En leverandør sier at KI-tjenesten er sikker. Salgsavdelingen vil bruke den til å lage tilbud basert på kundedokumenter. Før dere kobler til dokumentene, trenger ledelsen svar som gjelder den faktiske tjenesten og avtalen: Hvem får tilgang til materialet, hva bruker leverandøren det til, og hva skjer hvis noe går galt?
En liten norsk bedrift trenger ikke å gjennomføre en full sikkerhetsrevisjon av et globalt teknologiselskap. Men den må undersøke om beskyttelsen leverandøren beskriver, passer til det bedriften skal bruke tjenesten til. Finn ut hva som fortsatt er uavklart, og bestem hvilket materiale som kan brukes. En avgrenset test med godkjente, ufølsomme eksempler kan starte mens de vanskeligere spørsmålene avklares.
Hva forteller leverandørens offentlige informasjon?
En forskningsartikkel publisert 3. november 2026 undersøkte offentlige dokumenter fra 200 av verdens største børsnoterte selskaper. Forskerne fant at 32 av de 100 største ikke omtalte noen KI-risiko i dokumentene de fant. Utvalget omfatter både selskaper som bruker KI og selskaper som utvikler teknologien. Forskerne beregnet også et anslag for de 1 000 største basert på et utvalg. Det er ikke en opptelling av alle selskapene.
Studien handler om hva selskapene fortalte offentlig. Den viser ikke at de unnlot å håndtere risiko. Et selskap kan ha gode tiltak som ikke er offentlig omtalt, eller forskerne kan ha oversett et dokument. Samtidig er en velformulert erklæring ikke bevis for at et tiltak virker for akkurat deres konto. Studien er en foreløpig forskningsartikkel. Hovedsøket etter dokumenter ble gjort i januar og februar 2026, og selskapene ble bedt om tilbakemelding i juni. Utvalget representerer heller ikke norske leverandører generelt.
Lærdommen er derfor konkret: Offentlig informasjon er et utgangspunkt for spørsmål, ikke en erstatning for å undersøke tjenesten dere skal kjøpe. Nasjonal sikkerhetsmyndighet anbefaler blant annet risikovurdering, god bestillerkompetanse og relevante krav før virksomheten setter ut tjenester. Rådene er ikke en godkjenning av en bestemt KI-leverandør og betyr ikke at alle bedrifter trenger samme avtale.
Begynn med dokumentene og oppgaven
Tenk deg et norsk ingeniørselskap som vurderer en KI-assistent til tilbudsarbeid. De ansatte ønsker å laste opp kundetegninger, prisanslag og utkast til tilbud. Eksempelet er oppdiktet og beskriver ikke en kunde. Gevinsten er raskere tilbudsarbeid og bedre søk i tidligere tilbud. Risikoen er blant annet at fortrolige tegninger kommer på avveie, eller at assistenten bruker feil versjon av en tegning.
Den som eier prosjektet, bør først beskrive hvilken informasjon, hvilke ansatte og hvilke systemer som blir involvert. Er tegningene fortrolige etter kundeavtalen? Vil tjenesten få personopplysninger? Trenger assistenten tilgang til hele arkivet eller bare utvalgte filer? At en tjeneste fungerer godt med offentlige dokumenter, betyr ikke at den er klarert for fortrolig kundemateriale.
Be deretter om svar som gjelder abonnementet, innstillingene og informasjonsflyten dere faktisk vurderer. En offentlig beskrivelse av et annet produkt eller en privatkonto er ikke nok. Skriv ned svaret, hvor det står, når det ble gitt og hvem som følger opp. Hvis leverandøren ikke kan svare med én gang, marker spørsmålet som uavklart. Ikke anta at beskyttelsen finnes, men trekk heller ikke den konklusjonen at leverandøren er utrygg.
Fem spørsmål før dere kjøper
- Hvor går materialet? Spør hvilke deler av tjenesten og hvilke underleverandører som behandler filene, hvor behandlingen foregår, og hvorfra ansatte hos leverandøren kan få tilgang ved kundestøtte. Spør også om opplysningene kan forlate miljøet dere har avtalt. Lagringsstedet alene gir ikke hele svaret.
