EUs KI-forordning: Slik bruker formexposed KI

Dette dokumentet publiseres på flere språk. Ved avvik mellom språkversjonene er den polske versjonen bindende.

Versjon 1.1 · Sist oppdatert: 23. oktober 2026

Hva forordning (EU) 2024/1689 («KI-forordningen»), endret ved forordning (EU) 2026/1744, betyr for formexposed, hvor tjenesten bruker kunstig intelligens, hvor den uttrykkelig ikke gjør det, hvilke opplysninger en modell får se, og hvordan vi vurderer forordningens plikter slik de gjelder for oss. Denne siden beskriver tjenestens nåværende tilstand og vår rettslige vurdering; den er ikke et avtaledokument, og det vi skylder Kundene, reguleres av Bruksvilkår og Databehandleravtale. Den inngår i våre juridiske dokumenter sammen med Personvernerklæring og Protokoll over behandlingsaktiviteter.

1. Kortversjonen

KI-forordningen trådte i kraft 1. august 2024. Forbudene og plikten til KI-kompetanse har vært gjeldende siden 2. februar 2025, pliktene for modeller for allmenne formål siden 2. august 2025 og åpenhetspliktene i art. 50 siden 2. august 2026 (art. 113).

formexposed bruker en språkmodell tre steder: som hjelp til å klassifisere et skjema reglene våre ikke gjenkjenner, til å sammenfatte skannefunn som en prioritert tiltaksplan for betalte kontoer, og i «Fix it for me», der den på forespørsel bygger beskyttelsesmodulen vår inn i skjemakoden din. I alle tre tilfeller kjører modellen på vår egen server i Polen; ingen inndata sendes til en KI-leverandør. Poengsum, konklusjon, varsler, forebygging av misbruk og søppelpostbeskyttelsen i programtillegget er ikke KI, men regler vi har skrevet og som kan etterregnes for hånd. Ingen KI-utdata avgjør noe om en person.

2. Hvor formexposed bruker KI

2.1 Klassifisering av skjemaer i kontrolltjenesten

Ved hver kontroll må søkeroboten vite hva slags skjema den ser på: kontaktskjema, innlogging, bestilling, søk, nyhetsbrev og så videre. Dette bestemmer om et skjema vurderes i det hele tatt. Klassifiseringen skjer i to trinn:

1. Regler først. Felttyper, feltnavn, etiketter, knappetekster og teksten rundt skjemaet sammenholdes med faste ordlister på tysk, engelsk og polsk. Dette håndterer de aller fleste skjemaene.
2. Språkmodellen bare hvis reglene sier «unknown». Den mottar da en beskrivelse av skjemaet og svarer med en type og en sikkerhetsgrad mellom 0 og 1. Hvis den ikke svarer, svarer tomt eller med noe ukjent, forblir skjemaet «unknown». Hvis modellen svikter, fortsetter kontrollen uten dette trinnet.

Hva modellen kan gjøre, er strengt begrenset, og det i koden, ikke bare som en hensikt:

• Et skjema klassifisert av modellen sendes aldri inn. Testinnsendinger finnes bare for kontaktskjemaer reglene har gjenkjent med høy sikkerhet, og for kunder bare på domener med dokumentert råderett.
• Et skjema klassifisert av modellen inngår ikke i poengsummen og konklusjonen. Det forblir synlig i listen over funne skjemaer, men behandles aldri som domenets relevante kontaktskjema som overvåking, visuell sammenligning, kundeportal og «Fix it for me» knyttes til. Hvis modellen anser noe som et kontaktskjema, reduserer koden sikkerhetsgraden til høyst 0,6, fordi den i testene våre oppfattet søkefelt og forsikringskalkulatorer som kontaktskjemaer.
• Ved siden av hvert skjema oppgir rapporten hvor klassifiseringen kommer fra: «regler» eller «KI», med sikkerhetsgraden i prosent.

