Da personvernforordningen (GDPR) ble innført, ble praktisk talt alle virksomheter berørt. Mange ledere spør derfor om AI Act vil få tilsvarende konsekvenser. Svaret er mer nyansert. 

AI Act er bygget opp rundt en risikobasert tilnærming, der kravene avhenger av hvordan kunstig intelligens brukes og hvilke konsekvenser den kan få for mennesker og samfunn. To virksomheter kan derfor bruke AI hver dag, men møte helt ulike regulatoriske krav. 

For de fleste virksomheter er det ikke bransjen alene som avgjør hvor mye de påvirkes av AI Act. Det avgjørende er hvilke AI-systemer som er i bruk, hvilke data de behandler, og om de inngår i beslutninger som påvirker mennesker. 

AI Act skiller mellom ulike risikonivåer. Mens enkelte typer AI blir forbudt, vil de strengeste kravene gjelde såkalte høyrisikosystemer. 

Dette innebærer at mange virksomheter vil kunne bruke generative AI-verktøy uten omfattende nye forpliktelser, mens andre må etablere dokumenterte prosesser for risikovurdering, kontroll og oppfølging. 

Derfor er det misvisende å spørre om en virksomhet er «omfattet av AI Act». Alle virksomheter som bruker AI vil i større eller mindre grad bli berørt. Det sentrale spørsmålet er hvor stor betydning regelverket får for den enkelte virksomheten. 

For mange organisasjoner brukes AI primært som et verktøy som støtter ansatte i det daglige arbeidet. 

Eksempler kan være: 

• Generering av tekstutkast og innhold  
• Oppsummering av møter og dokumenter  
• Kodeassistanse for utviklere  
• Språkstøtte og oversettelser  
• Analyse av store mengder informasjon  

I slike tilfeller er det mennesker som tar beslutningene, mens AI fungerer som et produktivitetsverktøy. 

Selv om disse virksomhetene fortsatt bør ha oversikt over hvilke AI-løsninger som brukes, vil de normalt ikke møte de mest omfattende kravene i AI Act. 

Et annet bilde oppstår når AI blir en integrert del av operative prosesser. 

Innen industri, energi, transport og offshore brukes kunstig intelligens i økende grad til analyser, optimalisering og prediktivt vedlikehold. AI kan bidra til å identifisere avvik, forutsi feil eller anbefale tiltak basert på store datamengder. 

I slike tilfeller er ikke hovedutfordringen nødvendigvis menneskerettigheter eller diskriminering. Derimot øker behovet for kontroll med datakvalitet, sporbarhet og forståelse av hvordan AI-modellene påvirker beslutningsgrunnlaget. 

Mange virksomheter i disse sektorene vil derfor oppleve at AI Act skaper behov for bedre dokumentasjon og styring, selv om løsningene ikke nødvendigvis klassifiseres som høyrisikosystemer. 

De mest omfattende kravene i AI Act er knyttet til AI-systemer som kan påvirke enkeltpersoners rettigheter, muligheter eller tilgang til viktige tjenester. Dette gjelder blant annet løsninger som brukes innen følgende fagområder.

AI som brukes til å rangere kandidater, filtrere søknader eller gi anbefalinger i ansettelsesprosesser kan omfattes av høyrisikokategoriene i regelverket. 

AI-løsninger som påvirker vurderinger av studenter eller beslutninger om utdanningsløp kan utløse strengere krav. 

AI som brukes til diagnostikk eller klinisk beslutningsstøtte er blant områdene som er underlagt betydelig regulering. 

Kommuner, direktorater og andre offentlige virksomheter må være særlig oppmerksomme dersom AI inngår i saksbehandling eller beslutninger som påvirker innbyggere. 

I disse tilfellene stiller AI Act krav til blant annet risikohåndtering, dokumentasjon, menneskelig kontroll og løpende oppfølging. 

For ledere er det derfor mer relevant å kartlegge virksomhetens AI-portefølje enn å forsøke å avgjøre om virksomheten «er omfattet av AI Act». 

To organisasjoner i samme bransje kan ha vidt forskjellige risikoprofiler. 

