Mange virksomheter som arbeider med ISO 27001 opplever at ISO 42001 virker kjent. Begge standardene bygger på de samme prinsippene for ledelsesforankring, risikostyring og kontinuerlig forbedring. 

Likevel er ISO 42001 mer enn en AI-versjon av ISO 27001. Standarden introduserer flere kontroller som er spesielt utviklet for utfordringene kunstig intelligens skaper. Det handler ikke bare om informasjonssikkerhet, men også om konsekvenser for mennesker, datakvalitet, transparens og ansvarlig bruk av AI. 

Her er syv av de viktigste kontrollområdene som skiller ISO 42001 fra tradisjonelle styringssystemer. 

Et sentralt krav i ISO 42001 er at virksomheten skal vurdere hvilke konsekvenser AI-systemer kan få for mennesker, grupper og samfunnet som helhet. 

Et AI-system kan fungere teknisk som forventet og samtidig skape uønskede konsekvenser. Det kan for eksempel påvirke ansettelsesprosesser, kundebehandling eller beslutningsgrunnlag på måter virksomheten ikke hadde forutsett. 

Dette perspektivet er langt mindre fremtredende i ISO 27001, hvor hovedfokuset er å beskytte informasjon og redusere sikkerhetsrisiko. 

ISO 42001 legger stor vekt på hvordan AI-systemer utvikles. 

Virksomheten skal definere mål og prosesser for ansvarlig utvikling, slik at hensyn som kvalitet, pålitelighet, sikkerhet og etiske vurderinger blir en del av utviklingsarbeidet. 

Dette er et viktig skille fra tradisjonelle IT-systemer. For AI handler risiko ikke bare om teknologien, men også om hvordan systemet er designet, trent og tatt i bruk.

Tradisjonell programvare testes for å sikre at den fungerer som forventet. For AI er dette ikke tilstrekkelig. 

Et AI-system kan være teknisk korrekt og samtidig gi misvisende eller uønskede resultater. Derfor stiller ISO 42001 krav til verifikasjon og validering gjennom hele livsløpet. 

Virksomheten må kunne dokumentere hvordan AI-systemet er testet, hvilke kriterier som er brukt, og hvordan resultatene er vurdert. 

En vanlig misforståelse er at AI-risiko vurderes én gang ved implementering. 

I praksis kan AI-systemer endre karakter over tid. Datagrunnlag kan utvikle seg, bruksmønstre kan endres, og resultatene kan bli dårligere enn forventet. 

ISO 42001 krever derfor at virksomheten etablerer prosesser for løpende overvåking av AI-systemenes ytelse og oppførsel. 

Dette er et område mange organisasjoner foreløpig har begrenset erfaring med. 

Kvaliteten på et AI-system er tett knyttet til kvaliteten på dataene det bygger på. 

ISO 42001 inneholder derfor flere kontroller som omhandler datainnsamling, datakvalitet, datahåndtering og dokumentasjon av dataenes opprinnelse. 

For mange virksomheter vil dette være et av de mest krevende områdene. Det er ofte enklere å anskaffe et AI-verktøy enn å dokumentere kvaliteten på dataene som brukes til å trene, konfigurere eller drifte det. 

Dårlige data gir sjelden gode AI-resultater. 

Brukere og andre interessenter må forstå hvordan AI-systemer påvirker dem. 

ISO 42001 legger derfor vekt på dokumentasjon, informasjon til brukere og rapportering av uønskede konsekvenser. 

Dette handler ikke nødvendigvis om å forklare alle tekniske detaljer, men om å gi tilstrekkelig informasjon til at brukere kan forstå systemets formål, begrensninger og risikoer. 

Transparens blir stadig viktigere etter hvert som AI tas i bruk i flere forretningskritiske prosesser. 

Et AI-system bør brukes til det formålet det er utviklet eller vurdert for. 

Dette kan virke selvsagt, men i praksis ser mange virksomheter at ansatte tar i bruk AI-verktøy på nye områder uten at risikoene er vurdert på forhånd. 

Et verktøy som er godkjent for å hjelpe med innholdsproduksjon, blir plutselig brukt som beslutningsstøtte, analyseverktøy eller kilde til faglige vurderinger. 

ISO 42001 adresserer denne utfordringen ved å kreve at virksomheten har kontroll på hva AI-systemer faktisk brukes til. 

Virksomheter som allerede arbeider med ISO 27001 vil kjenne igjen mange av prinsippene i ISO 42001. Begge standardene handler om styring, ansvarlighet og risikohåndtering. 

Samtidig introduserer ISO 42001 flere nye perspektiver som er spesifikke for kunstig intelligens. Konsekvensvurderinger, datakvalitet, transparens og ansvarlig bruk er områder som sjelden får like stor oppmerksomhet i tradisjonelle styringssystemer. 

Det er nettopp disse kontrollene som gjør AI governance til noe mer enn informasjonssikkerhet. Målet er ikke bare å beskytte virksomheten mot risiko, men også å sikre at AI-systemer utvikles og brukes på en ansvarlig, etterprøvbar og tillitvekkende måte. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

AI Act (EU AI Act) er vedtatt i EU og forventes innført i norsk lov gjennom EØS-avtalen. Samtidig øker bruken av kunstig intelligens raskt i både offentlig og privat sektor. 

For mange ledere er spørsmålet ikke lenger om virksomheten bruker AI, men hvor mye den brukes, hvilke prosesser den påvirker, og hvilke krav som kan bli aktuelle når regelverket får virkning. 

Utfordringen er at mange virksomheter ikke har tilstrekkelig oversikt til å kunne svare på disse spørsmålene. Det er her AI Act readiness kommer inn. 

AI Act readiness er en strukturert vurdering av virksomhetens bruk av kunstig intelligens med formål å identifisere hvordan AI Act kan påvirke organisasjonen. 

Vurderingen gir ledelsen et grunnlag for å forstå: 

• hvilke AI-systemer som er i bruk  
• hvilke prosesser som påvirkes av AI  
• hvilke deler av virksomheten som kan omfattes av strengere krav  
• hvilke tiltak som bør prioriteres videre  

Målet er ikke å dokumentere full etterlevelse av AI Act. Målet er å skaffe oversikt og forståelse nok til å kunne planlegge videre arbeid på en risikobasert måte. 

For de fleste organisasjoner vil den største utfordringen ikke være å skrive dokumentasjon eller etablere nye prosedyrer. Den største utfordringen vil være å forstå hvordan kunstig intelligens faktisk brukes i virksomheten. 

Jo større organisasjonen er, desto vanskeligere blir dette. 

AI brukes i dag gjennom: 

• generative AI-verktøy som ChatGPT, Copilot og Gemini  
• AI-funksjoner i eksisterende forretningssystemer  
• analyse- og beslutningsstøtteverktøy  
• leverandørløsninger som inneholder AI-funksjonalitet  

Mange virksomheter kan derfor ha en langt større AI-portefølje enn ledelsen er klar over. 

AI Act er risikobasert og konsekvensene av regelverket avhenger i stor grad av hvordan AI brukes. Det betyr at ingen kan avgjøre hvor stor betydning AI Act får uten først å kartlegge virksomhetens AI-portefølje. 

En typisk vurdering vil omfatte følgende.

Hvilke AI-løsninger finnes i virksomheten? 

Hvilke prosesser, beslutninger og arbeidsoppgaver påvirkes av AI? 

Kan noen av løsningene omfattes av høyrisikokategoriene i AI Act? 

Har virksomheten tilstrekkelige retningslinjer, roller og prosesser for AI-bruk? 

Hvilke områder bør prioriteres videre? 

Det er lett å hoppe rett til diskusjoner om AI governance, AI-policy eller ISO 42001. 

For mange virksomheter er det imidlertid vanskelig å vite hvilke tiltak som er nødvendige før de har fått oversikt over dagens situasjon. 

En AI Act readiness-vurdering gir ledelsen et faktabasert grunnlag for å vurdere risiko, prioriteringer og videre arbeid. 

For noen virksomheter vil vurderingen vise at dagens AI-bruk representerer begrenset regulatorisk risiko. For andre kan den avdekke behov for mer omfattende tiltak knyttet til styring, dokumentasjon og internkontroll. 

AI Act kommer ikke til å påvirke alle virksomheter på samme måte. Hvor stor betydning regelverket får, avhenger av virksomhetens AI-portefølje, bruksområder og risikoprofil. 

Derfor er det første og viktigste steget å etablere oversikt. 

Virksomheter som starter dette arbeidet tidlig vil være bedre rustet til å møte både regulatoriske krav og den videre utviklingen innen kunstig intelligens. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Kunstig intelligens er på vei inn i stadig flere virksomhetsprosesser. Ansatte bruker AI til å skrive, analysere, oppsummere, søke etter informasjon og generere beslutningsgrunnlag. Mange virksomheter eksperimenterer også med AI-løsninger som integreres med interne systemer, dokumenter og arbeidsflyter. 

For mange ledere oppleves AI først og fremst som en ny type programvare. Men det er nettopp her mye av utfordringen ligger. AI fungerer fundamentalt annerledes enn de fleste systemene virksomheter er vant til å styre og kontrollere. 

Tradisjonell programvare følger regler. AI arbeider med sannsynligheter. Tradisjonelle systemer er bygget for å være forutsigbare. AI er bygget for å håndtere usikkerhet. Derfor oppstår det også risikoer som mange ledere ikke tidligere har måttet forholde seg til. 

De fleste IT-systemer er deterministiske. Det betyr at samme input normalt gir samme output. 

Hvis en kunde bestiller et produkt, registreres ordren. Hvis en faktura er forfalt, sendes en påminnelse. Hvis en bruker ikke har tilgang, får vedkommende ikke logget inn. Systemet gjør det det er programmert til å gjøre. 

Moderne AI fungerer annerledes. En språkmodell er ikke bygget rundt faste regler for alle mulige situasjoner. Den er trent på enorme mengder tekst og beregner hvilke svar som statistisk sett er mest sannsynlige basert på det den har lært. 

Resultatet er at AI kan løse oppgaver den aldri eksplisitt er programmert for. Samtidig blir oppførselen mindre forutsigbar. To personer kan stille omtrent samme spørsmål og få ulike svar. Små endringer i formuleringer eller kontekst kan påvirke resultatet betydelig. 

Dette er ikke nødvendigvis en feil ved teknologien. Det er en egenskap ved hvordan moderne AI fungerer. Men det gjør at AI må vurderes annerledes enn tradisjonelle systemer som er bygget rundt faste regler og forutsigbare prosesser. 

En av de mest omtalte risikoene ved generativ AI er hallusinasjoner. 

Begrepet beskriver situasjoner hvor en AI-modell produserer informasjon som virker plausibel og overbevisende, men som faktisk er feil. Modellen kan finne på kilder, referanser, hendelser, sitater eller fakta uten å forstå at informasjonen er uriktig. 

For mange ledere er dette en uvant type feil. Når et regnskapssystem beregner feil moms, oppfattes det som en feil i systemet. Når en AI-modell presenterer feil informasjon, kan den derimot gjøre det på en måte som fremstår både logisk, strukturert og faglig troverdig. 

Problemet er derfor ikke bare at AI kan ta feil. Problemet er at feilene ofte er vanskelige å oppdage. 

Dette skyldes at språkmodeller ikke er bygget for å vurdere hva som er sant. De er bygget for å generere det mest sannsynlige svaret basert på mønstrene de har lært gjennom trening. I de fleste tilfeller gir dette imponerende resultater. Men når modellen mangler informasjon eller misforstår konteksten, kan den produsere svar som virker riktige uten å være det. 

AI-modeller er et produkt av dataene de lærer fra.  

Dersom datagrunnlaget er mangelfullt, utdatert eller inneholder systematiske skjevheter, vil dette ofte påvirke resultatene modellen produserer. Dette gjelder både generelle språkmodeller og virksomhetsspesifikke AI-løsninger som trenes eller tilpasses på interne data. 

Bias er et av de mest brukte begrepene innen AI-risiko. Det beskriver situasjoner hvor en modell systematisk favoriserer eller diskriminerer bestemte grupper, perspektiver eller utfall. 

I praksis er utfordringen ofte mer kompleks enn at AI er «biased». Modellen gjenspeiler i stor grad mønstrene den finner i dataene den har blitt eksponert for. Hvis historiske data inneholder skjevheter, kan AI videreføre eller forsterke disse. 

Derfor handler datakvalitet ikke bare om riktige data. Det handler også om representativitet, relevans og kontekst. To modeller med samme teknologi kan gi svært ulike resultater avhengig av hvilke data de bygger på.

I mange virksomheter er det viktig å kunne forklare hvorfor en beslutning ble tatt. Dette gjelder særlig innen kvalitet, revisjon, compliance, informasjonssikkerhet og andre områder hvor sporbarhet står sentralt. AI utfordrer dette prinsippet. 

Mange moderne modeller fungerer som det som ofte omtales som en «black box». Man kan observere hvilke data som går inn, og man kan se resultatet som kommer ut. Men det er ikke alltid mulig å forklare nøyaktig hvordan modellen kom frem til konklusjonen. 

Dette betyr ikke at AI nødvendigvis er ukontrollerbar. Men det betyr at forklarbarheten ofte er svakere enn i tradisjonelle regelbaserte systemer. 

Jo mer avansert modellen blir, desto vanskeligere kan det bli å forstå hvilke faktorer som påvirket resultatet. For virksomheter som er avhengige av dokumentasjon, revisjonsspor og etterprøvbarhet, representerer dette en ny type utfordring som mange ikke tidligere har vært eksponert for.

Den kanskje mest undervurderte AI-risikoen handler ikke om algoritmer eller teknologi. Den handler om mennesker. 

Automatiseringsbias er et etablert begrep innen forskning på beslutningsstøtte og beskriver menneskers tendens til å stole for mye på anbefalinger fra teknologiske systemer. 

Dette fenomenet er ikke nytt. Det har vært observert i alt fra luftfart til medisinsk diagnostikk. Men generativ AI gjør problemstillingen mer aktuell enn noen gang. 

Når en AI-modell leverer raske, velformulerte og tilsynelatende intelligente svar, er det naturlig å tillegge anbefalingene høy verdi. Over tid kan mennesker bli mindre kritiske og bruke mindre tid på egne vurderinger. 

Risikoen er derfor ikke nødvendigvis at AI tar beslutninger på egen hånd. Risikoen er at mennesker gradvis begynner å stole på teknologien uten å gjennomføre den faglige kvalitetssikringen som situasjonen krever. 

Jo bedre AI blir til å kommunisere, desto viktigere blir det å huske at overbevisende svar ikke nødvendigvis er korrekte svar. 

Kunstig intelligens representerer et betydelig teknologisk sprang, men den introduserer også et risikobilde som skiller seg fra tradisjonell programvare. 

Hallusinasjoner, bias, manglende forklarbarhet og automatiseringsbias er ikke nødvendigvis tegn på at teknologien fungerer dårlig. Tvert imot er de ofte en konsekvens av hvordan moderne AI er bygget og hvorfor den er så kraftig. 

For ledere handler det derfor ikke om å bli eksperter på maskinlæring eller nevrale nettverk. Det handler om å forstå at AI har andre egenskaper enn systemene virksomheten tradisjonelt har jobbet med. 

Jo bedre man forstår disse egenskapene, desto bedre rustet er man til å vurdere både mulighetene og begrensningene teknologien bringer med seg. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!