ISO 42001 er verdens første internasjonale standard for AI-styringssystemer. Standarden gir virksomheter et rammeverk for å styre risiko, ansvar, transparens og kontinuerlig forbedring knyttet til bruk av kunstig intelligens (KI). 

Etter hvert som kunstig intelligens blir en stadig viktigere del av virksomheters arbeidsprosesser, øker også kravene til kontroll, dokumentasjon og ansvarlig bruk. Samtidig innfører EU nye reguleringer gjennom AI Act. Dette gjør at stadig flere virksomheter ønsker å etablere et AI-styringssystem basert på ISO 42001. 

I denne artikkelen forklarer vi hva ISO 42001 er, hvem standarden er relevant for, hvilke krav den stiller, hvordan den henger sammen med AI Act og hvordan virksomheter kan arbeide mot sertifisering. 

ISO/IEC 42001:2023 er verdens første internasjonale standard for styringssystemer for kunstig intelligens. Standarden er utviklet av ISO (International Organization for Standardization) og IEC (International Electrotechnical Commission) og beskriver kravene til et Artificial Intelligence Management System (AIMS), ofte omtalt som et AI-styringssystem. 

På samme måte som ISO 9001 gir et rammeverk for kvalitetsstyring og ISO 27001 gir et rammeverk for informasjonssikkerhet, gir ISO 42001 et rammeverk for styring av kunstig intelligens. 

Målet er å hjelpe virksomheter med å bruke AI på en ansvarlig, dokumentert og kontrollert måte. Standarden dekker både utvikling, anskaffelse, implementering og bruk av AI-systemer. 

ISO 42001 kan brukes av virksomheter i alle bransjer og størrelser, enten de utvikler egne AI-løsninger eller benytter AI-teknologi levert av andre. 

AI skaper store muligheter for effektivisering, innovasjon og bedre beslutningsstøtte. Samtidig introduserer teknologien nye typer risiko som tradisjonelle styringssystemer ikke fullt ut adresserer. 

Virksomheter må blant annet håndtere spørsmål som: 

• Hvordan sikrer vi at AI-modeller gir pålitelige resultater?  

• Hvordan oppdager vi skjevheter eller diskriminering i AI-systemer?  

• Hvordan dokumenterer vi beslutninger som er påvirket av AI?  

• Hvordan ivaretar vi personvern og informasjonssikkerhet?  

• Hvem har ansvar dersom AI gir feil anbefalinger eller beslutningsgrunnlag?  

• Hvordan overvåker vi AI-systemer som utvikler seg over tid?  

ISO 42001 ble utviklet for å gi virksomheter en strukturert metode for å håndtere disse utfordringene gjennom etablerte styringsprinsipper, risikostyring og kontinuerlig forbedring. 

Mange antar at ISO 42001 kun er relevant for teknologiselskaper som utvikler egne AI-modeller. I praksis er målgruppen langt bredere. Standarden er relevant for alle virksomheter som utvikler, leverer eller bruker AI i sine produkter, tjenester eller arbeidsprosesser.

Bedrifter som bruker verktøy som Microsoft Copilot, ChatGPT eller andre AI-funksjoner i sine daglige arbeidsprosesser. 

Organisasjoner som bruker AI til analyse, beslutningsstøtte eller automatisering av arbeidsprosesser. 

Selskaper som bruker AI til prediktivt vedlikehold, kvalitetskontroll eller produksjonsoptimalisering. 

Virksomheter som benytter AI til risikovurderinger, svindeldeteksjon eller automatiserte beslutningsprosesser. 

Virksomheter som utvikler AI-baserte produkter eller bygger AI-funksjonalitet inn i eksisterende løsninger. 

Virksomheter som bistår kunder med AI-rådgivning, implementering eller utvikling. 

Mange virksomheter tenker på AI som avanserte språkmodeller eller spesialutviklede løsninger. Realiteten er at mange organisasjoner allerede bruker AI i dag uten å ha et bevisst forhold til det. 

AI er i ferd med å bli en integrert del av: 

• Microsoft 365  

• CRM-systemer  

• ERP-løsninger  

• Analyse- og rapporteringsverktøy  

• Markedsføringsplattformer  

• Kundeservicesystemer  

• Rekrutteringsverktøy  

Dette betyr at behovet for AI governance ikke bare gjelder virksomheter som utvikler AI. Det gjelder også virksomheter som bruker AI som en del av sine arbeidsprosesser. 

Et AI-styringssystem, også kalt et styringssystem for kunstig intelligens, er summen av prosesser, roller, retningslinjer, kontroller og dokumentasjon som sikrer ansvarlig bruk av AI i virksomheten. 

Målet er ikke å kontrollere teknologien alene. Målet er å kontrollere hvordan virksomheten bruker teknologien. 

