Mange virksomheter kjenner seg igjen i de samme utfordringene. Viktig kunnskap sitter ofte hos enkeltpersoner, ansvar kan være uklart, arbeidsmetoder varierer, og ledelsen mangler full oversikt. Dette er ofte tegn på at virksomheten mangler en tydelig prosessorientering.

Prosessorientering handler ikke om å produsere mer dokumentasjon. Det handler om å skape bedre flyt i arbeidet, tydeliggjøre ansvar og legge til rette for kontinuerlig forbedring.

Når virksomheter jobber mer prosessorientert, blir de ofte mindre sårbare, mer effektive og bedre rustet for vekst og langsiktig virksomhetsutvikling.

Prosessorientering handler om å se virksomheten som en helhet av arbeidsprosesser som skaper verdi for kunden. Arbeidet styres etter hvordan oppgavene flyter gjennom organisasjonen, ikke bare etter avdelinger, roller eller systemer.

Når en virksomhet jobber prosessorientert, følger ansvar prosessen fra start til slutt. Arbeidsmåter blir standardiserte, prosesser holdes levende og utvikles kontinuerlig, og forbedring blir en naturlig del av kulturen.

Dette er en viktig forskjell. Mange tror prosessorientering er et prosjekt man gjennomfører én gang, mens det i realiteten handler om langsiktig prosessledelse. I praksis er det en styringsmodell og en arbeidsmåte som må leve over tid.

Manglende prosessorientering kan få store konsekvenser, både operativt og strategisk. Det finnes flere typiske situasjoner som ofte oppstår når prosessene ikke er tydelige.

Når viktig kunnskap kun finnes i hodet til én person, blir virksomheten sårbar. Når personen slutter, forsvinner også mye av forståelsen for hvordan arbeidet faktisk utføres. Konsekvensen er ofte betydelig tidstap, ineffektiv onboarding og høy risiko for feil.

Når ansvar er uklart, blir oppgaver liggende. Kunder venter, interne avklaringer tar tid og oppfølging uteblir. Dette kan skape frustrasjon både internt og eksternt. I verste tilfelle kan en miste kunder.

Ulike arbeidsmetoder gir ulik kvalitet. Det kan fungere på kort sikt, men gjør virksomheten uforutsigbar og vanskelig å forbedre. Standardisering er avgjørende for å sikre kvalitet.

Uten synlige prosesser blir det vanskelig å forstå hvordan arbeidet faktisk foregår. Beslutninger tas på magefølelse fremfor fakta. Det gjør virksomheten mindre robust.

Et tydelig eksempel på hvor kritiske gode prosesser er, finner vi i helsevesenet.

I perioden 2016–2017 ble det rapportert 3557 legemiddelfeil i norske sykehus, og 62 prosent av disse førte til skade på pasienter. Noen av tilfellene hadde alvorlige konsekvenser, inkludert dødsfall.

Årsaken knyttes til uklare, inkonsistente eller mangelfulle prosesser. Poenget her er viktig. Feil skjer ikke nødvendigvis fordi mennesker er uforsiktige. Ofte skjer de på grunn av manglende prosessorientering.

Dette gjelder ikke bare helsevesenet. I alle bransjer kan dårlige prosesser koste penger, kvalitet, tillit og i verste tilfelle – liv.

Et av de mest kjente eksemplene på vellykket prosessorientering er Toyota.

Da Toyota tok over en tidligere fabrikk fra General Motors på 1980-tallet, brukte de mange av de samme ansatte, i de samme lokalene, men med en helt annen arbeidsmetodikk.

Resultatet var dramatisk. Fraværet falt fra rundt 20 prosent til 2 prosent. Kvaliteten økte betydelig, og leveringstiden ble kraftig redusert.

Forskjellen lå ikke i ny teknologi eller flere ansatte. Den lå i standardiserte prosesser, tydelig ansvar og en kultur for kontinuerlig forbedring.

Dette er kjernen i prosessorientering.

Mange virksomheter har omfattende dokumentasjon, men mangler likevel gode prosesser.

Dokumenter og prosesser har ulike roller. Dokumenter er statiske. De må leses, tolkes og forstås. Prosesser er visuelle og gir raskere oversikt over hvem som gjør hva, når og hvordan.

Dette er særlig viktig i onboarding, opplæring og tverrfaglig samarbeid, hvor tydelighet og tilgjengelighet er avgjørende.

Dokumenter har fortsatt en viktig rolle, spesielt innen kvalitetsstyring, men de bør støtte prosessene, ikke erstatte dem.

Kort sagt handler det om å la prosessen komme først, mens dokumentene fungerer som støtte der det er nødvendig.

Virksomheter som lykkes med prosessorientering, opplever ofte flere konkrete gevinster.

De blir mindre sårbare for fravær og utskiftninger. De reduserer feil og avvik. De skaper mer forutsigbar kvalitet. De får bedre grunnlag for prosessforbedring og kan jobbe mer systematisk med å optimalisere arbeidsflyten. Og de blir mer skalerbare når virksomheten vokser.

For ledelsen betyr det bedre beslutningsgrunnlag og mindre tid brukt på avvik og brannslukking.

For medarbeiderne betyr det mindre usikkerhet, tydeligere ansvar og en enklere arbeidshverdag.

For kundene betyr det bedre kvalitet og mer forutsigbar levering.

Prosessorientering krever mer enn å tegne opp et prosesskart.

For å lykkes er det fire grunnleggende byggesteiner som må være på plass: forankring i ledelsen, tydelig prosesseierskap, god prosesskartlegging som gir synlige prosesser og kontinuerlig forbedring.

Disse fire elementene må fungere sammen.

Kanskje viktigst av alt er kulturen. For å lykkes må prosessene brukes aktivt, eies av organisasjonen og forbedres over tid.

Dette er ikke et engangsprosjekt. Det er en langsiktig endringsreise som ofte tar flere år.

Det viktigste er å begynne.

Et godt første steg er å identifisere én kritisk prosess i virksomheten og stille noen enkle spørsmål. Er ansvaret tydelig? Er arbeidsflyten synlig? Jobber alle på samme måte? Vet vi hvor flaskehalsene er?

Svarene gir ofte et ærlig bilde av hvor moden virksomheten er, og hvor det finnes størst potensial for forbedring.

Prosessorientering handler ikke om å endre alt på én gang. Det handler om å skape tydelighet, bygge gode arbeidsvaner og legge grunnlaget for kontinuerlig forbedring.

Jo tidligere man starter, desto raskere kan virksomheten redusere sårbarhet, styrke kvaliteten og bygge en mer robust og effektiv drift.

Mange virksomheter forbinder ledelsens gjennomgang først og fremst med et krav i ISO-standardene. Men virksomheter som får størst verdi av prosessen, ser på den som noe langt mer enn en obligatorisk aktivitet før revisjon. Når ledelsens gjennomgang brukes riktig, blir den et strategisk verktøy som hjelper ledelsen med å evaluere organisasjonens retning, identifisere risikoer og sikre kontinuerlig forbedring.

Her ser vi nærmere på hva ledelsens gjennomgang er, hvorfor den er viktig, og hvordan virksomheter kan gjennomføre prosessen effektivt ved hjelp av et digitalt styringssystem som Certain QMS.

Artikkelen oppsummerer webinaret vi holdt i vår. Du kan lese høydepunktene her eller se opptaket i sin helhet.

Ledelsens gjennomgang (også kalt ledelsens gjennomgåelse) er en strukturert og planlagt aktivitet der virksomhetens øverste ledelse vurderer om styringssystemet fortsatt er egnet, tilstrekkelig og effektivt.

Dette er et sentralt krav i ISO-standarder som ISO 9001, ISO 14001, ISO 45001 og ISO 27001. Hensikten er å sikre at styringssystemet støtter virksomhetens strategi og bidrar til at organisasjonen når sine mål.

Når standardene omtaler egnethet, handler det om hvorvidt måten virksomheten opererer på fortsatt er i samsvar med strategien og organisasjonens behov. Tilstrekkelighet handler om hvorvidt virksomheten har de ressursene, strukturene og kompetansen som kreves for å lykkes. Effektivitet handler om resultatene – om tiltak, beslutninger og prosesser faktisk gir ønsket effekt.

Mange virksomheter gjennomfører ledelsens gjennomgang én gang i året, men en kan også dele prosessen opp i kvartalsvise eller halvårlige gjennomganger. Det viktigste er at prosessen gjennomføres regelmessig og at den brukes aktivt av ledelsen.

En vanlig misforståelse er at ledelsens gjennomgang bare er et utvidet statusmøte.

I virkeligheten skal gjennomgangen løfte blikket fra den daglige driften og gi et helhetlig bilde av organisasjonen. Formålet er ikke å diskutere enkelthendelser eller isolerte utfordringer, men å vurdere hvordan virksomheten fungerer som helhet.

Ledelsen skal kunne svare på spørsmål som:

• Beveger vi oss i riktig retning?
• Støtter styringssystemet strategien vår?
• Har vi risikoer som ikke er akseptable?
• Er det behov for å justere kursen?
• Får vi ønsket effekt av tiltakene vi gjennomfører?

Gjennomgangen skal derfor være et strategisk kontrollpunkt hvor ledelsen vurderer virksomhetens samlede utvikling.

Når ISO-standardene krever at virksomheten skal gjennomgå styringssystemet, handler det om langt mer enn dokumentasjon og prosedyrer.

Et styringssystem består riktignok av prosesser, roller, ansvar og digitale verktøy. Men det handler også om hvordan organisasjonen faktisk fungerer i praksis.

Hvordan tas beslutninger? Hvordan håndteres risiko? Hvordan følges avvik opp? Hvordan skjer læring og forbedring? Og hvordan oppfører organisasjonen seg når den blir satt under press?

Gjennom dataene som samles i styringssystemet, får ledelsen et bilde av organisasjonens faktiske adferd over tid. Derfor blir ledelsens gjennomgang også en vurdering av virksomhetskulturen.

Det handler ikke bare om hva virksomheten sier at den gjør, men om hva den faktisk gjør.

Mange kjenner uttrykket «culture eats strategy for breakfast».

Selv den beste strategien vil få begrenset effekt dersom organisasjonens kultur trekker virksomheten i en annen retning. Derfor er ledelsens gjennomgang en viktig arena for å undersøke om kultur, adferd og beslutninger støtter den retningen virksomheten ønsker å gå.

Hvis ansatte daglig tar beslutninger som gradvis beveger organisasjonen bort fra strategien, vil kulturen over tid få større innflytelse enn ledelsens planer.

Selv om ISO-standardene sjelden bruker ordet «kultur», ligger det tydelige forventninger om dette i vurderingen av styringssystemets egnethet og effektivitet. Ledelsens gjennomgang gir derfor ledelsen en unik mulighet til å avdekke gap mellom strategi og faktisk praksis.

Når prosessen brukes riktig, blir den et viktig lederverktøy for å styre utviklingen av virksomheten.

ISO-standardene stiller krav til hvilke inndata som skal vurderes i ledelsens gjennomgang. Samtidig er det viktig å huske at målet ikke er å samle mest mulig data.

Verdien ligger i analysen av dataene.

Ledelsen bør fokusere på mønstre, trender og signaler som sier noe om hvordan virksomheten utvikler seg.

Typiske områder som vurderes er:

• Status på tiltak fra tidligere ledelsens gjennomganger
• Resultater fra revisjoner
• Avvik og korrigerende tiltak
• Risikoer og muligheter
• Endringer i interne og eksterne forhold
• Måloppnåelse og prestasjoner
• Ressurser og kompetanse
• Kunde- og interessenttilbakemeldinger
• Etterlevelse av lovkrav og andre krav

For virksomheter som er sertifisert etter flere standarder, vil enkelte krav være spesifikke for den aktuelle standarden. Eksempelvis vil ISO 9001 legge større vekt på kundetilfredshet, mens ISO 14001 fokuserer på miljøprestasjoner og ISO 27001 på informasjonssikkerhet.

Selve verdien av ledelsens gjennomgang oppstår ikke når data presenteres, men når ledelsen diskuterer hva dataene betyr.

Hvis gjennomgangen kun består av rapportering uten refleksjon og beslutninger, går virksomheten glipp av den viktigste delen av prosessen.

Ledelsen må stille spørsmål som:

• Hvorfor når vi ikke målene våre?
• Hvilke utfordringer går igjen?
• Hvilke risikoer bør prioriteres?
• Hva forteller trendene oss om fremtiden?
• Hvilke tiltak må vi sette i gang?

Et økende antall avvik er for eksempel ikke nødvendigvis problemet i seg selv. Det interessante er hva utviklingen forteller om organisasjonen. Mangler virksomheten kompetanse? Er kapasiteten for lav? Har prioriteringene vært feil?

Svarene på disse spørsmålene danner grunnlaget for beslutninger som kan påvirke virksomhetens videre utvikling.

En god diskusjon har liten verdi dersom den ikke resulterer i konkrete handlinger.

Beslutningene fra ledelsens gjennomgang må derfor dokumenteres og følges opp systematisk. Dette kan være:

• Korrigerende tiltak knyttet til avvik
• Forbedringsforslag
• Nye mål eller prioriteringer
• Ressursbeslutninger
• Endringer i prosesser eller arbeidsmetoder

Alle tiltak bør ha tydelige ansvarlige personer, forventede resultater og planlagte frister.

Oppfølgingen er avgjørende for å sikre at tiltakene faktisk gir ønsket effekt. Hvis et tiltak ikke fungerer som planlagt, må virksomheten evaluere hvorfor og eventuelt justere kursen.

Kontinuerlig forbedring skjer ikke fordi man registrerer et problem. Den skjer fordi man følger opp til problemet er løst.

I mange virksomheter ligger informasjonen som trengs for ledelsens gjennomgang spredt i ulike systemer, dokumenter og regneark. Det gjør prosessen både tidkrevende og sårbar.

I Certain QMS kan ledelsens gjennomgang struktureres gjennom bruk av årshjul, oppgaver, risiko, avvik, revisjoner, dokumentstyring og rapportering.

Et årshjul gjør det mulig å planlegge aktiviteter, fordele ansvar og sikre at gjennomgangen gjennomføres på faste intervaller. Samtidig kan virksomheten hente innsikt fra relevante moduler som:

• Avvik og forbedringer
• Risikovurderinger
• Revisjoner
• Sjekklister og kontroller
• Dokumentstyring
• Register for lovkrav og samsvarsvurderinger
• Dashboards og rapporter

Ved å samle informasjonen på ett sted får ledelsen et bedre grunnlag for å identifisere trender, følge opp beslutninger og dokumentere at kravene i ISO-standardene er oppfylt.

De mest modne organisasjonene ser ikke på ledelsens gjennomgang som en årlig ISO-øvelse. De bruker den som et aktivt styringsverktøy for å sikre at strategi, kultur og drift trekker i samme retning.

Når prosessen planlegges godt, bygger på relevante data og fører til konkrete beslutninger, blir ledelsens gjennomgang en viktig del av virksomhetens ledelse og kontinuerlige forbedringsarbeid. Da handler den ikke lenger om å tilfredsstille et krav i en standard – men om å skape bedre resultater.

ISO 42001 er verdens første internasjonale standard for AI-styringssystemer. Standarden gir virksomheter et rammeverk for å styre risiko, ansvar, transparens og kontinuerlig forbedring knyttet til bruk av kunstig intelligens (KI). 

Etter hvert som kunstig intelligens blir en stadig viktigere del av virksomheters arbeidsprosesser, øker også kravene til kontroll, dokumentasjon og ansvarlig bruk. Samtidig innfører EU nye reguleringer gjennom AI Act. Dette gjør at stadig flere virksomheter ønsker å etablere et AI-styringssystem basert på ISO 42001. 

I denne artikkelen forklarer vi hva ISO 42001 er, hvem standarden er relevant for, hvilke krav den stiller, hvordan den henger sammen med AI Act og hvordan virksomheter kan arbeide mot sertifisering. 

ISO/IEC 42001:2023 er verdens første internasjonale standard for styringssystemer for kunstig intelligens. Standarden er utviklet av ISO (International Organization for Standardization) og IEC (International Electrotechnical Commission) og beskriver kravene til et Artificial Intelligence Management System (AIMS), ofte omtalt som et AI-styringssystem. 

På samme måte som ISO 9001 gir et rammeverk for kvalitetsstyring og ISO 27001 gir et rammeverk for informasjonssikkerhet, gir ISO 42001 et rammeverk for styring av kunstig intelligens. 

Målet er å hjelpe virksomheter med å bruke AI på en ansvarlig, dokumentert og kontrollert måte. Standarden dekker både utvikling, anskaffelse, implementering og bruk av AI-systemer. 

ISO 42001 kan brukes av virksomheter i alle bransjer og størrelser, enten de utvikler egne AI-løsninger eller benytter AI-teknologi levert av andre. 

AI skaper store muligheter for effektivisering, innovasjon og bedre beslutningsstøtte. Samtidig introduserer teknologien nye typer risiko som tradisjonelle styringssystemer ikke fullt ut adresserer. 

Virksomheter må blant annet håndtere spørsmål som: 

• Hvordan sikrer vi at AI-modeller gir pålitelige resultater?  

• Hvordan oppdager vi skjevheter eller diskriminering i AI-systemer?  

• Hvordan dokumenterer vi beslutninger som er påvirket av AI?  

• Hvordan ivaretar vi personvern og informasjonssikkerhet?  

• Hvem har ansvar dersom AI gir feil anbefalinger eller beslutningsgrunnlag?  

• Hvordan overvåker vi AI-systemer som utvikler seg over tid?  

ISO 42001 ble utviklet for å gi virksomheter en strukturert metode for å håndtere disse utfordringene gjennom etablerte styringsprinsipper, risikostyring og kontinuerlig forbedring. 

Mange antar at ISO 42001 kun er relevant for teknologiselskaper som utvikler egne AI-modeller. I praksis er målgruppen langt bredere. Standarden er relevant for alle virksomheter som utvikler, leverer eller bruker AI i sine produkter, tjenester eller arbeidsprosesser.

Bedrifter som bruker verktøy som Microsoft Copilot, ChatGPT eller andre AI-funksjoner i sine daglige arbeidsprosesser. 

Organisasjoner som bruker AI til analyse, beslutningsstøtte eller automatisering av arbeidsprosesser. 

Selskaper som bruker AI til prediktivt vedlikehold, kvalitetskontroll eller produksjonsoptimalisering. 

Virksomheter som benytter AI til risikovurderinger, svindeldeteksjon eller automatiserte beslutningsprosesser. 

Virksomheter som utvikler AI-baserte produkter eller bygger AI-funksjonalitet inn i eksisterende løsninger. 

Virksomheter som bistår kunder med AI-rådgivning, implementering eller utvikling. 

Mange virksomheter tenker på AI som avanserte språkmodeller eller spesialutviklede løsninger. Realiteten er at mange organisasjoner allerede bruker AI i dag uten å ha et bevisst forhold til det. 

AI er i ferd med å bli en integrert del av: 

• Microsoft 365  

• CRM-systemer  

• ERP-løsninger  

• Analyse- og rapporteringsverktøy  

• Markedsføringsplattformer  

• Kundeservicesystemer  

• Rekrutteringsverktøy  

Dette betyr at behovet for AI governance ikke bare gjelder virksomheter som utvikler AI. Det gjelder også virksomheter som bruker AI som en del av sine arbeidsprosesser. 

Et AI-styringssystem, også kalt et styringssystem for kunstig intelligens, er summen av prosesser, roller, retningslinjer, kontroller og dokumentasjon som sikrer ansvarlig bruk av AI i virksomheten. 

Målet er ikke å kontrollere teknologien alene. Målet er å kontrollere hvordan virksomheten bruker teknologien. 

Et AI-styringssystem bidrar blant annet til: 

• Klare roller og ansvar  

• Systematisk risikostyring  

• Kontroll på data og modeller  

• Dokumentasjon av beslutninger  

• Overvåkning av AI-systemer  

• Håndtering av avvik  

• Kontinuerlig forbedring  

På samme måte som andre ISO-baserte styringssystemer skal AI-styringssystemet være en integrert del av virksomhetens ledelse og drift. 

ISO 42001 følger den samme harmoniserte strukturen som brukes i moderne ISO-standarder. Dette gjør det enklere å integrere standarden med eksisterende styringssystemer som ISO 9001 og ISO 27001. 

Kravene er organisert i følgende hovedkapitler.

Virksomheten må forstå hvordan AI påvirker interessenter, forretningsmål og omgivelser. 

Ledelsen må etablere politikk, ansvar og mål for AI-styringssystemet. 

Virksomheten må identifisere risikoer, muligheter og nødvendige tiltak. 

Krav til kompetanse, ressurser, kommunikasjon og dokumentasjon. 

Styring av AI-relaterte aktiviteter og prosesser. 

Overvåkning, måling, intern revisjon og ledelsens gjennomgang. 

Håndtering av avvik og kontinuerlig forbedring av styringssystemet. 

Selv om standarden inneholder mange detaljerte krav, er det noen sentrale temaer som går igjen. 

Virksomheten må etablere tydelige styringsmekanismer for bruk av kunstig intelligens. Dette innebærer blant annet roller, ansvar, beslutningsprosesser og rapportering. 

AI-relaterte risikoer må identifiseres, vurderes og håndteres systematisk. Risikoene kan være tekniske, juridiske, etiske eller forretningsmessige. 

Standarden legger stor vekt på å forstå hvilke konsekvenser AI-systemer kan få for mennesker, organisasjonen og samfunnet. 

AI-systemer skal styres gjennom hele livssyklusen: 

• Planlegging
• Utvikling
• Testing
• Implementering
• Drift
• Overvåkning
• Avvikling

Virksomheten må ha kontroll på kvaliteten, opprinnelsen og bruken av data som benyttes i AI-systemer. 

Interessenter må få nødvendig informasjon om hvordan AI brukes og hvilke konsekvenser bruken kan ha. 

AI-styringssystemet skal evalueres og forbedres over tid på samme måte som andre ledelsessystemer.

Ta kontakt for å høre hvordan vi kan hjelpe din virksomhet!

Det finnes ingen fasit, men enkelte virksomheter vil ha større behov enn andre. 

Et AI-styringssystem er spesielt relevant dersom virksomheten: 

• Utvikler egne AI-løsninger  
• Leverer AI-baserte tjenester til kunder  
• Bruker AI i beslutningsprosesser  
• Behandler personopplysninger gjennom AI  
• Opererer i regulerte bransjer  
• Forventer krav fra kunder eller myndigheter knyttet til AI  

Mange virksomheter opplever allerede at kunder stiller spørsmål om hvordan AI brukes, hvilke data som benyttes og hvilke kontroller som er etablert. 

ISO 9001 handler om kvalitetsstyring. 

ISO 42001 handler om styring av kunstig intelligens. 

Begge standardene bygger på risikobasert tenkning, ledelsesforankring og kontinuerlig forbedring. ISO 42001 introduserer imidlertid krav som er spesifikke for AI. 

Dette inkluderer blant annet: 

• AI-risikovurderinger  
• Datastyring  
• Transparens  
• Menneskelig kontroll  
• Konsekvensvurderinger  
• AI-spesifikk governance  

For virksomheter som allerede er sertifisert etter ISO 9001 vil mye av strukturen være kjent. 

ISO 27001 fokuserer på informasjonssikkerhet. 

ISO 42001 fokuserer på styring av kunstig intelligens. 

Det finnes betydelig overlapp mellom standardene, spesielt innen: 

• Risikostyring  
• Leverandørstyring  
• Dokumentasjon  
• Intern revisjon  
• Ledelsens gjennomgang  
• Kontinuerlig forbedring  

Mange virksomheter vil derfor kunne integrere ISO 42001 med eksisterende styringssystemer basert på ISO 27001. 

AI governance beskriver disiplinen eller fagområdet som handler om styring av kunstig intelligens. 

ISO 42001 er en konkret standard som beskriver hvordan virksomheter kan etablere et styringssystem for AI governance. 

Man kan derfor si at: 

• AI governance er målet.  
• ISO 42001 er rammeverket.  

På samme måte som informasjonssikkerhet er fagområdet, mens ISO 27001 er standarden som beskriver hvordan arbeidet kan organiseres. 

AI Act er EUs regelverk for kunstig intelligens. 

ISO 42001 er en internasjonal standard for AI-styringssystemer. 

Dette er to forskjellige ting, men de har mange felles temaer. 

AI Act stiller juridiske krav til bestemte typer AI-systemer. ISO 42001 gir et styringsrammeverk som kan hjelpe virksomheter med å etablere prosesser, ansvar og dokumentasjon som støtter etterlevelse av disse kravene. 

Begge fokuserer blant annet på: 

• Risikostyring  
• Dokumentasjon  
• Transparens  
• Ansvarlighet  
• Overvåkning  
• Menneskelig kontroll 

Ja. ISO 42001 er en internasjonal standard og kan sertifiseres gjennom akkrediterte sertifiseringsorganer på samme måte som ISO 9001 og ISO 27001. 

Interessen for ISO 42001 er fortsatt i en tidlig fase i Norge, men mange forventer at etterspørselen vil øke betydelig etter hvert som AI Act får større betydning og AI tas i bruk i stadig flere virksomheter. 

Veien til sertifisering vil variere mellom virksomheter, men består ofte av følgende steg: 

Identifiser hvilke AI-systemer som brukes i virksomheten. 

Sammenlign dagens praksis med kravene i ISO 42001. 

Definer roller, ansvar, prosesser og nødvendig dokumentasjon. 

Gjennomfør tiltak knyttet til risikostyring, datastyring og governance. 

Kontroller at styringssystemet fungerer som planlagt. 

Ledelsen må evaluere systemets effektivitet og modenhet. 

Et akkreditert sertifiseringsorgan gjennomfører revisjon og vurderer om kravene er oppfylt. 

For mange virksomheter er det viktigste første steget å skaffe oversikt. 

Start med å kartlegge: 

• Hvilke AI-verktøy som brukes i virksomheten  
• Hvem som bruker dem  
• Hvilke data som behandles  
• Hvilke risikoer som finnes  
• Hvilke krav kunder eller myndigheter stiller  

Deretter kan virksomheten etablere et styringssystem som bygger videre på eksisterende prosesser for kvalitet, informasjonssikkerhet, personvern og risikostyring. 

ISO 42001 er verdens første internasjonale standard for AI-styringssystemer. Standarden gir virksomheter et strukturert rammeverk for å styre risiko, ansvar, transparens og kontinuerlig forbedring knyttet til bruk av kunstig intelligens. 

Etter hvert som AI blir en stadig viktigere del av hvordan virksomheter arbeider, tar beslutninger og leverer tjenester, vil behovet for AI governance og dokumentert styring øke. 

For virksomheter som ønsker å etablere et AI-styringssystem, forberede seg på AI Act eller dokumentere modenhet innen ansvarlig bruk av kunstig intelligens, vil ISO 42001 sannsynligvis bli en av de viktigste standardene i årene som kommer. 

ISO 42001 er verdens første internasjonale standard for AI-styringssystemer. Standarden gir virksomheter et strukturert rammeverk for å styre risiko, ansvar, transparens og kontinuerlig forbedring knyttet til bruk av kunstig intelligens. 

Etter hvert som AI blir en stadig viktigere del av hvordan virksomheter arbeider, tar beslutninger og leverer tjenester, vil behovet for AI governance og dokumentert styring øke. 

For virksomheter som ønsker å etablere et AI-styringssystem, forberede seg på AI Act eller dokumentere modenhet innen ansvarlig bruk av kunstig intelligens, vil ISO 42001 sannsynligvis bli en av de viktigste standardene i årene som kommer. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Da personvernforordningen (GDPR) ble innført, ble praktisk talt alle virksomheter berørt. Mange ledere spør derfor om AI Act vil få tilsvarende konsekvenser. Svaret er mer nyansert. 

AI Act er bygget opp rundt en risikobasert tilnærming, der kravene avhenger av hvordan kunstig intelligens brukes og hvilke konsekvenser den kan få for mennesker og samfunn. To virksomheter kan derfor bruke AI hver dag, men møte helt ulike regulatoriske krav. 

For de fleste virksomheter er det ikke bransjen alene som avgjør hvor mye de påvirkes av AI Act. Det avgjørende er hvilke AI-systemer som er i bruk, hvilke data de behandler, og om de inngår i beslutninger som påvirker mennesker. 

AI Act skiller mellom ulike risikonivåer. Mens enkelte typer AI blir forbudt, vil de strengeste kravene gjelde såkalte høyrisikosystemer. 

Dette innebærer at mange virksomheter vil kunne bruke generative AI-verktøy uten omfattende nye forpliktelser, mens andre må etablere dokumenterte prosesser for risikovurdering, kontroll og oppfølging. 

Derfor er det misvisende å spørre om en virksomhet er «omfattet av AI Act». Alle virksomheter som bruker AI vil i større eller mindre grad bli berørt. Det sentrale spørsmålet er hvor stor betydning regelverket får for den enkelte virksomheten. 

For mange organisasjoner brukes AI primært som et verktøy som støtter ansatte i det daglige arbeidet. 

Eksempler kan være: 

• Generering av tekstutkast og innhold  
• Oppsummering av møter og dokumenter  
• Kodeassistanse for utviklere  
• Språkstøtte og oversettelser  
• Analyse av store mengder informasjon  

I slike tilfeller er det mennesker som tar beslutningene, mens AI fungerer som et produktivitetsverktøy. 

Selv om disse virksomhetene fortsatt bør ha oversikt over hvilke AI-løsninger som brukes, vil de normalt ikke møte de mest omfattende kravene i AI Act. 

Et annet bilde oppstår når AI blir en integrert del av operative prosesser. 

Innen industri, energi, transport og offshore brukes kunstig intelligens i økende grad til analyser, optimalisering og prediktivt vedlikehold. AI kan bidra til å identifisere avvik, forutsi feil eller anbefale tiltak basert på store datamengder. 

I slike tilfeller er ikke hovedutfordringen nødvendigvis menneskerettigheter eller diskriminering. Derimot øker behovet for kontroll med datakvalitet, sporbarhet og forståelse av hvordan AI-modellene påvirker beslutningsgrunnlaget. 

Mange virksomheter i disse sektorene vil derfor oppleve at AI Act skaper behov for bedre dokumentasjon og styring, selv om løsningene ikke nødvendigvis klassifiseres som høyrisikosystemer. 

De mest omfattende kravene i AI Act er knyttet til AI-systemer som kan påvirke enkeltpersoners rettigheter, muligheter eller tilgang til viktige tjenester. Dette gjelder blant annet løsninger som brukes innen følgende fagområder.

AI som brukes til å rangere kandidater, filtrere søknader eller gi anbefalinger i ansettelsesprosesser kan omfattes av høyrisikokategoriene i regelverket. 

AI-løsninger som påvirker vurderinger av studenter eller beslutninger om utdanningsløp kan utløse strengere krav. 

AI som brukes til diagnostikk eller klinisk beslutningsstøtte er blant områdene som er underlagt betydelig regulering. 

Kommuner, direktorater og andre offentlige virksomheter må være særlig oppmerksomme dersom AI inngår i saksbehandling eller beslutninger som påvirker innbyggere. 

I disse tilfellene stiller AI Act krav til blant annet risikohåndtering, dokumentasjon, menneskelig kontroll og løpende oppfølging. 

For ledere er det derfor mer relevant å kartlegge virksomhetens AI-portefølje enn å forsøke å avgjøre om virksomheten «er omfattet av AI Act». 

To organisasjoner i samme bransje kan ha vidt forskjellige risikoprofiler. 

Et universitet som bruker AI til administrative oppgaver står overfor andre krav enn et universitet som bruker AI til vurdering av studenter. På samme måte vil en kommune som bruker generativ AI til tekstproduksjon ha et annet risikobilde enn en kommune som benytter AI i saksbehandling eller beslutningsprosesser. 

Det første steget mot AI Act readiness er derfor å etablere oversikt over hvilke AI-systemer som brukes i virksomheten, hvilke prosesser de inngår i, og hvilke konsekvenser de kan få dersom de gir feil resultater. 

For mange virksomheter vil AI Act ikke innebære omfattende nye krav på kort sikt. Likevel bidrar regelverket til å synliggjøre et behov som allerede eksisterer: behovet for kontroll over hvordan kunstig intelligens brukes i organisasjonen. 

Virksomheter som tidlig etablerer oversikt over AI-porteføljen sin vil være bedre rustet til å håndtere både regulatoriske krav og den raske utviklingen innen kunstig intelligens. 

AI Act trådte i kraft i EU i august 2024, men innføringen skjer gradvis over flere år. Regelverket er ennå ikke fullt implementert i norsk lov, men forventes å bli innlemmet gjennom EØS-avtalen. 

Samtidig har flere av de mest omfattende kravene fått utsatte frister på EU-nivå. For mange virksomheter betyr dette at tiden fremover bør brukes til å skaffe oversikt over hvordan kunstig intelligens brukes i organisasjonen og hvilke deler av virksomheten som kan bli berørt av regelverket. 

Selv om de strengeste kravene ikke gjelder for alle virksomheter i dag, er AI Act et tydelig signal om at myndighetene forventer mer kontroll, dokumentasjon og ansvarlighet rundt bruk av kunstig intelligens. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Mange virksomheter har allerede etablerte prosesser for risikostyring. De identifiserer risikoer, vurderer sannsynlighet og konsekvens, implementerer tiltak og følger opp gjennom revisjoner og ledelsens gjennomgang. 

Men kunstig intelligens utfordrer flere av antakelsene tradisjonell risikostyring bygger på. 

Det er nettopp derfor ISO 42001 legger så stor vekt på AI-risikostyring. Standarden bygger på kjente prinsipper fra ledelsessystemer, men erkjenner samtidig at AI introduserer risikofaktorer som mange virksomheter ikke tidligere har håndtert. 

Tradisjonelle IT-systemer gjør som regel det de er programmert til å gjøre. Hvis en regel eller prosess er definert, vil systemet følge den. 

AI-systemer fungerer annerledes. 

De bygger ofte på statistiske modeller som lærer mønstre fra store datamengder. Resultatet er at utfallet ikke alltid er like forutsigbart som i tradisjonell programvare. Systemet kan produsere ulike svar på samme spørsmål, endre atferd over tid eller trekke konklusjoner som er vanskelige å forklare fullt ut. 

Det betyr ikke at AI nødvendigvis er farlig. Men det betyr at risikoen må vurderes på en annen måte. 

Når ledere tenker på teknologirisiko, handler det ofte om tilgjengelighet, sikkerhet og databeskyttelse. 

For AI er dette fortsatt viktig, men risikobildet er bredere. 

Virksomheter må også vurdere spørsmål som: 

• Kan AI-modellen gi feil eller misvisende svar?  
• Kan den introdusere skjevheter eller diskriminering?  
• Kan ansatte bli for avhengige av AI-genererte anbefalinger?  
• Er det tydelig hvem som har ansvar når AI brukes i beslutningsprosesser?  
• Kan systemet brukes på måter det opprinnelig ikke var tiltenkt?  

Dette er risikoer som ofte påvirker mennesker, virksomhetsprosesser, omdømme og etterlevelse av regelverk minst like mye som teknologien selv. 

En annen viktig forskjell er at AI-risiko sjelden er statisk. 

En maskin på fabrikkgulvet fungerer stort sett likt i morgen som den gjorde i går. Mange AI-løsninger utvikler seg derimot kontinuerlig. 

Datagrunnlag endres. Leverandører oppdaterer modeller. Nye bruksområder oppstår. Ansatte begynner å bruke verktøyene på andre måter enn det som opprinnelig var planlagt. 

Derfor legger ISO 42001 vekt på kontinuerlig overvåkning og evaluering, ikke bare en engangsvurdering før systemet tas i bruk. 

Risikostyring blir en løpende aktivitet. 

Et sentralt prinsipp i ISO 42001 er at risikoen ikke bare ligger i teknologien, men i hvordan teknologien brukes. 

Samme AI-modell kan representere svært ulik risiko avhengig av formålet. 

En chatbot som hjelper ansatte med å skrive utkast til e-poster har et helt annet risikobilde enn et system som brukes som beslutningsstøtte i ansettelser, kredittvurderinger eller helsetjenester. 

Det betyr at god AI-risikostyring krever at virksomheten forstår:

• Hvor AI brukes  
• Hvem som påvirkes av bruken  
• Hvilke beslutninger AI påvirker  
• Hvilke konsekvenser feil kan få  

Dette perspektivet går igjen gjennom hele ISO 42001. 

Et gjennomgående tema i standarden er betydningen av menneskelig kontroll. 

Mange virksomheter innfører AI for å effektivisere arbeidsprosesser, men effektivisering må ikke føre til at ansvar blir uklart. 

Ledere må kunne svare på spørsmål som: 

• Hvem eier prosessen?  
• Hvem godkjenner resultatene?  
• Hvem er ansvarlig dersom noe går galt?  

ISO 42001 legger derfor opp til at virksomheten skal definere roller, ansvar og beslutningsmyndighet knyttet til bruk av AI. 

Teknologien kan støtte mennesker. Den fritar ikke virksomheten for ansvar. 

En av de vanligste feilene virksomheter gjør, er å behandle AI som et rent IT-prosjekt. 

ISO 42001 har et annet perspektiv. 

Standarden plasserer AI inn i virksomhetens eksisterende styringsmodell. AI skal vurderes på samme måte som andre forhold som påvirker virksomhetens mål, risikoeksponering, etterlevelse og omdømme. 

Derfor involverer et AI-styringssystem ofte flere funksjoner enn bare IT: 

• Ledelse  
• Fagavdelinger  
• Compliance og kvalitet  
• Personvern og informasjonssikkerhet  
• HR  
• Risikostyring  

Målet er ikke å kontrollere teknologien i seg selv, men å styre hvordan virksomheten bruker den. 

For ledere som allerede arbeider med kvalitet, internkontroll, informasjonssikkerhet eller compliance, vil mye av tankegangen i ISO 42001 være kjent. 

Det nye er ikke nødvendigvis metodikken. 

Det nye er at AI introduserer risikoer som krever andre vurderinger enn tradisjonelle systemer og prosesser – og at systematisk AI-risikostyring derfor blir en kjernekompetanse for fremtidens virksomheter.

Virksomheter som lykkes med AI de kommende årene vil sannsynligvis være de som klarer å kombinere innovasjon med styring. Ikke fordi regelverket krever det, men fordi tillit, ansvarlighet og kontroll blir stadig viktigere når kunstig intelligens tas i bruk i virksomhetskritiske prosesser. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!