Et prosjektverktøy får automatisk oppsummering av møter, forslag til oppgavefordeling og analyse av prosjektrisiko. Funksjonene inngår i abonnementet, blir tilgjengelige gjennom en vanlig produktoppdatering og tas raskt i bruk fordi medarbeiderne opplever dem som nyttige.
Prosjektdataene kan inneholde kundenavn, budsjetter, fremdrift og interne vurderinger. Virksomheten må derfor vite om den nye funksjonen endrer hvilke data som behandles, hvor behandlingen skjer, og hvilke selskaper som deltar i leveransen.
NSMs Risiko 2026 Lenke til et annet nettsted. peker på betydningen av leverandøravhengighet, sikkerhetskrav i kontrakter og oversikt over leverandørkjeder. Lenke til et annet nettsted.Nkoms EkomROS 2024 Lenke til et annet nettsted. beskriver hvordan skytjenester kan leveres gjennom lange og sammensatte kjeder, noe som kan gjøre kontroll med tilgang og rettigheter mer krevende.
God styring (governance) krever at ledergruppen ser leverandøren og de viktigste underleverandørene som én samlet leveranse.
Hvis dere bare gjør én ting etter å ha lest dette
Velg de fem leverandørene som behandler de mest kritiske dataene, og be om en skriftlig beskrivelse av hvilke data KI-funksjonene behandler, og hvor de blir behandlet og lagret. Leverandøren bør også oppgi hvilke underleverandører som får tilgang, om dataene kan brukes til å forbedre eller trene modeller, og hvordan virksomheten blir varslet om endringer og hendelser. Svarene gir et første bilde av hvilke avtaler og kontroller som bør gjennomgås.
Leverandørkjeden er større enn kontraktspartneren
Virksomheten kjøper vanligvis tjenesten fra én hovedleverandør, som igjen kan bruke skyleverandører, modelltilbydere, analyseverktøy og andre selskaper for å levere KI-funksjonen. Denne leverandørkjeden kan behandle virksomhetens data, drifte viktige deler av tjenesten og påvirke hvor raskt virksomheten får informasjon ved en hendelse.
En databehandleravtale og andre kontrakter skal regulere relevante sider av behandlingen. Den konkrete løsningen, virksomhetens rolle og gjeldende regelverk avgjør hvilke krav som må stilles. Juridisk funksjon og personvernombud bør derfor kvalitetssikre avtalene når personopplysninger eller andre beskyttede data er involvert.
Fem svar som gjør risikoen forståelig
Ledergruppen trenger en kort forklaring på hvilke opplysninger som sendes inn, hvilke nye opplysninger som skapes, og hvilke arbeidsprosesser som berøres. Den bør vite i hvilke land eller regioner dataene behandles og lagres, hvilke vilkår som gjelder for overføringer, og hvilke underleverandører som deltar. Forklaringen må også avklare om dataene bare brukes til å levere tjenesten, eller om de kan inngå i analyse, produktutvikling eller modellforbedring. Til slutt bør virksomheten vite hvilken dokumentasjon den kan kreve, hvordan den blir varslet om hendelser, og hvem som følger opp internt.
Disse opplysningene bør finnes i avtaler, leverandørdokumentasjon og virksomhetens egen risikovurdering. En markedsføringsside eller generell sikkerhetserklæring gir sjelden nok informasjon alene.
Tre spørsmål kan holde samtalen på ledernivå. Det første er hvilke data og arbeidsprosesser virksomheten i realiteten overlater til leverandørkjeden. Det andre er hvilken konsekvens virksomheten kan håndtere dersom tjenesten endres, blir utilgjengelig eller behandler opplysninger på en uventet måte. Det tredje er hvilket handlingsrom virksomheten har dersom svarene ikke er gode nok, for eksempel å begrense funksjonen, kreve nye avtalevilkår eller velge en annen løsning. Svarene kobler leverandørgjennomgangen til drift, økonomi og omdømme.
Nye funksjoner trenger en ny vurdering
En leverandør kan legge til KI uten at virksomheten gjennomfører en ny anskaffelse. Derfor må innkjøp og systemeiere ha en rutine for å fange opp vesentlige produktendringer.
