What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

AI-styrning

Hur man bygger en AI-granskningskedja: AI-beviskedjan i 7 steg™

Min kära Cortez
6 oktober 2026

Hur man bygger en AI-granskningskedja | AI Evidence Chain™

Hur man bygger en AI-granskningskedja: AI-evidenskedjan i 7 steg™ för små företag

En AI-policy säger vad som ska hända. En revisionslogg bevisar vad som hände.

Kort svar: En AI-granskningskedja är den uppsättning poster som låter någon utanför ditt team rekonstruera hur ett AI-system godkändes, vilka data det använder, hur det testades, vem som använde det och hur det har betett sig sedan dess. AI Evidence Chain™ är RaaSify.AI:s sjustegsramverk för att bygga den kedjan: Affärsintention, Data, Byggnad, Validering, Implementering, Övervakning och Incidenthantering.

De flesta riktlinjerna för AI-granskningsspår är skrivna för företag med ett plattformsteam. De handlar om oföränderliga logglagringar, kryptografiska hashkoder och korrelations-ID:n. Det är användbart om du bygger AI-produkter. Det hjälper inte ett företag med 40 personer som kör Microsoft Copilot, ChatGPT och AI-funktionerna i sin HR- och CRM-programvara.

Den här guiden är för det företaget. Den behandlar vad en revisor, tillsynsmyndighet eller kund kommer att begära, de sju steg de kommer att testa, var revisionsspår vanligtvis inte fungerar och hur man kontrollerar om din skulle hålla vid ifrågasättande.

Vad är en AI-granskningslogg?

En AI-revisionslogg är dokumenterad bevisning, som sparas under ett AI-systems hela livslängd, och som besvarar fem frågor:

Vad gör systemet, och varför använder vi det?
Vilken data ska in, och får vi använda den?
Hur konfigurerades och testades det innan folk förlitade sig på det?
Vem godkände det, och vem ansvarar för att kontrollera dess resultat?
Vad har hänt sedan dess, inklusive när det gick fel?

En revisionslogg är bredare än en logg. En logg registrerar händelser i systemet. En revisionslogg registrerar också de mänskliga besluten kring den: godkännande, testgodkännande, månatlig granskning och uppföljning av incidenter.

Ett företag kan ha kompletta loggar och ändå inte ha någon revisionslogg, eftersom ingen kan visa vem som bestämde att systemet var lämpligt för användning.

Varför räcker inte en AI-policy?

En policy är en avsiktsförklaring. Tillsynsmyndigheter, revisorer och kunder granskar bevis för att policyn har följts.

Frågan brukar lyda så här: "Visa mig hur det här AI-systemet fattar beslut, och bevisa att du övervakar det." Ett policydokument kan inte ge svar på det. Ett daterat godkännande, en testrapport och tre månaders granskningsanteckningar kan.

Tre grupper ställer den frågan:

Tillsynsmyndigheter. EU:s AI-lag kräver teknisk dokumentation, registerhållning, mänsklig tillsyn och övervakning för AI-system med hög risk. För fristående högrisksystem gäller dessa skyldigheter från och med den 2 december 2027, efter att den digitala omnibusen om AI flyttade datumet från den 2 augusti 2026.
Revisorer. ISO/IEC 42001 är en standard för ledningssystem. Certifiering vilar på dokumenterad information, internrevision och ledningens granskning, inte enbart på policyn.
Kunder. Större kunder och partners börjar fråga hur ni styr AI innan de skriver under. Ett säkert svar behöver något att visa.

Den extra tiden är inte en paus. Det är ett fönster för att samla bevis innan någon ber om det.

Vad är AI-beviskedjan™?

AI Evidence Chain™ är ett sjustegsramverk för AI-styrning skapat av Ma Cherie Cortez, PhD, grundare av RaaSify.AI. Det skapar spårbar dokumentation under ett AI-systems livslängd, så att varje AI-stödt beslut kan försvaras inför en tillsynsmyndighet, en revisor eller en styrelse.

Det kallas en kedja eftersom varje steg är beroende av det föregående. En övervakningsrapport betyder föga om ingen kan visa vad systemet godkändes för att göra. En saknad länk bryter vägen.

De sju stegen är:

Affärsavsikt. Varför varje AI-system finns, vad det används till, vem äger det och vem som har godkänt det. Detta täcker alla system som används, inklusive skugg-AI och AI-funktionerna i programvara som du redan betalar för.
Data. Vilka data matar varje system, varifrån de kommer (dess dataursprung) och om den användningen är laglig och lämplig.
Bygga. Hur systemet byggdes eller konfigurerades, och protokollet över den konfigurationen.
Godkännande. Hur systemet testades med avseende på noggrannhet, bias och säkerhet innan driftsättning, med resultat som du kan visa.
Spridning. Vem godkände driftsättningen, under vilka villkor, och vilka skyddsräcken och mänsklig tillsyn fanns på plats.
Övervakning. Hur beteende i verkligheten spåras efter lanseringen, och vem granskar det.
Incidentrespons. Vad händer när systemet orsakar ett problem: vem agerar, vem får veta det och vad dokumenteras.