Et AI-styringssystem bidrar blant annet til: 

• Klare roller og ansvar  

• Systematisk risikostyring  

• Kontroll på data og modeller  

• Dokumentasjon av beslutninger  

• Overvåkning av AI-systemer  

• Håndtering av avvik  

• Kontinuerlig forbedring  

På samme måte som andre ISO-baserte styringssystemer skal AI-styringssystemet være en integrert del av virksomhetens ledelse og drift. 

ISO 42001 følger den samme harmoniserte strukturen som brukes i moderne ISO-standarder. Dette gjør det enklere å integrere standarden med eksisterende styringssystemer som ISO 9001 og ISO 27001. 

Kravene er organisert i følgende hovedkapitler.

Virksomheten må forstå hvordan AI påvirker interessenter, forretningsmål og omgivelser. 

Ledelsen må etablere politikk, ansvar og mål for AI-styringssystemet. 

Virksomheten må identifisere risikoer, muligheter og nødvendige tiltak. 

Krav til kompetanse, ressurser, kommunikasjon og dokumentasjon. 

Styring av AI-relaterte aktiviteter og prosesser. 

Overvåkning, måling, intern revisjon og ledelsens gjennomgang. 

Håndtering av avvik og kontinuerlig forbedring av styringssystemet. 

Selv om standarden inneholder mange detaljerte krav, er det noen sentrale temaer som går igjen. 

Virksomheten må etablere tydelige styringsmekanismer for bruk av kunstig intelligens. Dette innebærer blant annet roller, ansvar, beslutningsprosesser og rapportering. 

AI-relaterte risikoer må identifiseres, vurderes og håndteres systematisk. Risikoene kan være tekniske, juridiske, etiske eller forretningsmessige. 

Standarden legger stor vekt på å forstå hvilke konsekvenser AI-systemer kan få for mennesker, organisasjonen og samfunnet. 

AI-systemer skal styres gjennom hele livssyklusen: 

• Planlegging
• Utvikling
• Testing
• Implementering
• Drift
• Overvåkning
• Avvikling

Virksomheten må ha kontroll på kvaliteten, opprinnelsen og bruken av data som benyttes i AI-systemer. 

Interessenter må få nødvendig informasjon om hvordan AI brukes og hvilke konsekvenser bruken kan ha. 

AI-styringssystemet skal evalueres og forbedres over tid på samme måte som andre ledelsessystemer.

Ta kontakt for å høre hvordan vi kan hjelpe din virksomhet!

Det finnes ingen fasit, men enkelte virksomheter vil ha større behov enn andre. 

Et AI-styringssystem er spesielt relevant dersom virksomheten: 

• Utvikler egne AI-løsninger  
• Leverer AI-baserte tjenester til kunder  
• Bruker AI i beslutningsprosesser  
• Behandler personopplysninger gjennom AI  
• Opererer i regulerte bransjer  
• Forventer krav fra kunder eller myndigheter knyttet til AI  

Mange virksomheter opplever allerede at kunder stiller spørsmål om hvordan AI brukes, hvilke data som benyttes og hvilke kontroller som er etablert. 

ISO 9001 handler om kvalitetsstyring. 

ISO 42001 handler om styring av kunstig intelligens. 

Begge standardene bygger på risikobasert tenkning, ledelsesforankring og kontinuerlig forbedring. ISO 42001 introduserer imidlertid krav som er spesifikke for AI. 

Dette inkluderer blant annet: 

• AI-risikovurderinger  
• Datastyring  
• Transparens  
• Menneskelig kontroll  
• Konsekvensvurderinger  
• AI-spesifikk governance  

For virksomheter som allerede er sertifisert etter ISO 9001 vil mye av strukturen være kjent. 

ISO 27001 fokuserer på informasjonssikkerhet. 

ISO 42001 fokuserer på styring av kunstig intelligens. 

Det finnes betydelig overlapp mellom standardene, spesielt innen: 

• Risikostyring  
• Leverandørstyring  
• Dokumentasjon  
• Intern revisjon  
• Ledelsens gjennomgang  
• Kontinuerlig forbedring  

Mange virksomheter vil derfor kunne integrere ISO 42001 med eksisterende styringssystemer basert på ISO 27001. 

AI governance beskriver disiplinen eller fagområdet som handler om styring av kunstig intelligens. 

ISO 42001 er en konkret standard som beskriver hvordan virksomheter kan etablere et styringssystem for AI governance. 

Man kan derfor si at: 

• AI governance er målet.  
• ISO 42001 er rammeverket.  

På samme måte som informasjonssikkerhet er fagområdet, mens ISO 27001 er standarden som beskriver hvordan arbeidet kan organiseres. 