2.2 «Fix it for me»: bygge beskyttelsesmodulen inn i koden din

På betalte abonnementer får eiere og administratorer av et arbeidsområde en ferdig beskyttelsesmodul for PHP, Node.js eller Python. Selve modulen er en fast mal uten KI; bare vertsnavnet ditt og feltnavnene fra den siste kontrollen settes inn. Du kan valgfritt lime inn koden til skjemaet ditt, og språkmodellen bygger modulen inn i den. Du får den endrede filen og, bortsett fra svært store filer, en patch. Før du ser resultatet, kontrollerer koden vår to ting uten KI:

• om anropet til modulen faktisk er bygget inn – hvis det mangler, sier grensesnittet uttrykkelig: ikke sett dette i drift slik;
• om syntaksen er riktig (php -l, node --check eller py_compile); koden din kontrolleres, ikke kjøres.

Ved hvert resultat sier grensesnittet at det kommer fra en KI, at en KI kan gjøre feil og at syntakskontrollen ikke tester logikken din. Vi setter ingenting i drift: vi har ingen tilgang til serveren din og ber heller ikke om det. Neste kontroll viser om endringen virker.

2.3 Tredjeparts KI-assistenter via MCP-grensesnittet vårt

På Business-abonnementet kan du koble din egen KI-assistent (som Claude, ChatGPT eller Cursor) til kontoen din via Model Context Protocol for å spørre om domener, kontroller og hendelser. Dette er ikke KI fra oss: vi leverer opplysninger til assistenten, på samme måte som REST-API-et. Hvilken leverandør som gjør hva med opplysningene, bestemmes av valget ditt og avtalen din med leverandøren. Via grensesnittet kan assistenten bare lese og starte en kontroll.

2.4 Google reCAPTCHA på våre egne skjemaer

Våre egne skjemaer (gratis kontroll, verktøy for HTTP-hoder, opt-out, innlogging, registrering, passord, kundestøtte og kontakt) er beskyttet av Google reCAPTCHA v3. Google beregner da en verdi mellom 0 og 1 med egne metoder; vi ser bare denne verdien og avviser en innsending under en fast terskel. Metoden er Googles, ikke vår. Den som avvises, kan prøve igjen eller nå oss via e-post. Detaljer finnes i Personvernerklæring.

2.5 Prioritert tiltaksplan i betalte rapporter

For kvalifiserte kontroller av domener i betalte kontoer skriver den samme lokale modellen også en kort prioritert tiltaksplan ut fra vertsnavnet, samlet resultat og poengsum, CMS, relevant skjematype og sideadresse, eventuelle identifiserte programtillegg og utvalgte funn som viser feil eller er uklare. Den mottar ikke skjermbilder eller innsendte skjemaverdier til dette formålet. Planen merkes som et KI-sammendrag; de enkelte funnene forblir avgjørende. Den endrer ikke nettstedet eller skanneresultatet.

Modellen får instruks om å lage 3 til 5 korte nummererte trinn, eller 1 til 2 trinn når beskyttelsen allerede er god. Dette er instrukser til modellen, ikke en garanti for riktige anbefalinger. Utdataene forkortes og renses som ren tekst; ingen kontroll av faktisk riktighet er implementert.

3. Hvor formexposed ikke bruker KI

Følgende deler bygger utelukkende på regler fastsatt av mennesker. De utleder ingenting fra data, lærer ingenting og er derfor ikke KI-systemer i betydningen i art. 3(1), som forklart i fortalepunkt 12:

