En medarbeider ber KI-assistenten finne bedriftens reiseregler. Svaret inneholder også opplysninger fra en gammel personalsak som ligger i det samme fellesområdet. Assistenten kan ha fulgt tilgangsreglene i systemet helt riktig. Problemet er at medarbeideren aldri skulle hatt tilgang til den filen.
Eksemplet er hypotetisk, men peker på en konkret beslutning for norske ledergrupper: Hvilke opplysninger trenger medarbeiderne tilgang til i jobben sin? Dette bør avklares før KI gjør dokumentene enklere å finne. Å kjøpe en KI-assistent avklarer ikke hvem som bør kunne lese kundeavtaler, lønnsdiskusjoner eller styrepapirer.
Gevinsten er at ansatte kan finne en godkjent rutine uten å avbryte en kollega og få nytte av kunnskap fra flere prosjekter. Målet bør være å gjøre denne kunnskapen lettere å bruke, samtidig som dere sørger for at ansatte bare har tilgang til opplysninger de trenger i arbeidet.
Tilgangene må stemme med arbeidsoppgavene
Microsofts oppdaterte dokumentasjon sier at Copilot kan oppsummere eller vise til innhold brukeren har tilgang til. Det beskriver hvordan produktet følger tilgangene som er satt opp. Det dokumenterer ikke at de ansatte bare har tilgang til opplysninger de trenger i arbeidet.
Tidligere prosjektdeltakere kan fortsatt ha tilgang til prosjektmappen. En mappe kan arve tilganger fra et større fellesområde. En lenke som er delt med mange, kan fortsatt virke lenge etter at oppgaven er avsluttet. Dette er mulige svakheter som bør undersøkes, ikke bevis på at Copilot omgår tilgangsstyringen.
Problemstillingen er kjent i Norge. I sandkasserapporten med NTNU fra november 2024 forklarte Datatilsynet at Copilot kunne gjøre bortgjemte opplysninger lette å finne uten å gi brukeren nye tilganger. Rapporten gjelder et universitet og produktet slik det var da. Den belyser tilgangsproblemet, men er verken en oppdatert produktveiledning eller en generell juridisk konklusjon for norske bedrifter.
Avklar hvem som trenger opplysningene
Tenk deg en norsk tjenestebedrift som vil innføre KI-søk for de ansatte. Eksemplet er hypotetisk. Fellesområdet inneholder reiseregler, dokumenter fra kundeprosjekter og materiale fra en gammel ansettelsesprosess. Kontorlederen vil at ansatte skal finne vanlige rutiner selv. Prosjektlederen trenger relevante kundedokumenter. Vurderinger av jobbsøkere hører til hos dem som har ansvar for ansettelsesprosessen.
Begynn med å skille disse behovene fra hverandre. Den som har ansvar for hvert dokumentområde, bør angi hvem som skal kunne lese innholdet, og hvorfor de trenger det. IT-ansvarlig eller leverandøren bør deretter kontrollere de faktiske gruppene, delingslenkene og tilgangene som er arvet fra andre områder. At en mappe heter «HR», betyr ikke at den er skjermet.
Skill felles veiledning fra enkeltsaker. Ansatte kan trenge refusjonsreglene uten å få se en kollegas reiseregning eller korrespondanse om et unntak. Et lite AS trenger ikke et omfattende klassifiseringsprogram for å gjøre dette første skillet. Det må være klart hvem som bestemmer hvem som skal ha tilgang, og hvem som endrer tilgangene.
Det koster også å fjerne tilgang ukritisk. Mister prosjektgruppen tilgangen til den gjeldende spesifikasjonen, kan arbeidet stoppe opp eller flyttes til e-postvedlegg. Kontroller at de som skal ha tilgang, fortsatt kan gjøre jobben sin. Hvis kunnskap kan deles med flere, lag en godkjent generell versjon fremfor å åpne den konfidensielle kilden for alle.
Et søkefilter er ikke en lås
Microsoft tilbyr Restricted Content Discovery for SharePoint for midlertidig å begrense hvilket innhold som dukker opp i virksomhetens felles søk og gjennom Copilot. Tilgangene endres ikke: Brukere som har tilgang, kan fortsatt åpne innholdet direkte. Funksjonen dekker ikke OneDrive, og det tar tid før endringer slår gjennom. Krav til lisenser og oppsett må kontrolleres for bedriftens løsning.
Et slikt tiltak kan begrense hvor lett innhold blir oppdaget mens dere retter tilgangene. Kontroller hvilke søk og tjenester tiltaket faktisk gjelder for. Ikke rapporter «fjernet fra KI-søk» som «ikke lenger tilgjengelig». Microsofts veiledning for innføring skiller mellom midlertidig beskyttelse og arbeidet med å fjerne tilganger ansatte ikke trenger, og avklare hvem som har ansvaret.
Be leverandøren demonstrere det konkrete produktet og oppsettet dere skal kjøpe. En egenutviklet assistent eller en kobling til et annet system trenger en egen vurdering. At Copilot følger tilgangene i kildesystemet, betyr ikke at en annen integrasjon gjør det samme.