Et universitet som bruker AI til administrative oppgaver står overfor andre krav enn et universitet som bruker AI til vurdering av studenter. På samme måte vil en kommune som bruker generativ AI til tekstproduksjon ha et annet risikobilde enn en kommune som benytter AI i saksbehandling eller beslutningsprosesser. 

Det første steget mot AI Act readiness er derfor å etablere oversikt over hvilke AI-systemer som brukes i virksomheten, hvilke prosesser de inngår i, og hvilke konsekvenser de kan få dersom de gir feil resultater. 

For mange virksomheter vil AI Act ikke innebære omfattende nye krav på kort sikt. Likevel bidrar regelverket til å synliggjøre et behov som allerede eksisterer: behovet for kontroll over hvordan kunstig intelligens brukes i organisasjonen. 

Virksomheter som tidlig etablerer oversikt over AI-porteføljen sin vil være bedre rustet til å håndtere både regulatoriske krav og den raske utviklingen innen kunstig intelligens. 

AI Act trådte i kraft i EU i august 2024, men innføringen skjer gradvis over flere år. Regelverket er ennå ikke fullt implementert i norsk lov, men forventes å bli innlemmet gjennom EØS-avtalen. 

Samtidig har flere av de mest omfattende kravene fått utsatte frister på EU-nivå. For mange virksomheter betyr dette at tiden fremover bør brukes til å skaffe oversikt over hvordan kunstig intelligens brukes i organisasjonen og hvilke deler av virksomheten som kan bli berørt av regelverket. 

Selv om de strengeste kravene ikke gjelder for alle virksomheter i dag, er AI Act et tydelig signal om at myndighetene forventer mer kontroll, dokumentasjon og ansvarlighet rundt bruk av kunstig intelligens. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Mange virksomheter har allerede etablerte prosesser for risikostyring. De identifiserer risikoer, vurderer sannsynlighet og konsekvens, implementerer tiltak og følger opp gjennom revisjoner og ledelsens gjennomgang. 

Men kunstig intelligens utfordrer flere av antakelsene tradisjonell risikostyring bygger på. 

Det er nettopp derfor ISO 42001 legger så stor vekt på AI-risikostyring. Standarden bygger på kjente prinsipper fra ledelsessystemer, men erkjenner samtidig at AI introduserer risikofaktorer som mange virksomheter ikke tidligere har håndtert. 

Tradisjonelle IT-systemer gjør som regel det de er programmert til å gjøre. Hvis en regel eller prosess er definert, vil systemet følge den. 

AI-systemer fungerer annerledes. 

De bygger ofte på statistiske modeller som lærer mønstre fra store datamengder. Resultatet er at utfallet ikke alltid er like forutsigbart som i tradisjonell programvare. Systemet kan produsere ulike svar på samme spørsmål, endre atferd over tid eller trekke konklusjoner som er vanskelige å forklare fullt ut. 

Det betyr ikke at AI nødvendigvis er farlig. Men det betyr at risikoen må vurderes på en annen måte. 

Når ledere tenker på teknologirisiko, handler det ofte om tilgjengelighet, sikkerhet og databeskyttelse. 

For AI er dette fortsatt viktig, men risikobildet er bredere. 

Virksomheter må også vurdere spørsmål som: 

• Kan AI-modellen gi feil eller misvisende svar?  
• Kan den introdusere skjevheter eller diskriminering?  
• Kan ansatte bli for avhengige av AI-genererte anbefalinger?  
• Er det tydelig hvem som har ansvar når AI brukes i beslutningsprosesser?  
• Kan systemet brukes på måter det opprinnelig ikke var tiltenkt?  

Dette er risikoer som ofte påvirker mennesker, virksomhetsprosesser, omdømme og etterlevelse av regelverk minst like mye som teknologien selv. 

En annen viktig forskjell er at AI-risiko sjelden er statisk. 

En maskin på fabrikkgulvet fungerer stort sett likt i morgen som den gjorde i går. Mange AI-løsninger utvikler seg derimot kontinuerlig. 

Datagrunnlag endres. Leverandører oppdaterer modeller. Nye bruksområder oppstår. Ansatte begynner å bruke verktøyene på andre måter enn det som opprinnelig var planlagt. 