• Poengsum og konklusjon: en vektet sum av manglende beskyttelsestiltak (CAPTCHA, fellefelt, token, tidsstempel og andre) fra 0 til 100; over faste terskler «Ubeskyttet», «Delvis beskyttet» eller «Beskyttet». Vi fastsetter vektene; de endres ikke på grunnlag av opplysningene som kontrolleres.
• Påvisning av beskyttelsestiltak, tredjepartsskript, informasjonskapselbannere, tilgjengelighet: sammenhold med kjente kjennetegn i sidens kildekode og atferd.
• Overvåking og varsler: sammenligning med forrige kontroll; svartider opp mot en grunnlinje fra medianen av de første målingene, med faste terskler.
• Forebygging av misbruk av den gratis kontrollen: telling per IP-adresse, økt og periode med faste grenser. Den som overskrider en grense, avvises for inneværende periode, i høyst 24 timer. Avvik flagges og håndteres av et menneske.
• Visuell sammenligning av skjemaer: skjermbilder fra påfølgende kontroller sammenlignes ved hjelp av lysstyrkeprofiler for radene og kolonnene med faste terskler, for å melde fra om et flyttet eller skjult skjema.
• Svermbeskyttelse: et domene fra lenker i blokkerte meldinger legges til i den felles listen hvis det forekommer på et minsteantall forskjellige nettsteder innen en fast periode; store tjenester er unntatt, og hver blokkering havner i karantene, ikke i glemselen.
• Søppelpostbeskyttelse i WordPress-programtillegget og TYPO3-utvidelsen: fellefelt, signert token, minste utfyllingstid, dokumentasjon på interaksjon, regneoppgave, kontroller for linjeskift og for et e-postdomene som kan motta e-post, frekvensbegrensning, lister over engangsadresser, skriftsystemer etter Unicode-klasser, egne ordlister og land. Selve kontrollen kjører på Kundens nettsted. Mens nettstedet er koblet til en konto, mottar vi bare tellinger, navn og versjoner av utvidelser og, mens det deltar i svermbeskyttelsen (aktivert som standard i WordPress-programtillegget), domenene i lenker i blokkerte meldinger – ingen meldinger og ingen adresser.

4. Hvilke opplysninger modellen mottar, og hvor den kjører

Funksjon	Inndata til modellen	Utdata	Hva som lagres
Klassifisering av skjemaer	Sidens tittel og adresse, teksten på sendeknappene, for hvert felt type, navn, etikett, plassholder og om det er obligatorisk eller skjult, høyst 400 tegn med synlig skjematekst. Ingen innskrevne verdier.	Skjematype og sikkerhetsgrad	Type, sikkerhetsgrad, opprinnelse «KI» og modellens navn med kontrollresultatet, underlagt dets lagringsfrist; ikke selve forespørselen
«Fix it for me»	koden du limer inn (høyst 30 000 tegn) og beskyttelsesmodulen vår med vertsnavnet ditt og feltnavnene dine	den endrede filen	ingenting av koden (for syntakskontrollen oppbevares den endrede filen på webserveren vår som en midlertidig fil bare så lenge kontrollen varer); i aktivitetsloggen bare språk, lengde, om det lyktes, om anropet ble bygget inn og resultatet av syntakskontrollen
Prioritert tiltaksplan i betalte rapporter	Vertsnavn, samlet resultat og poengsum, CMS, relevant skjematype og sideadresse, eventuelle identifiserte programtillegg og høyst 18 forskjellige funn som viser feil eller er uklare, med nøkler, resultater og notater forkortet til 200 tegn hver; ingen skjermbilder eller innsendte feltverdier	En kort prioritert plan på valgt språk, begrenset til 1 500 tegn	Forespørsel og svar midlertidig i den interne jobbkøen; den hentede planteksten, språket, statusen og tidsstempelet med skanneresultatet under dets lagringsfrist

• Ingen datautstrømning. Modellen kjører på vår egen kontrollserver i Polen. Søkeroboten når den fra sitt isolerte miljø, webserveren vår via det interne nettverket. Ingen inndata sendes til en KI-leverandør eller noen annen tredjepart. Applikasjons- og arbeiderkoden fastslår ikke om modelltjenesten loggfører forespørselsinnhold. Loggkonfigurasjonen på modellverten er ikke verifisert i denne gjennomgangen; vi hevder derfor ikke her at alle logger fra modelltjenesten bare inneholder tekniske metadata.
• Ingen trening. Vi trener eller endrer ikke modellen og bruker verken kontrollresultater eller koden din til å forbedre den. Hver forespørsel står for seg selv.
• Personopplysninger. Disse funksjonene trenger ikke meldinger fra besøkende eller faktiske innsendte skjemaverdier for de tilsiktede formålene. Det betyr ikke at inndataene deres er anonyme. Unntaksvis kan et navn komme inn i skjemateksten på en tredjepartsside, for eksempel navnet på en kontaktperson ved siden av skjemaet. I «Fix it for me» ber vi deg fjerne passord, API-nøkler og personopplysninger før innliming; grensesnittet minner deg om passord og API-nøkler ved inntastingen.
• Lagring av tiltaksplan. Forespørselen lagres midlertidig i den interne jobbkøen vår. Etter at resultatet er hentet, slettes køoppføringen; planlagt opprydding sletter også køoppføringer som er mer enn én time gamle. Den genererte teksten, språket, statusen og tidsstempelet lagres sammen med skanneresultatet og følger dets lagringsfrist, inkludert oppbevaring av den siste fullførte kontrollen for hvert domene og sletting når domenet slettes.
• Inndata til tiltaksplan. Vertsnavn, sideadresser og funnnotater kan tilfeldigvis inneholde personopplysninger. Instruksen for tiltaksplanen ber ikke om meldinger fra besøkende eller innskrevne feltverdier.
• Bruksgrenser: «Fix it for me» med KI er begrenset til et antall forespørsler per arbeidsområde per dag, slik at serveren forblir tilgjengelig for kontrollene.

