KI-etterlevelse: styring av KI-systemer og bruk av KI i etterlevelsesarbeid

KI-etterlevelse betyr to ting: det løpende arbeidet med å sikre at KI-systemene organisasjonen din bygger eller bruker, oppfyller gjeldende lover, standarder og interne retningslinjer, og bruk av KI til rutinepreget etterlevelsesarbeid i stort volum.

Denne artikkelen dekker begge betydningene: risikoene KI-etterlevelse håndterer, de viktigste rammeverkene, hvordan du bygger et etterlevelsesprogram, kontroller for KI-agenter og hvor KI hjelper etterlevelsesteam. Den avsluttes med spørsmål du bør stille før du kjøper et etterlevelsesverktøy.

Hva er KI-etterlevelse?

KI-etterlevelse viser til to ting: å sørge for at KI-systemer oppfyller reglene i KI-regelverket, og å bruke KI til etterlevelsesarbeid.

I den første betydningen sikrer KI-etterlevelse at et KI-system følger lover, forskrifter, etiske standarder og interne retningslinjer gjennom hele KI-livssyklusen, fra treningsdata til ytelse og bruk.

For eksempel krever New York Citys Local Law 144 at arbeidsgivere som bruker et automatisert verktøy for ansettelsesbeslutninger, får det revidert for skjevheter innen ett år etter at det tas i bruk, offentliggjør informasjon om revisjonen og varsler ansatte eller jobbsøkere.

Arbeidet med regulatorisk KI-etterlevelse er kontinuerlig fordi KI-applikasjoner oppdateres, dataene de bruker, endrer seg, og regelverket utvikler seg.

I den andre betydningen bruker etterlevelsesteam KI til rutinepreget arbeid i stort volum, som å overvåke transaksjoner, gjennomgå dokumenter og følge med på regulatoriske endringer.

Noen finansinstitusjoner bruker for eksempel KI til å gjennomgå transaksjoner og redusere antall falske positiver i varsler fra transaksjonsovervåkingen før analytikere avgjør hvilke som krever en rapport om mistenkelig aktivitet.

KI-etterlevelse vs. KI-styring vs. KI-risikostyring

De tre begrepene overlapper, men dekker ulike områder: Styring fastsetter reglene, risikostyring avdekker hva som kan gå galt, og etterlevelse sikrer at reglene følges.

Hvorfor KI-etterlevelse er viktig

Å oppnå KI-etterlevelse begrenser risikoen for bøter, ivaretar personvernet til personene hvis opplysninger KI-en din behandler, og gjør det mulig for organisasjonen å gjøre rede for bruken av KI-systemer ved en revisjon.

• Sanksjoner fra myndighetene: Etter EUs KI-forordning kan bruk av en forbudt KI-praksis, for eksempel å utlede ansattes følelser på arbeidsplassen, koste opptil 35 millioner euro eller 7 % av den globale årsomsetningen. Tilbydere og idriftsettere kan få bøter på opptil 15 millioner euro eller 3 % for brudd på forordningen.
• Personvern: Et KI-system som behandler personopplysninger, er underlagt personvernlovgivning, for eksempel GDPR i EU. Dette omfatter treningsdata, ledetekster og utdata som inneholder personopplysninger.
• Revisjonsberedskap: Dokumentasjon av hvilke KI-systemer du bruker, hvem som godkjente dem, og hvordan du overvåker dem, gjør at du kan svare tilsynsmyndigheter, revisorer og kunder.

De viktigste risikoene KI-etterlevelse håndterer

KI-etterlevelse håndterer fem hovedrisikoer: algoritmisk skjevhet, manglende forklarbarhet, hallusinasjoner i regulerte prosesser, personvern og datalekkasje samt skygge-KI.