Derfor legger ISO 42001 vekt på kontinuerlig overvåkning og evaluering, ikke bare en engangsvurdering før systemet tas i bruk. 

Risikostyring blir en løpende aktivitet. 

Et sentralt prinsipp i ISO 42001 er at risikoen ikke bare ligger i teknologien, men i hvordan teknologien brukes. 

Samme AI-modell kan representere svært ulik risiko avhengig av formålet. 

En chatbot som hjelper ansatte med å skrive utkast til e-poster har et helt annet risikobilde enn et system som brukes som beslutningsstøtte i ansettelser, kredittvurderinger eller helsetjenester. 

Det betyr at god AI-risikostyring krever at virksomheten forstår:

• Hvor AI brukes  
• Hvem som påvirkes av bruken  
• Hvilke beslutninger AI påvirker  
• Hvilke konsekvenser feil kan få  

Dette perspektivet går igjen gjennom hele ISO 42001. 

Et gjennomgående tema i standarden er betydningen av menneskelig kontroll. 

Mange virksomheter innfører AI for å effektivisere arbeidsprosesser, men effektivisering må ikke føre til at ansvar blir uklart. 

Ledere må kunne svare på spørsmål som: 

• Hvem eier prosessen?  
• Hvem godkjenner resultatene?  
• Hvem er ansvarlig dersom noe går galt?  

ISO 42001 legger derfor opp til at virksomheten skal definere roller, ansvar og beslutningsmyndighet knyttet til bruk av AI. 

Teknologien kan støtte mennesker. Den fritar ikke virksomheten for ansvar. 

En av de vanligste feilene virksomheter gjør, er å behandle AI som et rent IT-prosjekt. 

ISO 42001 har et annet perspektiv. 

Standarden plasserer AI inn i virksomhetens eksisterende styringsmodell. AI skal vurderes på samme måte som andre forhold som påvirker virksomhetens mål, risikoeksponering, etterlevelse og omdømme. 

Derfor involverer et AI-styringssystem ofte flere funksjoner enn bare IT: 

• Ledelse  
• Fagavdelinger  
• Compliance og kvalitet  
• Personvern og informasjonssikkerhet  
• HR  
• Risikostyring  

Målet er ikke å kontrollere teknologien i seg selv, men å styre hvordan virksomheten bruker den. 

For ledere som allerede arbeider med kvalitet, internkontroll, informasjonssikkerhet eller compliance, vil mye av tankegangen i ISO 42001 være kjent. 

Det nye er ikke nødvendigvis metodikken. 

Det nye er at AI introduserer risikoer som krever andre vurderinger enn tradisjonelle systemer og prosesser – og at systematisk AI-risikostyring derfor blir en kjernekompetanse for fremtidens virksomheter.

Virksomheter som lykkes med AI de kommende årene vil sannsynligvis være de som klarer å kombinere innovasjon med styring. Ikke fordi regelverket krever det, men fordi tillit, ansvarlighet og kontroll blir stadig viktigere når kunstig intelligens tas i bruk i virksomhetskritiske prosesser. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Mange norske virksomheter har de siste årene laget AI-strategier. De har identifisert muligheter, definert ambisjoner og pekt ut områder hvor kunstig intelligens kan skape verdi. Men en strategi alene styrer ikke bruken av AI. 

Spørsmålet ledere bør stille seg er derfor ikke om virksomheten har en AI-strategi. Spørsmålet er om virksomheten har kontroll på hvordan AI faktisk brukes. 

En AI-strategi handler gjerne om hvor virksomheten vil. AI-governance handler om hvordan virksomheten kommer dit på en trygg, ansvarlig og kontrollert måte. 

I mange organisasjoner skjer AI-bruken langt raskere enn styringen rundt den. Ansatte tar i bruk nye verktøy, avdelinger eksperimenterer med egne løsninger, og AI blir gradvis en del av arbeidsprosesser og beslutningsgrunnlag. 

Ofte uten at ledelsen har full oversikt. 