5. Vår rolle etter KI-forordningen

Modellen: Vi bruker en fritt tilgjengelig språkmodell for allmenne formål med åpne vekter fra en tredjepartsleverandør. Pliktene for selve modellen (art. 53 flg.) bæres av leverandøren. Fordi vi verken trener eller endrer den, blir vi ikke selv leverandør av en slik modell.

Systemene: Vi har bygget skjemaklassifiseringen, tiltaksplanfunksjonen og «Fix it for me» og driver dem under navnet formexposed. Etter vår vurdering er vi leverandør av disse KI-systemene (art. 3(3)), fordi vi har utviklet dem selv og tatt dem i bruk under eget navn. Vi driver også skjemaklassifiseringen og tiltaksplanfunksjonen selv og er i den utstrekning bruker (art. 3(4)). Bare det å motta eller lese en tiltaksplan gjør ikke i seg selv en Kunde til bruker i denne betydningen. «Fix it for me» brukes av kundene våre som ledd i deres yrkesaktivitet; da er de etter vår vurdering brukere.

Risikoklassifisering: Ingen av disse tre funksjonene faller, for de tilsiktede formålene beskrevet her, inn under høyrisikoområdene i vedlegg III (som biometri, kritisk infrastruktur, utdanning, arbeidsliv, vesentlige tjenester, rettshåndheving, migrasjon, rettspleie) eller er en sikkerhetskomponent i et produkt etter vedlegg I. De klassifiserer skjemaer, sammenfatter tekniske skannefunn som veiledende trinn og redigerer programkode; de vurderer ikke personer. De er derfor ikke høyrisiko-KI-systemer etter art. 6; kravene til slike systemer og pliktene for leverandørene og brukerne deres (kapittel III) gjelder ikke for dem. De er underlagt plikten til KI-kompetanse (art. 4) og, der vilkårene er oppfylt, åpenhetspliktene i art. 50.

Forbudt praksis (art. 5): formexposed utfører ikke emosjonsgjenkjenning, biometrisk kategorisering eller identifisering, sosial poengsetting, forutsigelse av straffbare handlinger eller manipulerende eller subliminale teknikker.

6. Åpenhet (art. 50)