Forstørr

Slik kommer de viktigste risikoene til uttrykk, med eksempler på kontroller som holder dem i sjakk:

• Algoritmisk skjevhet: En modell gjenskaper mønstre i treningsdataene som stiller visse grupper dårligere. Et rekrutteringsverktøy kan for eksempel rangere kandidater lavere basert på en indirekte indikator for alder eller etnisitet, som uteksamineringsår eller postnummer. Skjevhetsrevisjoner, som sammenligner utfall på tvers av demografiske grupper, bidrar til å avdekke slike mønstre.
• Manglende forklarbarhet: Organisasjonen kan ikke vise hvordan en modell kom frem til en beslutning. Hvis en långiver ikke kan forklare hvorfor en modell avslo en lånesøknad, kan den ikke forsvare utfallet. Organisasjoner forebygger dette ved å dokumentere modellens inndata og beslutningslogikk og ved å velge modeller med sporbare utdata.
• Hallusinasjoner i regulerte prosesser: Et generativt KI-verktøy påstår noe usant med stor selvsikkerhet. En advokat kan for eksempel be et KI-verktøy om rettspraksis som støtter et argument, og få henvisninger til rettsavgjørelser som ikke finnes. Å kreve kilder for alle utdata og la en kvalifisert person verifisere dem fanger opp slike feil.
• Personvern og datalekkasje: Konfidensielle opplysninger eller kundeopplysninger havner i et verktøy utenfor organisasjonens kontroll. En ansatt kan for eksempel lime inn kundeposter i et offentlig KI-verktøy som lagrer inndata for å trene fremtidige modeller. Å bruke kun godkjente verktøy med avtalefestede begrensninger på trening og datalagring reduserer risikoen.
• Skygge-KI: Ansatte bruker KI-verktøy som organisasjonen ikke har godkjent eller ikke har innsyn i. I en Compliance Week-undersøkelse fra 2026 rapporterte 42 % av deltakerne om ustyrt KI-bruk blant ansatte. Mulige løsninger omfatter en liste over godkjente verktøy kombinert med en rask godkjenningsprosess for KI-verktøy, samt web-gatewayer.

Sentrale rammeverk for KI-etterlevelse

KI-etterlevelse bygger på bindende rammeverk for KI-styring, som EUs KI-forordning, og frivillige rammeverk, som NIST AI Risk Management Framework og ISO/IEC 42001, som hjelper organisasjoner med å oppfylle dem.

EUs KI-forordning

EUs KI-forordning (forordning (EU) 2024/1689) har en risikobasert tilnærming til KI-regulering: Noen former for praksis er forbudt uten videre, høyrisikosystemer er underlagt strenge begrensninger, mens andre bare har lette åpenhetskrav. Den gjelder for tilbydere og idriftsettere overalt «der utdataene fra KI-systemet brukes i Unionen».

Forpliktelsene etter EUs KI-forordning avhenger av organisasjonens rolle:

• De som utvikler et KI-system med høy risiko eller markedsfører det under eget navn (tilbydere), må gjennomføre en samsvarsvurdering, påføre CE-merking, registrere systemet, føre teknisk dokumentasjon og overvåke systemet etter lansering.
• De som bruker et system noen andre har bygget (idriftsettere), må følge tilbyderens instruksjoner, overlate tilsynet til personer med «nødvendig kompetanse, opplæring og myndighet», oppbevare logger i minst seks måneder og informere arbeidstakere og andre som berøres av systemets beslutninger.

Forstørr

Forordningen innføres trinnvis. Forbudt praksis, KI-kompetanse og regler for KI til allmenne formål har gjeldt siden 2025, mens forpliktelsene for høyrisikosystemer gjelder fra 2. desember 2027, og fra 2. august 2028 for KI som er innebygd i produkter omfattet av EUs produktsikkerhetsregelverk.

EN 18286:2026 om kvalitetsstyringssystemer er den første europeiske standarden som støtter forordningen. Tilbydere som følger den, antas å oppfylle forordningens krav til kvalitetsstyring.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), publisert i januar 2023, er et frivillig amerikansk rammeverk bygget rundt fire funksjoner: Govern (styre), Map (kartlegge), Measure (måle) og Manage (håndtere).

Rammeverkets Generative AI Profile, lansert i juli 2024, anvender rammeverket på risikoer knyttet til generativ KI.

ISO/IEC 42001

ISO/IEC 42001 er den internasjonale standarden for styringssystemer for KI og dekker retningslinjene, rollene og prosessene som styrer ansvarlig utvikling og bruk av KI. Sertifisering er frivillig og utstedes av uavhengige sertifiseringsorganer, ikke av ISO selv.