Hvis du er leder, kan du svare på disse spørsmålene: 

• Hvilke AI-verktøy brukes i virksomheten i dag?  
• Hvilke data deles med disse løsningene?  
• Hvem har ansvar for å godkjenne nye AI-verktøy?  
• Hvordan kvalitetssikres AI-generert innhold?  
• Hvilke beslutninger påvirkes av AI?  
• Hvordan dokumenterer dere bruk av AI overfor kunder, eiere og myndigheter?  

Mange ledere oppdager at de ikke har gode svar på alle spørsmålene. 

Det betyr ikke nødvendigvis at virksomheten har et problem. Men det kan bety at virksomheten mangler styring. 

AI-governance er rammeverket som sikrer at AI brukes i tråd med virksomhetens mål, verdier, risikotoleranse og regulatoriske krav. 

Det handler blant annet om: 

• roller og ansvar  
• retningslinjer for bruk av AI  
• risikovurderinger  
• kontroll med data og modeller  
• dokumentasjon og sporbarhet  
• oppfølging av lover og standarder  

Kort sagt: AI-governance gjør AI til en styrt virksomhetskapabilitet, ikke bare et sett med verktøy ansatte bruker på eget initiativ. 

Med EUs AI-forordning blir det stadig vanskeligere å behandle AI som et rent teknologiinitiativ. 

Virksomheter må kunne dokumentere hvordan AI brukes, hvilke risikoer som er vurdert, og hvilke kontrollmekanismer som er etablert. For mange vil dette kreve langt mer enn en strategi eller en generell AI-policy. Det krever styring. 

Mange virksomheter bruker betydelig tid på å diskutere hva AI kan gjøre for dem. Kanskje er det på tide å bruke like mye tid på å diskutere hvordan AI skal styres. 

For når AI blir en del av virksomhetens arbeidsprosesser og beslutninger, er det ikke lenger nok å ha en strategi. Da trenger man AI-governance. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Etter hvert som AI tas i bruk i stadig flere arbeidsprosesser, dukker det samme spørsmålet opp i mange virksomheter: Hvem har egentlig ansvaret for AI? 

Er det IT-avdelingen? HR? Kvalitetsansvarlig? Ledelsen? 

Utfordringen er at AI sjelden passer inn i én avdeling. 

Et AI-verktøy kan påvirke personvern, informasjonssikkerhet, kvalitet, arbeidsprosesser, kundebehandling og beslutninger samtidig. Derfor blir det fort uklart hvem som skal eie risikoen, retningslinjene og oppfølgingen. 

Mange starter med å plassere ansvaret hos IT. Det er forståelig, men ofte utilstrekkelig. 

IT kan ha ansvar for teknologien og sikkerheten, men de kan sjelden vurdere hvordan AI påvirker fagområdene som bruker den. 

Hvis HR bruker AI i rekruttering, må HR forstå risikoen og eie prosessen. Hvis markedsavdelingen bruker generativ AI til innholdsproduksjon, må markedsavdelingen ta ansvar for hvordan verktøyet brukes. Hvis økonomiavdelingen bruker AI til analyser eller beslutningsstøtte, må de eie sin del av bruken. 

På samme måte som avdelingene eier sine systemer og arbeidsprosesser, må de også eie AI-løsningene de bruker. 

Store virksomheter begynner nå å etablere AI-styringsgrupper, AI-governance-funksjoner og egne ansvarlige for koordinering av AI-arbeidet. 

Målet er ikke nødvendigvis å kontrollere all bruk av AI, men å skape oversikt og sikre at virksomheten har felles retningslinjer og risikovurderinger. 

For mindre virksomheter er det sjelden behov for egne AI-stillinger. Der er det ofte mer realistisk å fordele ansvaret mellom ledelse, IT, kvalitetsfunksjoner og de avdelingene som faktisk bruker teknologien. 

En av utfordringene mange virksomheter nå oppdager, er at de ikke har full oversikt over hvordan AI brukes internt. 

EU AI Act stiller ulike krav avhengig av hvordan AI benyttes. Før en virksomhet kan vurdere hvilke krav som gjelder, må den først kartlegge hvilke AI-systemer som faktisk er i bruk. 