AI Act er EUs regelverk for kunstig intelligens. 

ISO 42001 er en internasjonal standard for AI-styringssystemer. 

Dette er to forskjellige ting, men de har mange felles temaer. 

AI Act stiller juridiske krav til bestemte typer AI-systemer. ISO 42001 gir et styringsrammeverk som kan hjelpe virksomheter med å etablere prosesser, ansvar og dokumentasjon som støtter etterlevelse av disse kravene. 

Begge fokuserer blant annet på: 

• Risikostyring  
• Dokumentasjon  
• Transparens  
• Ansvarlighet  
• Overvåkning  
• Menneskelig kontroll 

Ja. ISO 42001 er en internasjonal standard og kan sertifiseres gjennom akkrediterte sertifiseringsorganer på samme måte som ISO 9001 og ISO 27001. 

Interessen for ISO 42001 er fortsatt i en tidlig fase i Norge, men mange forventer at etterspørselen vil øke betydelig etter hvert som AI Act får større betydning og AI tas i bruk i stadig flere virksomheter. 

Veien til sertifisering vil variere mellom virksomheter, men består ofte av følgende steg: 

Identifiser hvilke AI-systemer som brukes i virksomheten. 

Sammenlign dagens praksis med kravene i ISO 42001. 

Definer roller, ansvar, prosesser og nødvendig dokumentasjon. 

Gjennomfør tiltak knyttet til risikostyring, datastyring og governance. 

Kontroller at styringssystemet fungerer som planlagt. 

Ledelsen må evaluere systemets effektivitet og modenhet. 

Et akkreditert sertifiseringsorgan gjennomfører revisjon og vurderer om kravene er oppfylt. 

For mange virksomheter er det viktigste første steget å skaffe oversikt. 

Start med å kartlegge: 

• Hvilke AI-verktøy som brukes i virksomheten  
• Hvem som bruker dem  
• Hvilke data som behandles  
• Hvilke risikoer som finnes  
• Hvilke krav kunder eller myndigheter stiller  

Deretter kan virksomheten etablere et styringssystem som bygger videre på eksisterende prosesser for kvalitet, informasjonssikkerhet, personvern og risikostyring. 

ISO 42001 er verdens første internasjonale standard for AI-styringssystemer. Standarden gir virksomheter et strukturert rammeverk for å styre risiko, ansvar, transparens og kontinuerlig forbedring knyttet til bruk av kunstig intelligens. 

Etter hvert som AI blir en stadig viktigere del av hvordan virksomheter arbeider, tar beslutninger og leverer tjenester, vil behovet for AI governance og dokumentert styring øke. 

For virksomheter som ønsker å etablere et AI-styringssystem, forberede seg på AI Act eller dokumentere modenhet innen ansvarlig bruk av kunstig intelligens, vil ISO 42001 sannsynligvis bli en av de viktigste standardene i årene som kommer. 

ISO 42001 er verdens første internasjonale standard for AI-styringssystemer. Standarden gir virksomheter et strukturert rammeverk for å styre risiko, ansvar, transparens og kontinuerlig forbedring knyttet til bruk av kunstig intelligens. 

Etter hvert som AI blir en stadig viktigere del av hvordan virksomheter arbeider, tar beslutninger og leverer tjenester, vil behovet for AI governance og dokumentert styring øke. 

For virksomheter som ønsker å etablere et AI-styringssystem, forberede seg på AI Act eller dokumentere modenhet innen ansvarlig bruk av kunstig intelligens, vil ISO 42001 sannsynligvis bli en av de viktigste standardene i årene som kommer. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Da personvernforordningen (GDPR) ble innført, ble praktisk talt alle virksomheter berørt. Mange ledere spør derfor om AI Act vil få tilsvarende konsekvenser. Svaret er mer nyansert. 

AI Act er bygget opp rundt en risikobasert tilnærming, der kravene avhenger av hvordan kunstig intelligens brukes og hvilke konsekvenser den kan få for mennesker og samfunn. To virksomheter kan derfor bruke AI hver dag, men møte helt ulike regulatoriske krav. 

For de fleste virksomheter er det ikke bransjen alene som avgjør hvor mye de påvirkes av AI Act. Det avgjørende er hvilke AI-systemer som er i bruk, hvilke data de behandler, og om de inngår i beslutninger som påvirker mennesker. 

AI Act skiller mellom ulike risikonivåer. Mens enkelte typer AI blir forbudt, vil de strengeste kravene gjelde såkalte høyrisikosystemer. 

Dette innebærer at mange virksomheter vil kunne bruke generative AI-verktøy uten omfattende nye forpliktelser, mens andre må etablere dokumenterte prosesser for risikovurdering, kontroll og oppfølging. 