Et sertifikat dekker organisasjonens styringssystem, ikke et bestemt KI-produkt.

Amerikanske og bransjespesifikke regler som gjelder for KI

USA har ingen samlet føderal KI-lov. Reglene kommer fra byer, delstater og eksisterende lover og forskrifter som gjelder for KI.

For eksempel regulerer Colorados SB26-189, som trer i kraft 1. januar 2027, teknologi for automatisert beslutningstaking, og personvernlover som California Consumer Privacy Act (CCPA) eller HIPAA gjelder når KI behandler beskyttede data.

Slik bygger du et program for KI-etterlevelse

Å bygge et program for KI-etterlevelse innebærer seks trinn: kartlegg KI-systemene dine, klassifiser dem etter risiko, koble kontroller til reglene som gjelder, tildel eiere, dokumenter hvert system og overvåk det med dokumentasjon en revisor kan kontrollere.

Forstørr

Hvert trinn nedenfor avsluttes med dokumentasjonen det gir:

1. Kartlegg alle KI-systemer. List opp systemene organisasjonen din bygger, kjøper eller bruker, inkludert KI-funksjoner i eksisterende programvare og verktøy ansatte har tatt i bruk uten godkjenning. Registrer hva hvert system gjør, hvem som bruker det, og hvilke data det berører.
   Resultat: En oversikt over KI-systemer.
2. Klassifiser hvert brukstilfelle etter risiko. Vurder hvert system ut fra skaden det kan forårsake, med en ordning som risikonivåene i EUs KI-forordning. Et verktøy som fastsetter livsforsikringspremier, er for eksempel høyrisiko etter forordningen, mens et verktøy som oppsummerer interne møter, ikke er det.
   Resultat: Et risikoregister.
3. Koble kontroller til gjeldende regler. List opp lovene, standardene og de interne retningslinjene som gjelder for hvert system, og kontrollen som oppfyller hvert etterlevelseskrav. En dokumentert menneskelig gjennomgang bidrar for eksempel til å oppfylle kravene til menneskelig tilsyn med høyrisikosystemer i EUs KI-forordning og oppfordringen i NIST AI RMF om dokumenterte prosesser for menneskelig tilsyn.
   Resultat: Et kontrollkart.
4. Tildel eiere og punkter for menneskelig tilsyn. Utpek en eier for hvert system, og bestem hvor en person skal gjennomgå utdataene. For eksempel eier juridisk avdeling og etterlevelsesfunksjonen forpliktelsene, sikkerhetsavdelingen eier de tekniske kontrollene, forretningseierne eier sine brukstilfeller, og én toppleder har det overordnede ansvaret. Sørg for at folk i hele organisasjonen er klar over dette, og etabler tydelige kommunikasjonslinjer.
   Resultat: Navngitte eiere for hvert system.
5. Dokumenter hvert system. Registrer formålet, treningsdataene, testingen og de kjente begrensningene for hvert system i formater som modellkort og konsekvensvurderinger. Tilbydere av høyrisikosystemer må også utarbeide den tekniske dokumentasjonen i vedlegg IV til EUs KI-forordning.
   Resultat: Et sett med systemdokumentasjon.
6. Overvåk, loggfør og ta vare på bevis. Utform logger som revisjonsbevis fra starten av, slik at de viser hva et system gjorde og hvem som gjennomgikk det. EUs KI-forordning krever at høyrisikosystemer registrerer hendelser automatisk gjennom hele levetiden. Et revisjonsspor bør registrere:
   • Modellen og versjonen som brukes
   • Inndata og utdata, eller et definert utvalg av dem
   • Data for trening eller finjustering
   • Punkter for menneskelig gjennomgang og utfallene av dem
   • Handlinger en agent utførte, og tillatelsene den brukte
   • Hvor lenge hver registrering oppbevares

Resultat: Overvåkingsdokumentasjon og et revisjonsspor.

Spesialiserte verktøy for KI-etterlevelse, som IBM watsonx.governance og OneTrust AI Governance, kan overta deler av dette programmet, inkludert oversikten over KI-systemer, risikovurderinger opp mot EUs KI-forordning og dokumentasjon.