Det er vanskelig for én person å gjøre alene. 

For å få oversikt må virksomheten involvere flere fagområder. Hver avdeling må bidra med informasjon om hvilke verktøy som brukes, hva de brukes til, og hvilke prosesser de inngår i.

Mange virksomheter leter etter én person som kan eie AI. 

I praksis handler god AI governance ofte mindre om å finne én ansvarlig og mer om å etablere tydelige roller og ansvar på tvers av virksomheten. 

Noen må koordinere arbeidet. Ledelsen må eie styringen. Men de som bruker AI i det daglige, må også eie risikoen og ansvaret for hvordan teknologien brukes i sine egne prosesser. 

Det er først når disse rollene er avklart at virksomheten får den oversikten og kontrollen som både ledelsen, ISO 42001 og EU AI Act legger opp til. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Begrepene dokumentsamling, dokumentlagring og dokumentstyring brukes ofte om hverandre. I praksis beskriver de svært ulike måter å forholde seg til virksomhetens dokumentasjon på. Forskjellen handler ikke primært om teknologi, men om styring, ansvar og tillit.

En dokumentsamling er akkurat hva det høres ut som: dokumenter samlet på ett eller flere steder, strukturert i mapper eller biblioteker. Formålet er oppbevaring og deling. 

Dokumentlagring gir et felles sted å finne filer, enkel tilgang og fleksibilitet i hvordan innholdet organiseres. Det stilles derimot få krav til hvem som eier innholdet, hvordan endringer skal håndteres, når dokumenter skal revideres, eller hvilket dokument som faktisk gjelder. 

Dette fungerer godt som arkiv og delingsflate – men gir begrenset støtte til å styre virksomhetens praksis over tid.

Dokumentstyring er systematisk forvaltning av styrende dokumentasjon gjennom hele livsløpet – fra utarbeidelse til bruk, revisjon og eventuell utfasing. 

Kjernen er ikke hvor dokumentene ligger, men hvordan de styres. Det forutsetter tydelige rammer for eierskap og ansvar, revisjon og godkjenning, versjonering og endringshistorikk, tilgang og tilgjengelighet, og etterlevelse i praksis. 

Der dokumentlagring svarer på hvor dokumentene finnes, svarer dokumentstyring på hvordan organisasjonen sikrer at dokumentasjonen er korrekt, oppdatert og faktisk brukt.

Dokumentstyring er ikke bare god praksis – det er et eksplisitt krav i de mest utbredte styringssystemstandardene. ISO 9001, ISO 14001, ISO 45001 og ISO 27001 stiller alle krav til dokumentkontroll – det vil si kontroll av dokumentert informasjon: at dokumenter er tilgjengelige der de trengs, at de er egnet for bruk, og at de er tilstrekkelig beskyttet mot utilsiktet endring eller tap. 

For virksomheter som er sertifisert – eller som arbeider mot sertifisering – er dokumentstyring derfor ikke valgfritt. Det er en forutsetning for å oppfylle standardenes krav og for å kunne dokumentere dette overfor en ekstern revisor.

Gapet mellom lagring og styring viser seg gjerne først når noen stiller spørsmål ved dokumentasjonen. Ansatte er usikre på hvilken versjon som gjelder. Flere versjoner sirkulerer samtidig. Praksis varierer mellom enheter. Revisjon etterspør sporbarhet. 

I disse situasjonene er det sjelden mangel på dokumenter som er problemet. Det er mangel på styring rundt dem. 

Konsekvensene kan være mer alvorlige enn de først fremstår. Ansatte som følger utdaterte prosedyrer, øker risikoen for feil og avvik. Internrevisjoner avdekker hull som krever ressurskrevende opprydding. Eksterne tilsyn kan i verste fall føre til avvik mot standarden – med tap av sertifisering som mulig utfall. Og i organisasjoner med høy turnover eller vekst er mangelfull dokumentstyring ofte det som gjør at kunnskap forsvinner når erfarne medarbeidere slutter.

Hva er det egentlig som gjør at vi stoler på et dokument? Spørsmålet stilles sjelden eksplisitt, men svaret er avgjørende. 