Derfor er det misvisende å spørre om en virksomhet er «omfattet av AI Act». Alle virksomheter som bruker AI vil i større eller mindre grad bli berørt. Det sentrale spørsmålet er hvor stor betydning regelverket får for den enkelte virksomheten. 

For mange organisasjoner brukes AI primært som et verktøy som støtter ansatte i det daglige arbeidet. 

Eksempler kan være: 

• Generering av tekstutkast og innhold  
• Oppsummering av møter og dokumenter  
• Kodeassistanse for utviklere  
• Språkstøtte og oversettelser  
• Analyse av store mengder informasjon  

I slike tilfeller er det mennesker som tar beslutningene, mens AI fungerer som et produktivitetsverktøy. 

Selv om disse virksomhetene fortsatt bør ha oversikt over hvilke AI-løsninger som brukes, vil de normalt ikke møte de mest omfattende kravene i AI Act. 

Et annet bilde oppstår når AI blir en integrert del av operative prosesser. 

Innen industri, energi, transport og offshore brukes kunstig intelligens i økende grad til analyser, optimalisering og prediktivt vedlikehold. AI kan bidra til å identifisere avvik, forutsi feil eller anbefale tiltak basert på store datamengder. 

I slike tilfeller er ikke hovedutfordringen nødvendigvis menneskerettigheter eller diskriminering. Derimot øker behovet for kontroll med datakvalitet, sporbarhet og forståelse av hvordan AI-modellene påvirker beslutningsgrunnlaget. 

Mange virksomheter i disse sektorene vil derfor oppleve at AI Act skaper behov for bedre dokumentasjon og styring, selv om løsningene ikke nødvendigvis klassifiseres som høyrisikosystemer. 

De mest omfattende kravene i AI Act er knyttet til AI-systemer som kan påvirke enkeltpersoners rettigheter, muligheter eller tilgang til viktige tjenester. Dette gjelder blant annet løsninger som brukes innen følgende fagområder.

AI som brukes til å rangere kandidater, filtrere søknader eller gi anbefalinger i ansettelsesprosesser kan omfattes av høyrisikokategoriene i regelverket. 

AI-løsninger som påvirker vurderinger av studenter eller beslutninger om utdanningsløp kan utløse strengere krav. 

AI som brukes til diagnostikk eller klinisk beslutningsstøtte er blant områdene som er underlagt betydelig regulering. 

Kommuner, direktorater og andre offentlige virksomheter må være særlig oppmerksomme dersom AI inngår i saksbehandling eller beslutninger som påvirker innbyggere. 

I disse tilfellene stiller AI Act krav til blant annet risikohåndtering, dokumentasjon, menneskelig kontroll og løpende oppfølging. 

For ledere er det derfor mer relevant å kartlegge virksomhetens AI-portefølje enn å forsøke å avgjøre om virksomheten «er omfattet av AI Act». 

To organisasjoner i samme bransje kan ha vidt forskjellige risikoprofiler. 

Et universitet som bruker AI til administrative oppgaver står overfor andre krav enn et universitet som bruker AI til vurdering av studenter. På samme måte vil en kommune som bruker generativ AI til tekstproduksjon ha et annet risikobilde enn en kommune som benytter AI i saksbehandling eller beslutningsprosesser. 

Det første steget mot AI Act readiness er derfor å etablere oversikt over hvilke AI-systemer som brukes i virksomheten, hvilke prosesser de inngår i, og hvilke konsekvenser de kan få dersom de gir feil resultater. 

For mange virksomheter vil AI Act ikke innebære omfattende nye krav på kort sikt. Likevel bidrar regelverket til å synliggjøre et behov som allerede eksisterer: behovet for kontroll over hvordan kunstig intelligens brukes i organisasjonen. 

Virksomheter som tidlig etablerer oversikt over AI-porteføljen sin vil være bedre rustet til å håndtere både regulatoriske krav og den raske utviklingen innen kunstig intelligens. 

AI Act trådte i kraft i EU i august 2024, men innføringen skjer gradvis over flere år. Regelverket er ennå ikke fullt implementert i norsk lov, men forventes å bli innlemmet gjennom EØS-avtalen. 

Samtidig har flere av de mest omfattende kravene fått utsatte frister på EU-nivå. For mange virksomheter betyr dette at tiden fremover bør brukes til å skaffe oversikt over hvordan kunstig intelligens brukes i organisasjonen og hvilke deler av virksomheten som kan bli berørt av regelverket. 

Selv om de strengeste kravene ikke gjelder for alle virksomheter i dag, er AI Act et tydelig signal om at myndighetene forventer mer kontroll, dokumentasjon og ansvarlighet rundt bruk av kunstig intelligens. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Mange virksomheter har allerede etablerte prosesser for risikostyring. De identifiserer risikoer, vurderer sannsynlighet og konsekvens, implementerer tiltak og følger opp gjennom revisjoner og ledelsens gjennomgang. 

Men kunstig intelligens utfordrer flere av antakelsene tradisjonell risikostyring bygger på. 

Det er nettopp derfor ISO 42001 legger så stor vekt på AI-risikostyring. Standarden bygger på kjente prinsipper fra ledelsessystemer, men erkjenner samtidig at AI introduserer risikofaktorer som mange virksomheter ikke tidligere har håndtert. 

Tradisjonelle IT-systemer gjør som regel det de er programmert til å gjøre. Hvis en regel eller prosess er definert, vil systemet følge den. 

AI-systemer fungerer annerledes. 

De bygger ofte på statistiske modeller som lærer mønstre fra store datamengder. Resultatet er at utfallet ikke alltid er like forutsigbart som i tradisjonell programvare. Systemet kan produsere ulike svar på samme spørsmål, endre atferd over tid eller trekke konklusjoner som er vanskelige å forklare fullt ut. 

Det betyr ikke at AI nødvendigvis er farlig. Men det betyr at risikoen må vurderes på en annen måte. 

Når ledere tenker på teknologirisiko, handler det ofte om tilgjengelighet, sikkerhet og databeskyttelse. 

For AI er dette fortsatt viktig, men risikobildet er bredere. 

Virksomheter må også vurdere spørsmål som: 

• Kan AI-modellen gi feil eller misvisende svar?  
• Kan den introdusere skjevheter eller diskriminering?  
• Kan ansatte bli for avhengige av AI-genererte anbefalinger?  
• Er det tydelig hvem som har ansvar når AI brukes i beslutningsprosesser?  
• Kan systemet brukes på måter det opprinnelig ikke var tiltenkt?  

Dette er risikoer som ofte påvirker mennesker, virksomhetsprosesser, omdømme og etterlevelse av regelverk minst like mye som teknologien selv. 

En annen viktig forskjell er at AI-risiko sjelden er statisk. 

En maskin på fabrikkgulvet fungerer stort sett likt i morgen som den gjorde i går. Mange AI-løsninger utvikler seg derimot kontinuerlig. 

Datagrunnlag endres. Leverandører oppdaterer modeller. Nye bruksområder oppstår. Ansatte begynner å bruke verktøyene på andre måter enn det som opprinnelig var planlagt. 

Derfor legger ISO 42001 vekt på kontinuerlig overvåkning og evaluering, ikke bare en engangsvurdering før systemet tas i bruk. 

Risikostyring blir en løpende aktivitet. 

Et sentralt prinsipp i ISO 42001 er at risikoen ikke bare ligger i teknologien, men i hvordan teknologien brukes. 

Samme AI-modell kan representere svært ulik risiko avhengig av formålet. 

En chatbot som hjelper ansatte med å skrive utkast til e-poster har et helt annet risikobilde enn et system som brukes som beslutningsstøtte i ansettelser, kredittvurderinger eller helsetjenester. 

Det betyr at god AI-risikostyring krever at virksomheten forstår:

• Hvor AI brukes  
• Hvem som påvirkes av bruken  
• Hvilke beslutninger AI påvirker  
• Hvilke konsekvenser feil kan få  

Dette perspektivet går igjen gjennom hele ISO 42001. 

Et gjennomgående tema i standarden er betydningen av menneskelig kontroll. 

Mange virksomheter innfører AI for å effektivisere arbeidsprosesser, men effektivisering må ikke føre til at ansvar blir uklart. 

Ledere må kunne svare på spørsmål som: 

• Hvem eier prosessen?  
• Hvem godkjenner resultatene?  
• Hvem er ansvarlig dersom noe går galt?  

ISO 42001 legger derfor opp til at virksomheten skal definere roller, ansvar og beslutningsmyndighet knyttet til bruk av AI. 

Teknologien kan støtte mennesker. Den fritar ikke virksomheten for ansvar. 

En av de vanligste feilene virksomheter gjør, er å behandle AI som et rent IT-prosjekt. 

ISO 42001 har et annet perspektiv. 

Standarden plasserer AI inn i virksomhetens eksisterende styringsmodell. AI skal vurderes på samme måte som andre forhold som påvirker virksomhetens mål, risikoeksponering, etterlevelse og omdømme. 

Derfor involverer et AI-styringssystem ofte flere funksjoner enn bare IT: 

• Ledelse  
• Fagavdelinger  
• Compliance og kvalitet  
• Personvern og informasjonssikkerhet  
• HR  
• Risikostyring  

Målet er ikke å kontrollere teknologien i seg selv, men å styre hvordan virksomheten bruker den. 

For ledere som allerede arbeider med kvalitet, internkontroll, informasjonssikkerhet eller compliance, vil mye av tankegangen i ISO 42001 være kjent. 

Det nye er ikke nødvendigvis metodikken. 

Det nye er at AI introduserer risikoer som krever andre vurderinger enn tradisjonelle systemer og prosesser – og at systematisk AI-risikostyring derfor blir en kjernekompetanse for fremtidens virksomheter.

Virksomheter som lykkes med AI de kommende årene vil sannsynligvis være de som klarer å kombinere innovasjon med styring. Ikke fordi regelverket krever det, men fordi tillit, ansvarlighet og kontroll blir stadig viktigere når kunstig intelligens tas i bruk i virksomhetskritiske prosesser. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Mange norske virksomheter har de siste årene laget AI-strategier. De har identifisert muligheter, definert ambisjoner og pekt ut områder hvor kunstig intelligens kan skape verdi. Men en strategi alene styrer ikke bruken av AI. 

Spørsmålet ledere bør stille seg er derfor ikke om virksomheten har en AI-strategi. Spørsmålet er om virksomheten har kontroll på hvordan AI faktisk brukes. 

En AI-strategi handler gjerne om hvor virksomheten vil. AI-governance handler om hvordan virksomheten kommer dit på en trygg, ansvarlig og kontrollert måte. 

I mange organisasjoner skjer AI-bruken langt raskere enn styringen rundt den. Ansatte tar i bruk nye verktøy, avdelinger eksperimenterer med egne løsninger, og AI blir gradvis en del av arbeidsprosesser og beslutningsgrunnlag. 

Ofte uten at ledelsen har full oversikt. 

Hvis du er leder, kan du svare på disse spørsmålene: 

• Hvilke AI-verktøy brukes i virksomheten i dag?  
• Hvilke data deles med disse løsningene?  
• Hvem har ansvar for å godkjenne nye AI-verktøy?  
• Hvordan kvalitetssikres AI-generert innhold?  
• Hvilke beslutninger påvirkes av AI?  
• Hvordan dokumenterer dere bruk av AI overfor kunder, eiere og myndigheter?  

Mange ledere oppdager at de ikke har gode svar på alle spørsmålene. 

Det betyr ikke nødvendigvis at virksomheten har et problem. Men det kan bety at virksomheten mangler styring. 

AI-governance er rammeverket som sikrer at AI brukes i tråd med virksomhetens mål, verdier, risikotoleranse og regulatoriske krav. 

Det handler blant annet om: 

• roller og ansvar  
• retningslinjer for bruk av AI  
• risikovurderinger  
• kontroll med data og modeller  
• dokumentasjon og sporbarhet  
• oppfølging av lover og standarder  

Kort sagt: AI-governance gjør AI til en styrt virksomhetskapabilitet, ikke bare et sett med verktøy ansatte bruker på eget initiativ. 

Med EUs AI-forordning blir det stadig vanskeligere å behandle AI som et rent teknologiinitiativ. 

Virksomheter må kunne dokumentere hvordan AI brukes, hvilke risikoer som er vurdert, og hvilke kontrollmekanismer som er etablert. For mange vil dette kreve langt mer enn en strategi eller en generell AI-policy. Det krever styring. 

Mange virksomheter bruker betydelig tid på å diskutere hva AI kan gjøre for dem. Kanskje er det på tide å bruke like mye tid på å diskutere hvordan AI skal styres. 

For når AI blir en del av virksomhetens arbeidsprosesser og beslutninger, er det ikke lenger nok å ha en strategi. Da trenger man AI-governance. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Etter hvert som AI tas i bruk i stadig flere arbeidsprosesser, dukker det samme spørsmålet opp i mange virksomheter: Hvem har egentlig ansvaret for AI? 

Er det IT-avdelingen? HR? Kvalitetsansvarlig? Ledelsen? 

Utfordringen er at AI sjelden passer inn i én avdeling. 

Et AI-verktøy kan påvirke personvern, informasjonssikkerhet, kvalitet, arbeidsprosesser, kundebehandling og beslutninger samtidig. Derfor blir det fort uklart hvem som skal eie risikoen, retningslinjene og oppfølgingen. 

Mange starter med å plassere ansvaret hos IT. Det er forståelig, men ofte utilstrekkelig. 

IT kan ha ansvar for teknologien og sikkerheten, men de kan sjelden vurdere hvordan AI påvirker fagområdene som bruker den. 

Hvis HR bruker AI i rekruttering, må HR forstå risikoen og eie prosessen. Hvis markedsavdelingen bruker generativ AI til innholdsproduksjon, må markedsavdelingen ta ansvar for hvordan verktøyet brukes. Hvis økonomiavdelingen bruker AI til analyser eller beslutningsstøtte, må de eie sin del av bruken. 

På samme måte som avdelingene eier sine systemer og arbeidsprosesser, må de også eie AI-løsningene de bruker. 

Store virksomheter begynner nå å etablere AI-styringsgrupper, AI-governance-funksjoner og egne ansvarlige for koordinering av AI-arbeidet. 

Målet er ikke nødvendigvis å kontrollere all bruk av AI, men å skape oversikt og sikre at virksomheten har felles retningslinjer og risikovurderinger. 

For mindre virksomheter er det sjelden behov for egne AI-stillinger. Der er det ofte mer realistisk å fordele ansvaret mellom ledelse, IT, kvalitetsfunksjoner og de avdelingene som faktisk bruker teknologien. 

En av utfordringene mange virksomheter nå oppdager, er at de ikke har full oversikt over hvordan AI brukes internt. 

EU AI Act stiller ulike krav avhengig av hvordan AI benyttes. Før en virksomhet kan vurdere hvilke krav som gjelder, må den først kartlegge hvilke AI-systemer som faktisk er i bruk. 

Det er vanskelig for én person å gjøre alene. 

For å få oversikt må virksomheten involvere flere fagområder. Hver avdeling må bidra med informasjon om hvilke verktøy som brukes, hva de brukes til, og hvilke prosesser de inngår i.

Mange virksomheter leter etter én person som kan eie AI. 

I praksis handler god AI governance ofte mindre om å finne én ansvarlig og mer om å etablere tydelige roller og ansvar på tvers av virksomheten. 

Noen må koordinere arbeidet. Ledelsen må eie styringen. Men de som bruker AI i det daglige, må også eie risikoen og ansvaret for hvordan teknologien brukes i sine egne prosesser. 

Det er først når disse rollene er avklart at virksomheten får den oversikten og kontrollen som både ledelsen, ISO 42001 og EU AI Act legger opp til. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!

Begrepene dokumentsamling, dokumentlagring og dokumentstyring brukes ofte om hverandre. I praksis beskriver de svært ulike måter å forholde seg til virksomhetens dokumentasjon på. Forskjellen handler ikke primært om teknologi, men om styring, ansvar og tillit.

En dokumentsamling er akkurat hva det høres ut som: dokumenter samlet på ett eller flere steder, strukturert i mapper eller biblioteker. Formålet er oppbevaring og deling. 

Dokumentlagring gir et felles sted å finne filer, enkel tilgang og fleksibilitet i hvordan innholdet organiseres. Det stilles derimot få krav til hvem som eier innholdet, hvordan endringer skal håndteres, når dokumenter skal revideres, eller hvilket dokument som faktisk gjelder. 

Dette fungerer godt som arkiv og delingsflate – men gir begrenset støtte til å styre virksomhetens praksis over tid.

Dokumentstyring er systematisk forvaltning av styrende dokumentasjon gjennom hele livsløpet – fra utarbeidelse til bruk, revisjon og eventuell utfasing. 

Kjernen er ikke hvor dokumentene ligger, men hvordan de styres. Det forutsetter tydelige rammer for eierskap og ansvar, revisjon og godkjenning, versjonering og endringshistorikk, tilgang og tilgjengelighet, og etterlevelse i praksis. 

Der dokumentlagring svarer på hvor dokumentene finnes, svarer dokumentstyring på hvordan organisasjonen sikrer at dokumentasjonen er korrekt, oppdatert og faktisk brukt.

Dokumentstyring er ikke bare god praksis – det er et eksplisitt krav i de mest utbredte styringssystemstandardene. ISO 9001, ISO 14001, ISO 45001 og ISO 27001 stiller alle krav til dokumentkontroll – det vil si kontroll av dokumentert informasjon: at dokumenter er tilgjengelige der de trengs, at de er egnet for bruk, og at de er tilstrekkelig beskyttet mot utilsiktet endring eller tap. 

For virksomheter som er sertifisert – eller som arbeider mot sertifisering – er dokumentstyring derfor ikke valgfritt. Det er en forutsetning for å oppfylle standardenes krav og for å kunne dokumentere dette overfor en ekstern revisor.

Gapet mellom lagring og styring viser seg gjerne først når noen stiller spørsmål ved dokumentasjonen. Ansatte er usikre på hvilken versjon som gjelder. Flere versjoner sirkulerer samtidig. Praksis varierer mellom enheter. Revisjon etterspør sporbarhet. 

I disse situasjonene er det sjelden mangel på dokumenter som er problemet. Det er mangel på styring rundt dem. 