En ny vurdering er særlig viktig når funksjonen begynner å behandle nye typer data, kobles til flere interne systemer eller får mulighet til å skrive og utføre handlinger. Det samme gjelder når leverandøren tar inn nye underleverandører eller endrer hvordan dataene kan brukes. Systemeieren bør da varsle lederen for arbeidsområdet og de relevante fagfunksjonene, slik at omfanget på vurderingen kan tilpasses risikoen.
Bruk en enkel leverandørstatus
Legg leverandørstatus inn i autonomikartet for de viktigste KI-områdene. Grønn status kan brukes når spørsmålene er besvart, nødvendige avtaler og vurderinger er oppdatert, og ansvarlig leder har godkjent bruken. Gul status viser at ett eller flere forhold mangler svar, eller at avtalen trenger en ny vurdering etter en vesentlig endring, og saken må da få en ansvarlig person og en frist. Rød status brukes når leverandøren ikke kan gi nødvendig informasjon, eller når løsningen innebærer en risiko virksomheten ikke vil akseptere.
Et A3- eller A4-område med gul eller rød leverandørstatus bør behandles raskt. Handlefriheten kan begrenses til menneskelig godkjenning mens opplysningene og avtalene avklares.
Kontrakten skal støtte virksomhetens ansvar
Kontrakten bør gi virksomheten de rettighetene og varslene den trenger for å ivareta eget ansvar. Den kan blant annet beskrive dataene, formålet og lagringsstedene, og regulere bruk og endring av underleverandører. Sikkerhetskrav, varsling ved hendelser og tilgang til relevant dokumentasjon bør også vurderes. Avtalen må i tillegg støtte en ryddig sletting eller tilbakelevering av data når leveransen avsluttes. De konkrete kravene må tilpasses bruken, virksomhetens ansvar og eventuelle sektorregler.
Dette bør dere gjøre nå
Start med de fem leverandørene som har størst betydning ut fra datamengde, kritiske arbeidsprosesser og løsningens handlefrihet. Innhent opplysningene skriftlig og sett grønn, gul eller rød leverandørstatus i autonomikartet. Systemeieren bør følge produktendringer, innkjøp bør følge avtalen, og lederen for arbeidsområdet skal eie risikoen. Når statusen ikke står i forhold til konsekvensene av bruken, bør automatiske handlinger begrenses frem til virksomheten har fått de nødvendige avklaringene.
Den første gjennomgangen kan gjennomføres som et arbeidsmøte i ledergruppen. Be innkjøp, teknologi, sikkerhet og personvern forberede de fem viktigste leverandørene, og bruk mest tid på løsninger med stor handlefrihet eller kritiske data. Ledergruppen skal avslutte hver sak med en status, en ansvarlig person og en frist. Refleksjonsspørsmålet er enkelt: «Hvilken leverandørendring ville overrasket oss mest, og hvordan ville vi oppdaget den?»
Svarene bør også vise om virksomheten kan fortsette en kritisk arbeidsprosess dersom leveransen svikter. Behovet for en reserveordning avhenger av hvor viktig løsningen er, hvor raskt den kan erstattes, og hvilke konsekvenser et avbrudd får.
Oversikt må vedlikeholdes
Leverandørkjeden endrer seg når produkter oppdateres, underleverandører byttes og nye integrasjoner kobles til. Derfor bør leverandørstatus vurderes på faste datoer og ved vesentlige endringer.
Neste artikkel handler om hvordan virksomheten kan dokumentere og forklare hvordan KI har påvirket en beslutning – og hva som må være på plass for å kunne rekonstruere hva som faktisk skjedde.
Silje har bakgrunn fra lederroller i byrå- og vekstmiljøer innen tech og kommunikasjon, og har jobbet tett på struktur, prosesser og utvikling i organisasjoner i vekst. I dag jobber hun i Fortytwo, der hun arbeider med kommunikasjon, generativ AI og spørsmålene teknologien reiser om ansvar, beslutninger og hvordan mennesker og virksomheter påvirkes.