Tilliten handler ikke om tittel eller plassering. Den bygger på visshet om at dette er siste godkjente versjon, at noen har hatt et tydelig ansvar for innholdet, at endringer er gjort kontrollert og bevisst – og at det du leser, er det som gjelder nå. 

Når denne tryggheten mangler, oppstår det uformelle løsninger: lokale kopier, egne notater, «slik pleier vi å gjøre det». Over tid undergraver dette felles praksis og reell styring.

En dimensjon ved dokumentstyring som ofte undervurderes, er rollen den spiller når folk slutter eller nye kommer til. I virksomheter uten god dokumentstyring er mye av praksisen bundet opp i enkeltpersoner – i erfaring, hukommelse og uformelle rutiner som aldri er skrevet ned, eller som er skrevet ned men aldri holdt ved like. 

Når en erfaren medarbeider slutter, forsvinner denne kunnskapen ofte med dem. God dokumentstyring er det som gjør at virksomheten ikke starter på nytt hver gang – at en ny ansatt kan finne ut hvordan ting faktisk gjøres, og at opplæring bygger på noe mer solid enn kollegaenes huskelapper.

Et sentralt, men ofte oversett aspekt ved dokumentstyring er synlighet i endringer. Det er ikke nok å vite at et dokument er oppdatert. Like viktig er det å vite hvem som har gjort endringene, når de ble gjort, og hva som konkret er endret siden forrige versjon. 

Når endringer er tydelige og sporbare, øker tilliten til dokumentasjonen. Ansatte slipper å lese hele dokumenter på nytt for å finne ut hva som er nytt. Ledelsen får bedre kontroll på hvordan praksis faktisk utvikler seg over tid. 

Dette er et av de klareste skillene mellom dokumentstyring og enkel dokumentlagring – og et kjerneprinsipp i dokumentkontroll slik det forstås i ISO-standardene.

Dokumentstyring blir først verdifull når dokumentasjonen brukes aktivt i arbeidshverdagen – ikke bare som referanse, men som et styrende rammeverk for hvordan arbeidet utføres. 

Virksomheter som lykkes med dette kjennetegnes gjerne av at ansatte har én tydelig kilde til gjeldende praksis, at roller og ansvar er klart definert, at dokumentasjon oppleves relevant og til å stole på, og at revisjon og oppfølging er en naturlig del av driften – ikke et skippertak.

I Certain QMS er dokumentstyring bygget opp rundt de samme prinsippene: tydelig ansvar, kontrollert publisering og full sporbarhet i endringer. Løsningen skiller klart mellom arbeidet med å utarbeide og revidere dokumenter, og det som til enhver tid gjelder som virksomhetens offisielle, godkjente praksis. 

Utarbeidelse, revisjon og kvalitetssikring skjer i kontrollerte arbeidsflater. Ansatte som bruker dokumentasjonen i arbeidshverdagen, forholder seg kun til det som er godkjent og publisert. Det gir redusert usikkerhet og et dokumentasjonsgrunnlag som faktisk kan brukes til styring. 

For ansatte betyr dette at det alltid er siste godkjente versjon som er tilgjengelig, at det er tydelig hvem som eier innholdet og når det sist ble revidert, og at dokumentasjonen oppleves trygg å bruke i praksis. Når ansatte slipper å vurdere versjonsnummer eller sammenligne alternative dokumenter, senkes terskelen for faktisk bruk – og etterlevelsen bedres på tvers av roller og enheter. 

For virksomheten som helhet gir tilnærmingen bedre oversikt og styring: tydelig definert eierskap per dokument, full sporbarhet i hvem som har revidert og endret hva og når, oversiktlig endringshistorikk der tidligere og nye versjoner kan sammenlignes direkte, og bedre grunnlag for revisjon, dokumentkontroll og systematisk forbedringsarbeid – inkludert dokumentasjon som holder for en ekstern revisor. 

Dokumentstyring, riktig bygget opp, gjør dokumentasjonen til mer enn et arkiv. Den blir et aktivt styringsverktøy som støtter felles praksis, reduserer risiko for feil og gir et solid fundament for kvalitetsarbeidet i organisasjonens daglige drift.