Konsekvensene kan være mer alvorlige enn de først fremstår. Ansatte som følger utdaterte prosedyrer, øker risikoen for feil og avvik. Internrevisjoner avdekker hull som krever ressurskrevende opprydding. Eksterne tilsyn kan i verste fall føre til avvik mot standarden – med tap av sertifisering som mulig utfall. Og i organisasjoner med høy turnover eller vekst er mangelfull dokumentstyring ofte det som gjør at kunnskap forsvinner når erfarne medarbeidere slutter.

Hva er det egentlig som gjør at vi stoler på et dokument? Spørsmålet stilles sjelden eksplisitt, men svaret er avgjørende. 

Tilliten handler ikke om tittel eller plassering. Den bygger på visshet om at dette er siste godkjente versjon, at noen har hatt et tydelig ansvar for innholdet, at endringer er gjort kontrollert og bevisst – og at det du leser, er det som gjelder nå. 

Når denne tryggheten mangler, oppstår det uformelle løsninger: lokale kopier, egne notater, «slik pleier vi å gjøre det». Over tid undergraver dette felles praksis og reell styring.

En dimensjon ved dokumentstyring som ofte undervurderes, er rollen den spiller når folk slutter eller nye kommer til. I virksomheter uten god dokumentstyring er mye av praksisen bundet opp i enkeltpersoner – i erfaring, hukommelse og uformelle rutiner som aldri er skrevet ned, eller som er skrevet ned men aldri holdt ved like. 

Når en erfaren medarbeider slutter, forsvinner denne kunnskapen ofte med dem. God dokumentstyring er det som gjør at virksomheten ikke starter på nytt hver gang – at en ny ansatt kan finne ut hvordan ting faktisk gjøres, og at opplæring bygger på noe mer solid enn kollegaenes huskelapper.

Et sentralt, men ofte oversett aspekt ved dokumentstyring er synlighet i endringer. Det er ikke nok å vite at et dokument er oppdatert. Like viktig er det å vite hvem som har gjort endringene, når de ble gjort, og hva som konkret er endret siden forrige versjon. 

Når endringer er tydelige og sporbare, øker tilliten til dokumentasjonen. Ansatte slipper å lese hele dokumenter på nytt for å finne ut hva som er nytt. Ledelsen får bedre kontroll på hvordan praksis faktisk utvikler seg over tid. 

Dette er et av de klareste skillene mellom dokumentstyring og enkel dokumentlagring – og et kjerneprinsipp i dokumentkontroll slik det forstås i ISO-standardene.

Dokumentstyring blir først verdifull når dokumentasjonen brukes aktivt i arbeidshverdagen – ikke bare som referanse, men som et styrende rammeverk for hvordan arbeidet utføres. 

Virksomheter som lykkes med dette kjennetegnes gjerne av at ansatte har én tydelig kilde til gjeldende praksis, at roller og ansvar er klart definert, at dokumentasjon oppleves relevant og til å stole på, og at revisjon og oppfølging er en naturlig del av driften – ikke et skippertak.

I Certain QMS er dokumentstyring bygget opp rundt de samme prinsippene: tydelig ansvar, kontrollert publisering og full sporbarhet i endringer. Løsningen skiller klart mellom arbeidet med å utarbeide og revidere dokumenter, og det som til enhver tid gjelder som virksomhetens offisielle, godkjente praksis. 

Utarbeidelse, revisjon og kvalitetssikring skjer i kontrollerte arbeidsflater. Ansatte som bruker dokumentasjonen i arbeidshverdagen, forholder seg kun til det som er godkjent og publisert. Det gir redusert usikkerhet og et dokumentasjonsgrunnlag som faktisk kan brukes til styring. 

For ansatte betyr dette at det alltid er siste godkjente versjon som er tilgjengelig, at det er tydelig hvem som eier innholdet og når det sist ble revidert, og at dokumentasjonen oppleves trygg å bruke i praksis. Når ansatte slipper å vurdere versjonsnummer eller sammenligne alternative dokumenter, senkes terskelen for faktisk bruk – og etterlevelsen bedres på tvers av roller og enheter. 

For virksomheten som helhet gir tilnærmingen bedre oversikt og styring: tydelig definert eierskap per dokument, full sporbarhet i hvem som har revidert og endret hva og når, oversiktlig endringshistorikk der tidligere og nye versjoner kan sammenlignes direkte, og bedre grunnlag for revisjon, dokumentkontroll og systematisk forbedringsarbeid – inkludert dokumentasjon som holder for en ekstern revisor. 

Dokumentstyring, riktig bygget opp, gjør dokumentasjonen til mer enn et arkiv. Den blir et aktivt styringsverktøy som støtter felles praksis, reduserer risiko for feil og gir et solid fundament for kvalitetsarbeidet i organisasjonens daglige drift.