Test med medarbeiderens rolle, ikke administratorens
For tjenestebedriften kan testen gjennomføres i et godkjent testmiljø med oppdiktede dokumenter uten reelle personal- eller kundeopplysninger. Gi hvert testdokument en særpreget, harmløs formulering, slik at det er mulig å spore hvor svaret kommer fra. Sett opp representative tilganger, og la de ansvarlige avklare hvilke resultater testen skal gi før den starter.
Prøv de samme oppgavene med en vanlig medarbeiderkonto, en konto for et prosjektmedlem og en konto med godkjent HR-tilgang. En vellykket demonstrasjon med administratorkonto sier lite om grensene mellom disse rollene.
| Test | Forventet resultat som må kontrolleres |
|---|---|
| Finn de generelle reisereglene | Vanlige medarbeidere får den gjeldende, godkjente veiledningen |
| Spør om en oppdiktet personalsak | En bruker uten HR-tilgang får verken saksopplysningene eller et avslørende utdrag |
| Åpne den direkte lenken til personaldokumentet | Den samme brukeren blir nektet tilgang i kildesystemet |
| Hent et dokument fra et tildelt prosjekt | Prosjektmedlemmet får opplysningene som trengs for arbeidet |
| Fjern testbrukerens prosjektmedlemskap | Nye oppslag følger de endrede tilgangene når tilgangsendringen har slått gjennom i tråd med produktets dokumentasjon |
Dette er forslag til kontroller, ikke et sertifisert testopplegg. At et søk ikke finner dokumentet, beviser lite alene. Assistenten kan ganske enkelt ha oversett det. Kontroller tilgangene i kildesystemet i tillegg til svaret, kildelenkene og eventuelle utdrag. Gjenta representative spørsmål på bokmål og andre språk medarbeiderne bruker. Språkvalg skal ikke fungere som tilgangskontroll.
Registrer rollen, dokumentområdet, ønsket tilgang, faktisk resultat, oppsett og tidspunkt for testen. Oppbevar eventuell dokumentasjon med sensitive opplysninger på et sted med begrenset tilgang. Hvis testen avdekker reelle sensitive opplysninger, må dere ikke spre dem videre i en åpen kanal for brukerstøtte. Hvis faktiske opplysninger har nådd uvedkommende, må bedriftens rutine for hendelseshåndtering følges og konsekvensene vurderes særskilt.
Ta med rollebytter og kopierte svar
Endrede tilganger trekker ikke automatisk tilbake opplysninger som allerede er mottatt. Spør hva som skjer med et tidligere svar, en lagret samtale eller et eksportert dokument når en bruker går ut av et prosjekt. Å fjerne tilgangen til kilden sletter ikke nødvendigvis kopier som allerede er laget. Kontroller hvordan lagring og deling faktisk fungerer, og avklar hvordan ansatte skal håndtere materialet de lager fra kildene.
La gjennomgangen følge vanlige endringer: Noen begynner eller slutter i et prosjekt, et kundeoppdrag avsluttes, en mappe flyttes, eller en ny systemkobling tas i bruk. Utpek en ansvarlig for hvert viktig dokumentområde, og avtal når tilgangene skal gjennomgås. Ellers kan en ryddig pilot gradvis få de samme gamle svakhetene.
Utvid når nytten er vist og tilgangene er kontrollert
Ledelsen bør godkjenne hvilke dokumentområder dere starter med, avklare ansvaret og sette av ressurser til nødvendige rettelser. I en liten bedrift kan det bety å begynne med ett godt vedlikeholdt bibliotek med felles rutiner. En større virksomhet kan trenge separate beslutninger for prosjekt-, økonomi- og personalopplysninger. Veiledningen om intern KI-bruk i Norge tar for seg den bredere vurderingen av databruk og leverandører.
Hvis konfidensielle opplysninger er vesentlige for virksomheten, bør styret spørre hvilke dokumentområder som fortsatt må gjennomgås, hva testene viste, og om ledelsen har ressurser til å rette feilene. Styret skal følge opp risikoen og fremdriften fremfor å administrere brukere og tilgangsgrupper.
Før neste møte med IT-leverandøren: Velg ett dokumentområde ansatte skal ha nytte av, og ett som må være skjermet. Be leverandøren vise både at ansatte finner det de trenger, og at uvedkommende blir nektet tilgang. Be deretter om en oversikt over hva som gjenstår, og hvem som har ansvaret. Det gir et bedre grunnlag for utvidelse enn antall aktiverte lisenser. Ta resultatet med i beslutningen om å gå fra pilot til vanlig drift.
Kildene er kontrollert 19. oktober 2026. Dette er en praktisk fordypning, ikke en nyhet om et datainnbrudd eller en produktlansering. Tjenestebedriften, personalsaken og testene er hypotetiske. Fremgangsmåten er forfatterens anbefaling. Produktfunksjoner kan endres. Tilgangstesting alene dokumenterer ikke lovlighet. Illustrasjonen er KI-generert.