• Ingen chatbot. Ingen fører en samtale med en KI hos formexposed. Art. 50(1) gjelder KI-systemer som er ment å samhandle direkte med fysiske personer. Tiltaksplanen genereres i bakgrunnen og er synlig merket som KI-generert i rapporten. Skjemaklassifiseringen kommer ikke i kontakt med noen; «Fix it for me» tar imot kode og returnerer kode, og grensesnittet oppgir uttrykkelig at resultatet kommer fra en KI. Den som bruker funksjonen, vet derfor uansett at vedkommende har med en KI å gjøre.
• Generert kode. «Fix it for me» genererer programkode og merker den som KI-utdata. Den tilsiktede endringen er å sette inn beskyttelsesmodulen vår; det kan endre kodens atferd og betydning. Vi antar derfor ikke at unntaket for standardredigering eller uendret betydning i art. 50(2) gjelder i alle tilfeller. Om bestemmelsen og et eventuelt unntak gjelder, må vurderes for de faktiske utdataene. En patch viser endrede linjer der den er tilgjengelig, men dokumenterer ikke i seg selv et unntak eller maskinlesbar merking. For svært store filer finnes ingen patch; sammenlign i så fall filen selv.
• Tiltaksplantekst og maskinlesbar merking. Tiltaksplanen lager et sammendrag og prioriterte anbefalinger fra funn. Til dette formålet behandler vi den som generert tekst etter art. 50(2), og ikke som standardredigering som lar betydningen forbli uendret. Bestemmelsen krever maskinlesbar merking og påvisbarhet, underlagt vilkårene og det tekniske utviklingsnivået. En synlig KI-merknad alene fastslår ikke at dette tekniske kravet er oppfylt. Den nåværende kodegjennomgangen bekrefter den synlige merknaden og lagring og visning som ren tekst; den fastslår ikke effektiv maskinlesbar merking gjennom hele genererings- og utdataforløpet. Vi hevder derfor ikke at dette kravet er fullt verifisert.
• Rapportkontekst. Planen genereres i bakgrunnen som råd til en nettstedoperatør. Den utarbeides ikke med formål om å informere offentligheten om spørsmål av offentlig interesse etter art. 50(4). Rapporter kan likevel åpnes uten innlogging av alle som har den tilfeldige lenken. En senere publisering med formål av offentlig interesse krever en egen vurdering; tilgang for den som har lenken, er ikke et generelt unntak fra åpenhetsreglene.
• Klassifiseringer i rapporten merkes «KI» når de kommer fra modellen.
• Tiltaksplaner i betalte rapporter merkes som sammendrag fra KI-en vår på våre egne servere. Merknaden oppgir at de enkelte funnene er avgjørende.
• Vi genererer ikke bilder, lyd- eller videoinnhold eller deepfakes.

7. Menneskelig tilsyn og ingen automatiserte avgjørelser

Modellens utdata er hjelpemidler, ikke avgjørelser. Skjemaklassifiseringen kan ikke utløse noe på egen hånd: ingen innsending, ingen konklusjon, intet varsel. «Fix it for me» endrer ingenting på serveren din; du leser resultatet, bestemmer og setter det i drift selv. Tiltaksplanen er bare veiledende tekst: visningen endrer verken nettstedet, poengsummen eller konklusjonen; brukeren bestemmer hvilke trinn som skal tas. Etter vår vurdering treffer ingen funksjon i formexposed en avgjørelse som har rettsvirkning for en person eller på tilsvarende måte i betydelig grad påvirker vedkommende (personvernforordningen art. 22). Hvis reCAPTCHA eller en av våre faste grenser automatisk avviser en inntasting, kan du prøve igjen eller skrive til oss; da ser et menneske på saken. Vurderingene våre gjelder nettsteder og skjemaer, ikke personer.

Hvis du mener en klassifisering er feil, skriv til oss med rapportlenken. Vi ser på den og forbedrer reglene.

8. KI-kompetanse (art. 4) og kvalitet

• Eieren har selv bygget KI-funksjonene i formexposed og driver dem selv; ingen andre personer arbeider for tiden med dem. Før hvert modellbytte setter han seg inn i hvordan modellen virker og begrensningene dens, og i forordningens gjeldende tilstand. Hvis det kommer til ansatte eller tjenesteleverandører som arbeider med disse funksjonene, får de opplæring i funksjonenes virkemåte, begrensninger og risikoer før første bruk; vi dokumenterer opplæringen skriftlig.
• Før vi setter en modell i drift eller endrer den, tester vi den på en samling testskjemaer for svartid, gyldige svar og feilklassifiseringer. Dette er et arbeidstrinn utført av eieren, ikke en prosess som håndheves i koden. Grensene i avsnitt 2.1 bygger på slike målinger.
• Art. 4 gjelder også deg som Kunde hvis du bruker «Fix it for me» yrkesmessig. Denne siden og merknadene i grensesnittet er ment å hjelpe deg med det.

9. Endringer og kontakt

Vi oppdaterer denne siden så snart en KI-funksjon legges til, endres vesentlig eller fjernes; vesentlige endringer føres opp under Endringer i avtaledokumentene. Send spørsmål og bekymringer om vår bruk av KI til contact@lukaswojcik.com, via kontaktsiden eller støttevinduet. Klager følger fremgangsmåten under Klager. Dette berører ikke retten til å klage til vedkommende markedstilsynsmyndighet (art. 85).

Leverandør: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland.