godkänd lönedata laddas upp per kund/tenant. Tjänsten tränar kundspecifika maskininlärningsmodeller som lär sig normalmönster och beräknar avvikelsepoäng för nya/aktuella löneposter. Resultat presenteras som flaggningar med förklaringar.

AI-typ:
Maskininlärning (anomalidetektion/avvikelseidentifiering) med kundspecifika modeller.

Risknivå och transparens:
SmartDetect är beslutsstöd. Flaggningar är indikatorer och innebär inte i sig att något är fel.

Enligt vår interna bedömning enligt EU AI Act klassificeras SmartDetect som minimal risk utifrån funktionens avsedda användning.

• Vi visar att resultat är AI-genererade och ska verifieras.
• Flaggningar används för prioritering av granskning – inte som automatiska beslut.

Riskarbete och testning:

• Intern AI-assessment har genomförts.
• Intern EU AI Act-assessment har genomförts.

Mänsklig kontroll (human-in-the-loop):
SmartDetect är ”human-led with automation support”. Det innebär att användaren behåller kontroll och ansvar.

• Löneadministratören granskar flaggningar och fattar beslut om eventuella åtgärder.
• SmartDetect ändrar inte löneutbetalningar eller fattar beslut utan mänsklig granskning.

Uppgifter som kan behandlas:

• Pseudonymiserade löneposter och pseudonymiserad historisk lönedata.

Dataplacering och underleverantörer:
SmartDetect driftas inom EU/EES. Kunddata hålls logiskt separerad per tenant och blandas inte mellan företag.

Mer information om tjänstens hosting, underbiträden och säkerhetsarbete finns i Visma Trust Centre – PayrollDetect

Konfidentialitet och modellträning:

• Modellerna är kundspecifika, dvs. tränas och används för den aktuella kunden/tenant.
• Data används för att leverera tjänsten och för nödvändig felsökning/serviceförbättring enligt leverantörens rutiner.

Lagring och radering:
Kunddata lagras under en begränsad tid och raderas automatiskt enligt tjänstens raderingspolicy (för närvarande 365 dagar från mottagande). Radering kan också initieras tidigare när det behövs (t.ex. vid avslut av integration).

Support och dokumentation:
Support för SmartDetect följer ordinarie Flex HRM support.

Säkerhet och integritet 

Sekretessen och säkerheten för information som kan behandlas i våra AI-funktioner är viktig för oss. Flex Applications vidtar därför lämpliga tekniska och organisatoriska åtgärder för att skydda information från obehörig åtkomst, felaktig användning eller avslöjande, obehörig modifiering och olaglig förstörelse eller oavsiktlig förlust.

Enbart individer som behöver tillgång för att kunna utföra sina arbetsuppgifter ska ha tillgång.

Överföring av data

Flex Applications kan använda teknikleverantörer och andra Visma-bolag som bistår med drift och skydd av våra servicemiljöer.

Vilken dataplacering som gäller framgår under respektive AI-funktion. I nuläget:

• Flexie körs i Azure inom EU.
• SmartScan driftas inom EU/EES via Visma ML Assets (hosting provider: Google Cloud EMEA Ltd).
• SmartDetect (baserad på PayrollDetect) driftas inom EU/EES via AWS (Irland).

Hur kontaktar du oss?

Om du har frågor om våra AI-funktioner, denna policy eller hur vi arbetar med AI Act kan du kontakta oss genom att:

• Ringa oss på vår växel +46 (0) 19 10 39 15; eller
• Skicka ett meddelande till info@flexapplications.se

Om frågan gäller personuppgifter kan du även kontakta GDPR@flexapplications.se.

Ändringar

Flex Applications uppdaterar denna policy för att återspegla eventuella ändringar i våra AI-funktioner och/eller ändringar i tillämplig lag.

Denna version av policyn är upprättad 2026-05-22.