De flesta organisationer kan beskriva några av dessa steg i samtal. Väldigt få kan presentera bevis för alla sju. Det är den klyftan mellan att veta om styrning och att kunna bevisa den som en revisionslogg täcker.

Var brukar AI-granskningsspår bli av?

Varje steg besvarar en fråga som en revisor, tillsynsmyndighet eller kund kan ställa. Tabellen visar frågan och hur ett gap vanligtvis ser ut i ett litet företag.

AI Evidence Chain™ mappar varje steg till relevanta artiklar i EU:s AI-lag, ISO/IEC 42001-klausuler och NIST AI Risk Management Framework-funktioner, så en uppsättning bevis tjänar alla tre. Den klausul-för-klausul-mappningen, tillämpad på era egna system, är vad AI Evidence Chain™ Audit levererar.

Hur bygger man en AI-granskningslogg?

Du bygger en AI-revisionslogg ett system i taget, genom att ta fram bevis för vart och ett av de sju stegen i ordning. I korthet:

Välj ett system. Börja med det AI-system som påverkar dina kunder eller personal mest.
Registrera affärsavsikten. Varför systemet finns, vem äger det och vem har godkänt det.
Spåra informationen. Vad som ska in, varifrån det kommer och om du får använda det.
Dokumentera bygget. Hur systemet är konfigurerat och vad som har ändrats sedan lanseringen.
Spara valideringsbeviset. Hur det testades innan folk förlitade sig på det.
Registrera beslutet om utplacering. Vem godkände livesättningen, under vilka villkor och vem övervakar resultatet.
Övervaka och svara. Granska hur systemet beter sig enligt en fast rytm och registrera vad som händer när något går fel.

Upprepa sedan för nästa system. Vad som räknas som tillräckliga bevis i varje steg beror på systemets risknivå och vilka regler som gäller för dig. Det är där den största delen av bedömningen ligger.

Kan ett litet företag bygga en AI-granskningslogg utan ett compliance-team?

Ja. Ett litet företag behöver inte en compliance-avdelning eller en loggningsplattform för att komma igång. Det behöver tre saker: en namngiven ägare för varje AI-system, en plats där dokumenten finns och en månatlig granskning som faktiskt sker. Dessa AI-styrningsnyckeltal ger den granskningen något att mäta.

Innan du bygger något, ta reda på var du står. Ta det AI-system som påverkar dina kunder eller personal mest och svara på sju frågor, en per steg:

Kan du namnge vem som godkänt det och varför företaget använder det?
Vet du vilken data som finns i den, och om du har tillåtelse att använda den informationen på det här sättet?
Kan du visa hur det är konfigurerat idag och vad som har förändrats sedan lanseringen?
Finns det någon dokumentation över hur det testades innan folk förlitade sig på det?
Är en namngiven person ansvarig för att kontrollera dess utdata?
Har någon kollat hur det har uppfört sig de senaste tre månaderna?
Om det orsakade ett problem imorgon, vet alla vad de ska göra och var det registreras?

Varje "nej" är en trasig länk i kedjan. De flesta företag hittar flera. Många hittar också mer AI än de förväntade sig: organisationer upptäcker vanligtvis 30–40 % fler AI-system än de trodde att de hade när en ordentlig inventering har gjorts.

Hur vet du att din AI-granskningslogg fungerar?

Kör sexmånaderstestet. Välj ett AI-stött beslut från sex månader sedan och försök att rekonstruera det enbart från register, utan att fråga någon vad de minns.

Du bör kunna visa vilket system som användes, hur det konfigurerades vid den tidpunkten, vilka data det hade, vem som godkände det för den användningen, vem som granskade resultatet och om något gick fel efteråt. Varje fråga du inte kan besvara från en post är en trasig länk.

Fem misstag bryter de flesta stigar:

Köpa ett verktyg innan du gör inventeringen. En loggningsplattform kan inte registrera system som ingen känner till.
Att förvara bevis i inkorgar och huvuden. Om godkännandet finns i en persons e-postadress, försvinner det när de gör det.
Sparar endast de tester som godkänts. Misslyckade tester och de korrigeringar som följde är det starkaste beviset på att valideringen var verklig.
Att behandla leverantörens AI som leverantörens problem. Enligt EU:s AI-lag har ett företag som använder ett högrisksystem sina egna skyldigheter som distributionsleverantör, inklusive mänsklig tillsyn, övervakning och loggar.
Gör det en gång. Ett spår som slutar på lanseringsdagen bevisar att systemet styrdes på lanseringsdagen.

Vanliga frågor

Vad är AI-beviskedjan™?

AI Evidence Chain™ är RaaSify.AI:s ramverk i sju steg för att producera revisionsklara bevis för AI-styrning. Stegen är affärsintention, data, byggande, validering, driftsättning, övervakning och incidentrespons. Den skapades av Ma Cherie Cortez, PhD, och är ett registrerat varumärke (BOIP Reg. No. 1551399).

