AI med kontroll: Slik navigerer IT-lederen AI-forordningen

Generativ AI, Copilot og AI-agenter skaper nye muligheter for å effektivisere arbeidsprosesser og skape forretningsverdi. Men når bruken øker, må også kontrollen gjøre det. For IT-lederen handler AI derfor ikke lenger bare om hvilken teknologi virksomheten skal ta i bruk. Det handler også om hvordan AI brukes, hvilke data som behandles og hvilke risikoer som må håndteres.

Natalie Mattsson, Senior Information Security Specialist i Iver, hjelper oss med å forstå hva AI-forordningen innebærer i praksis, og hva IT-lederen bør ha kontroll på når bruken av AI øker.

Hva er AI-forordningen?

AI-forordningen (KI-forordningen), eller EU AI Act, er EUs regelverk for kunstig intelligens. Formålet er å etablere tydelige regler for hvordan AI kan utvikles og brukes, samtidig som innovasjon fremmes og mennesker beskyttes mot personvern- og sikkerhetsrisikoer.

Regelverket bygger på en risikobasert modell, der AI-systemer klassifiseres ut fra hvilken risiko de kan innebære. Kravene er strengere for AI som kan ha stor innvirkning på for eksempel individers rettigheter, sikkerhet og tilgang til samfunnsviktige tjenester.

For virksomheter innebærer dette blant annet nye krav til AI-kompetanse, transparens, dokumentasjon og styring, avhengig av hvordan AI brukes og hvilken type system det er snakk om.

AI-forordningen omfatter også AI-systemer og AI-baserte tjenester som virksomheter kjøper inn og bruker. Som IT-leder er det derfor viktig å forstå hvordan AI inngår i tjenestene dere anskaffer, og hvilke krav som stilles til leverandøren. For Iver, som både bruker AI og leverer tjenester der AI er en del av løsningen, innebærer dette at vi må ha kontroll på hvordan AI brukes i våre tjenester og sikre en trygg og ansvarlig leveranse.

AI-forordningen er en IT-sak

Det er lett å avfeie AI-forordningen som et rent juridisk spørsmål. I praksis får regelverket imidlertid direkte betydning for IT. IT har oversikt over infrastruktur, shadow IT, datalekkasjer og lisenshåndtering.

IT må derfor kunne svare på spørsmål som:

• Hvilke AI-tjenester bruker vi i virksomheten i dag, både offisielt og uoffisielt?
• Hvilken informasjon kan medarbeidere dele med AI-tjenester?
• Hvilke AI-løsninger brukes i virksomhetskritiske prosesser?
• Hvem har ansvar for våre ulike AI-løsninger?
• Har medarbeiderne den nødvendige kunnskapen for å bruke AI på en sikker måte

I bunn og grunn handler dette om det samme som IT-avdelingen allerede jobber med innen sikkerhet, personvern og styring: å skape kontroll over teknologien uten å bremse utviklingen.

Start med å kartlegge AI-bruken

En av de største utfordringene er at bruken av AI ofte utvikler seg raskere enn virksomhetens styring. Medarbeidere tester nye verktøy på eget initiativ, samtidig som virksomheten begynner å integrere AI i sine prosesser.

Start derfor med et enkelt spørsmål: Hvilke AI-verktøy bruker vi allerede?

Kartlegge AI-tjenester og bruksområder.

• Vurdere risiko basert på data og virksomhetens behov.
• Definere hvilke verktøy som er godkjent og hvordan de kan brukes.
• Sikre data, identiteter og tilgang.
• Gi medarbeiderne opplæring i muligheter og risikoer knyttet til AI.

Kartlegg hvilke verktøy som brukes, hvilke data som behandles og hvilke bruksområder som finnes. Deretter kan dere vurdere risiko og prioritere hva som må følges opp.

Fra policy til praktisk kontroll

En AI-policy er et godt utgangspunkt, men må suppleres med praktiske arbeidsmåter. Det kan for eksempel handle om å:

AI-forordningen bygger på en risikobasert tilnærming, der ulike AI-systemer omfattes av ulike krav avhengig av hvordan og hvor de brukes.

Regelverk og innovasjon trenger ikke være motsetninger

AI-forordningen trenger ikke å være et hinder for innovasjon. Tydelige rammer kan tvert imot gjøre det enklere for virksomheten å bruke AI på en trygg og ansvarlig måte.

Når medarbeiderne vet hvilke verktøy de kan bruke, hvilken informasjon de kan dele og hvilke bruksområder som er godkjent, blir det enklere å skalere AI fra eksperimentering til reell forretningsverdi.

For IT-lederen handler det derfor om å gå fra «kan vi bruke AI?» til «hvordan skaper vi forutsetninger for å bruke AI på en sikker, ansvarlig og verdiskapende måte?»

Tre spørsmål du bør stille i ledergruppen i dag:

• Kartlegging: Har vi et komplett bilde av all AI som faktisk brukes i virksomheten?
• Datasikkerhet: Har vi tiltak på plass som hindrer at sensitiv virksomhetsdata lekker til åpne AI-modeller?
• Styring: Har vi tydelige spilleregler og definert eierskap for våre AI-initiativer?

AI handler ikke bare om hva teknologien kan gjøre. Det handler like mye om hvordan vi skaper forutsetninger for å bruke den trygt, ansvarlig og med reell forretningsverdi.

Som leverandør av IT- og AI-tjenester jobber Iver med AI i praksis, fra infrastruktur og sikkerhet til løsninger der AI er en integrert del av tjenesten. Vi har derfor god forståelse for de tekniske forutsetningene og kravene som må ivaretas når AI tas i bruk og leveres.

Hos Iver hjelper vi dere med å navigere i det raskt utviklende AI-landskapet og skape sikre, robuste og bærekraftige forutsetninger for å ta AI i bruk i virksomheten.