Fra verktøy til aktør
Vi har passert punktet hvor AI er et eksperiment. Organisasjoner bruker AI daglig — til tekstproduksjon, kodegransking, dataanalyse, kundesupport og sikkerhetsovervåking. Det som har endret seg i senere tid er ikke bare utbredelsen, men karakteren.
Med agentic AI — AI-systemer som handler autonomt, fatter beslutninger og samhandler med andre systemer — skifter spørsmålet fra “hvordan bruker vi AI?” til “hvem kontrollerer hva AI gjør?”. Det er et styringsspørsmål, ikke et teknikkspørsmål. Og det er et spørsmål som ledelsen, ikke IT-avdelingen, må eie.
Merk: Denne artikkelen handler om styring og ledelsesansvar — ikke om tekniske AI-trusler som prompt injection eller data poisoning. Vil du fordype deg i AI-sikkerhetstrusler, les vår guide om AI-sikkerhet for organisasjoner.
AI-styring er ikke et separat spor
Den vanligste feilen jeg ser er at organisasjoner behandler AI som en frittstående sak — et “AI-prosjekt” ved siden av det ordinære sikkerhetsarbeidet. Det fører til dobbeltarbeid, utydelig ansvar og policyer som ikke henger sammen med virkeligheten.
AI-styring er en forlengelse av deres eksisterende informasjonssikkerhetsarbeid. AI-verktøy behandler deres informasjonstilganger. De bør inngå i samme risikoanalyse, omfattes av samme tilgangskontrollprinsipper og styres av samme ledelsesbeslutninger som alt annet.
Koblingen til digitalsikkerhetsloven
Digitalsikkerhetsloven krever at organisasjoner håndterer risiko for sine nettverks- og informasjonssystemer. AI-verktøy som behandler organisasjonens data er en del av dette systemet — uavhengig av om de kjøres internt eller som eksterne skytjenester.
Det betyr at AI-verktøy skal:
- Inngå i risikoanalysen
- Omfattes av tilgangskontroll
- Ha tydelige eiere og ansvarlige
- Inkluderes i leverandørvurderingen (hvis de er eksterne tjenester)
Shadow AI: Risikoen dere ikke ser
57% av ansatte i kunnskapsintensive organisasjoner mater inn sensitiv bedriftsinformasjon i personlige AI-kontoer. De gjør det fordi det er praktisk, fordi det gjør dem mer produktive, og fordi ingen har sagt at de ikke skal gjøre det.
Problemet er at organisasjonen mister kontrollen over hvor informasjonen havner. Kundedata, forretningsplaner, kontraktsutkast, kildekode, personalinformasjon — alt kan mates inn i en ekstern AI-tjeneste hvor organisasjonen verken har innsyn eller kontroll.
Shadow AI er ikke et teknikkproblem. Det er et styringstomt rom. Ansatte løser sine hverdagsproblemer med de verktøyene som er tilgjengelige. Hvis organisasjonen ikke tilbyr godkjente alternativer og tydelige retningslinjer, vil ansatte finne egne veier.
Organisasjoner som totalforbyr AI-verktøy driver bruken under overflaten. Ansatte fortsetter — de forteller bare ikke om det. Kontrollert bruk med tydelige rammer er alltid bedre enn forbud som ingen etterlever.
Gi de ansatte AI-verktøy med enterprise-avtaler som sikrer at data ikke brukes til trening, at logging finnes, og at organisasjonen beholder kontrollen. Gjør det lettere å gjøre rett.
De fleste ansatte forstår at de ikke skal dele passord. Færre forstår at et kontraktsutkast eller en kundeliste i en AI-chat kan være like sensitivt. Konkrete eksempler fungerer bedre enn abstrakte policyer.
AI-verktøy bør inngå i deres IAM-strategi (Identity and Access Management). Hvem har tilgang til hvilke AI-tjenester, og hvilke autorisasjonsnivåer gjelder?
Agentic AI: Neste styringsutfordring
Det som begynte med chatboter utvikler seg raskt mot autonome AI-agenter som kan handle på egen hånd — bestille møter, sende e-post, kjøre databasespørringer, kjøre kode. Det stiller nye spørsmål om tilgangskontroll og autorisasjonsstyring.
Hvis en AI-agent har autorisasjon til å handle på en ansatts vegne — hvem er ansvarlig hvis agenten fatter en feil beslutning? Hvis agenten har tilgang til sensitive systemer — hvordan sikrer dere at den ikke gjør mer enn tiltenkt?
Dette er spørsmål som må adresseres før agentic AI implementeres bredt i organisasjonen, ikke etter.
Tre spørsmål ledelsen bør kunne svare på
- Hvilke AI-verktøy brukes i organisasjonen? Ikke bare de offisielt innkjøpte — også de som ansatte bruker på egen hånd. En kartlegging av faktisk AI-bruk er første skritt mot kontroll.
- Hvilke data mates inn i AI-verktøyene? Klassifiser hvilken type informasjon som behandles. Personopplysninger? Forretningshemmeligheter? Kundedata? Svaret avgjør hvilke beskyttelsestiltak som trengs og hvilke verktøy som er akseptable.
- Hvem er ansvarlig? Ikke "IT-avdelingen" — men en navngitt person med mandat til å fatte beslutninger om AI-bruk, eskalere risiko til ledelsen og oppdatere policyer i takt med at teknologien utvikler seg.
AI Act: Det regulatoriske landskapet vokser
EUs AI Act faser inn krav i løpet av 2026. Selv om de fleste organisasjoner ikke utvikler høyrisiko-AI, påvirker forordningen alle som bruker AI-systemer klassifisert som høyrisiko. Det inkluderer rekrutteringsverktøy, kredittvurdering, biometrisk identifisering og andre anvendelser.
AI-styring handler ikke bare om intern risikohåndtering — det handler også om regulatorisk beredskap. Organisasjoner som allerede har en tydelig AI-policy og styringsmodell har en betydelig fordel når nye krav kommer.
Start med kartleggingen
AI-styring trenger ikke være komplisert. Det må være systematisk. Start med å kartlegge hvilke data som flyter hvor — inkludert gjennom AI-verktøy. Det gir dere det bildet dere trenger for å fatte informerte beslutninger om policy, risiko og investeringer.
Securapilots informasjonsflytanalyse hjelper dere kartlegge hvordan informasjon beveger seg gjennom organisasjonen — inkludert gjennom eksterne verktøy og tjenester. Det er grunnlaget for både AI-styring og kravene i digitalsikkerhetsloven.
Ofte stilte spørsmål
Hva er AI-styring?
AI-styring handler om å definere hvordan organisasjonen bruker, kontrollerer og har ansvar for AI-verktøy. Det inkluderer policyer, risikovurdering, tilgangskontroll og ansvarsspørsmål — ikke bare teknisk implementering.
Hva er shadow AI?
Shadow AI er AI-verktøy som ansatte bruker uten organisasjonens godkjennelse — ofte personlige kontoer hos ChatGPT, Claude, Gemini eller andre tjenester. Risikoen er at sensitiv bedriftsinformasjon forlater organisasjonens kontroll.
Hvordan kobler AI-styring til digitalsikkerhetsloven?
AI-verktøy behandler deres informasjonstilganger og bør inngå i risikoanalysen i henhold til kravene i digitalsikkerhetsloven. Ukontrollert AI-bruk kan utgjøre en risiko for informasjonssikkerheten som må håndteres.
Hva skal en AI-policy inneholde?
Godkjente verktøy, hvilke data som kan mates inn, tilgangskontroll, ansvarsspørsmål, krav til logging og gjennomgang, samt opplæringskrav. Policyen bør være konkret nok til å gi veiledning i hverdagslige beslutninger.