Vad är skillnaden mellan en AI-granskningslogg och AI-loggning?

Loggning registrerar vad som hände i ett system. En revisionslogg registrerar också de beslut som människor fattade kring det: varför systemet antogs, vem som godkände det, hur det testades och vad som gjordes efter en incident. Loggar är en ingång till övervakningsfasen. De är inte hela spårningen.

Behöver ett litet företag en AI-granskningslogg?

Ja, om AI påverkar beslut om människor, såsom anställning, utlåning eller kundservice, eller om en kund, investerare, partner eller styrelseledamot frågar hur ni styr AI. Rättsliga skyldigheter enligt EU:s AI-lag beror på risknivån för varje system och om ni är dess leverantör eller distributionsleverantör. Det är fortfarande värt att behålla en grundläggande spårning för verktyg med lägre risk, eftersom det är vad ni visar när någon frågar.

Hur länge ska AI-register sparas?

För högrisksystem enligt EU:s AI-lag måste automatiskt genererade loggar sparas i minst sex månader (artikel 19 för leverantörer, artikel 26(6) för driftsättare). Leverantörer måste spara teknisk dokumentation i 10 år (artikel 18). Andra lagar, avtal och sektorregler kan kräva längre tid. Loggar innehåller ofta personuppgifter, så lagringsperioden måste också respektera dataskyddslagstiftningen.

Behöver jag programvara för att bygga en AI-granskningslogg?

Nej. Ett kalkylblad och en delad mapp räcker för ett företag med en handfull AI-verktyg. Styrningsplattformar tjänar in sin kostnad när du har många system, flera team eller system du bygger själv. Bestäm dig efter inventeringen, när du vet vad du har.

Behöver jag en konsult för att bygga en AI-granskningslogg?

Inte alltid. Om du använder ett fåtal AI-verktyg med låg risk och någon inom företaget har tid att ta ansvar för arbetet, kan du börja på egen hand. Extern hjälp är värd det när AI påverkar beslut om människor, när en kund, revisor eller tillsynsmyndighet har begärt bevis, när du står inför en deadline eller när ingen internt kan bedöma vad som räknas som tillräckliga bevis. En bedömning med fast omfattning räcker vanligtvis för att ta reda på vilket fall du befinner dig i.

Ska jag mappa till EU:s AI-lag, ISO/IEC 42001 eller NIST AI RMF?

De utför olika uppgifter. EU:s AI-lag är lag för organisationer som tillhandahåller eller använder AI-system i EU. ISO/IEC 42001 är en certifierbar standard för ledningssystem. NIST AI RMF är ett frivilligt ramverk från US National Institute of Standards and Technology. AI Evidence Chain™ kopplas till alla tre, så en uppsättning bevis kan fungera beroende på vad som gäller för dig.

När gäller högriskskyldigheterna i EU:s AI-lag?

Fristående högrisksystem som listas i bilaga III måste uppfylla kraven senast den 2 december 2027. Högrisk-AI som är inbäddad i reglerade produkter enligt bilaga I måste uppfylla kraven senast den 2 augusti 2028. Båda datumen flyttades av den digitala omnibusen om AI år 2026. Förseningen omfattar inte förbjudna metoder, skyldigheter gällande allmänna AI-modeller eller de allmänna transparensreglerna.

Var ska du börja?

Börja med självkontrollen med sju frågor och sexmånaderstestet på ett system. Om de visar brister, eller om du hellre vill att bristerna ska hittas åt dig, är det vad AI Evidence Chain™ Audit gör.

Det är en 4-veckors utvärdering med fast omfattning av era AI-system mot alla sju steg, mappad till EU:s AI-lag, ISO/IEC 42001 och NIST AI RMF. Ni får en komplett AI-inventering, en rapport om gaps steg för steg och en prioriterad åtgärdsplan. Det finns ingen skyldighet att fortsätta efteråt.

Om du redan vet att leden måste byggas med en deadline, 90-dagars styrningssprint bygger det. Om det existerar och behöver hållas vid liv varje månad, så är det AI-styrning som en tjänst.

Boka ditt samtal om bedömning av AI Evidence Chain™-revisionen

Om författaren

Ma Cherie Cortez, PhD, är grundaren av RaaSify.AI och skaparen av AI Evidence Chain™. Hon har 27 års erfarenhet av global IT-ledarskap, inklusive arbete med AI-styrning inom företag med Philips, AB InBev, DLL och Lloyds Banking Group. Hon tillämpar nu den erfarenheten på små och medelstora företag som förbereder sig för EU:s AI-lag och ISO/IEC 42001. RaaSify.AI är en EXIN-certifierad utbildningspartner.

AI Evidence Chain™ är ett registrerat varumärke som tillhör Ma Cherie Cortez, PhD. BOIP-registreringsnummer 1551399, registrerat 25 augusti 2026.

Källor