- Hva kan leverandøren bruke det til? Sjekk avtalen og innstillingene for modelltrening, forbedring av tjenesten, kundestøtte, lagringstid og sletting. Spør hvordan innstillingene aktiveres, og om de også gjelder underleverandørene.
- Hvem kan se og hente dokumentene? Be om å få vite hvordan tilgangen for ansatte og administratorer begrenses og fjernes. Undersøk om en bruker kan hente en annen kundes dokumenter. Bruk godkjente testfiler og testkontoer, ikke ekte fortrolige opplysninger.
- Hvordan får vi vite om noe skjer? Avtal hvordan hendelser meldes, hvilken varsling og bistand avtalen gir, hvem som kan stanse tilgangen, og hvilke logger som er tilgjengelige for å undersøke saken. Test kontaktveien. En generell e-postadresse til sikkerhetsavdelingen er ikke en beredskapsplan.
- Hva kan endre seg etter at vi har signert? Finn ut hvordan leverandøren varsler endringer i modeller, underleverandører, vilkår og sikkerhetstiltak. Avklar hvem som vurderer endringene, og når bedriften skal teste tjenesten på nytt eller begrense bruken.
Be om dokumentasjon som står i forhold til beslutningen: avtaletekst, beskrivelse av de aktuelle innstillingene, en relevant uavhengig vurdering og, der det er mulig, en demonstrasjon eller en liten avtalt test. Sjekk hva en revisjonsrapport faktisk dekker, når den er fra og hvilke forbehold den har. En sertifisering kan gjelde leverandørens styringssystem uten å bevise at akkurat deres arbeidsprosess er trygg.
Bestem hva som er tillatt mens spørsmål står åpne
En liten bedrift har ikke nødvendigvis forhandlingsmakt til å endre en standardavtale. Den har likevel valg: Bruke tjenesten bare med offentlig materiale, fjerne følsomme detaljer, begrense tilgangen til en liten gruppe, velge en annen leverandør eller vente med tilkoblingen. Å fjerne navn gjør ikke nødvendigvis en tegning eller et tilbud ufølsomt.
For ingeniørselskapet i eksempelet kan første steg være å teste med oppdiktede tilbudsdokumenter og la en ansatt kontrollere henvisningene mot originalfilene. Først når spørsmålene om avtale og tilgang er avklart, bør ledelsen ta stilling til om ekte kundemateriale skal inn i tjenesten. Sett en dato for gjennomgang, utpek en ansvarlig og avtal hva som skal stoppe videre utrulling.
Det koster også å vente. Bedriften kan bruke mye tid på å finne gamle tilbud og gå glipp av bedre arbeidsmåter. Sammenlign den kostnaden med risikoen dere unngår, og la ikke en beslutning om fremtidig bruk stanse alle forsøk med lav risiko. Før personopplysninger behandles, må virksomheten vurdere hvilke forpliktelser og avtaler som gjelder. Spørsmålene over er praktiske kontrollpunkter, ikke en juridisk vurdering.
Gi styret en beslutning, ikke bare et spørreskjema
Ledelsen har ansvar for leverandørvurderingen, innføringen og oppfølgingen. Når avhengigheten eller informasjonen er vesentlig, bør styret få vite hvilken gevinst bedriften venter, hvilke opplysninger som inngår, hva som fortsatt er uavklart, hvilke begrensninger ledelsen foreslår og hvem som har akseptert risikoen som gjenstår. Styret bør også spørre hva som skjer hvis leverandøren endrer tjenesten eller den må stanses. Den separate artikkelen om å kunne bytte KI-leverandør forklarer hvordan virksomheten kan teste drift og utfasing.
Neste gang dere vurderer en KI-tjeneste, velg én viktig arbeidsoppgave og be leverandøren vise hvordan svarene gjelder for akkurat den løsningen dere skal bruke. Konkrete svar gjør det lettere å ta tjenesten i bruk. Et ubesvart spørsmål om noe vesentlig viser hvor forsøket må begrenses og hva som må avklares videre.
Kilder kontrollert 9. november 2026. Ingeniørselskapet og testen er oppdiktede eksempler. Innkjøpsspørsmålene og anbefalingene er forfatterens vurderinger. Illustrasjonen er KI-generert.