Slik godkjenner du KI-verktøy som ansatte kan bruke

Før du godkjenner et KI-verktøy, bør du sjekke fire ting:

• Datatilgang: Hvilke filer, systemer og tilkoblede kunnskapsbaser verktøyet kan lese, og om de inneholder personopplysninger det kan eksponere.
• Trening på inndata: Om leverandøren bruker ledetekster, filer eller utdata til å trene modellene sine, og om avtalen din med leverandøren forbyr det.
• Lagring: Hvor lenge leverandøren oppbevarer ledetekster, filer og samtalehistorikk, og om du kan forkorte lagringstiden.
• Hosting og overføringer: Hvor leverandøren lagrer og behandler data, inkludert overføringer ut av regionen din.

Etterlevelseskontroller for KI-agenter

KI-agenter trenger flere kontrollmekanismer enn chatteverktøy fordi de selv bestemmer trinnene sine og handler via verktøyene og tillatelsene de har fått tildelt. Tre kontrollmekanismer holder dem i sjakk:

• Tilgang etter minste privilegium: Gi en agent bare de verktøyene og tillatelsene oppgaven krever. Excessive Agency (overdreven handlefrihet), der en agent kan gjøre mer enn oppgaven krever, er en av de største sikkerhetsrisikoene ifølge OWASP Top 10 for LLM Applications 2026.
• En logg over hver handling: Registrer hvert verktøykall, dataene som ble hentet, og tillatelsene som ble brukt, slik at du kan spore hva en agent gjorde og for hvem.
• Menneskelig godkjenning av handlinger med stor konsekvens: Krev at en person bekrefter trinn som sender data ut av organisasjonen, flytter penger eller ikke kan angres.

Slik brukes KI i etterlevelsesarbeid

Etterlevelses- og risikostyringsteam bruker KI til å overvåke kontroller, vurdere risiko, følge med på regulatoriske endringer, gjennomgå dokumenter og prioritere varsler om økonomisk kriminalitet.

I en Compliance Week-undersøkelse fra 2026 blant 193 ledere innen etterlevelse, etikk, risiko og revisjon oppga over 83 % at de bruker KI, og nesten 40 % sa at selskapene deres har tatt det i bruk til risikovurdering og overvåking.

Vanlige brukstilfeller for KI i etterlevelse omfatter:

• Kontinuerlig etterlevelsesovervåking og innsamling av bevis: KI kjører kontroller og samler inn bevis for at de fungerer (f.eks. forfalte sikkerhetsinspeksjoner av utstyr ved et anlegg).
• Risikovurdering og prioritering: KI rangerer forretningsenheter eller tredjeparter etter risiko (f.eks. leverandører med nye sanksjoner eller risiko for søksmål).
• Overvåking av regulatoriske endringer: KI følger med på publikasjoner fra tilsynsmyndigheter og oppsummerer endringer (f.eks. reviderte retningslinjer mot bestikkelser som senker gavegrensen i utgiftspolicyen).
• Gjennomgang av dokumenter og retningslinjer: KI sammenligner kontrakter og retningslinjer med kravene (f.eks. leverandøravtaler uten klausul om revisjonsrett).
• Screening for økonomisk kriminalitet: KI prioriterer varsler fra transaksjonsovervåking og kundekontroller (f.eks. navnetreff på sanksjonslister som viser seg å gjelde en annen person).

KI som brukes til etterlevelse, trenger samme styring som andre KI-systemer. Som britiske Financial Conduct Authority uttalte i oktober 2026: «foretak er ansvarlige for KI-systemer de utvikler, anskaffer og tar i bruk – inkludert utdataene og resultatene av dem». Tilsynet advarte også mot å gjøre den menneskelige gjennomgangen til «en ren ‘avkrysningsøvelse’».

I praksis kan KI-verktøy håndtere rutineoppgaver som innsamling av bevis eller flagging av regulatoriske endringer, men ikke beslutninger som innebærer juridisk ansvar, for eksempel å avgjøre om mistenkelig aktivitet skal rapporteres, eller hvordan retningslinjer skal utformes.

Datakontroller i Perplexity Enterprise

Perplexity Enterprise gir administratorer kontroller for trening på inndata, datatilgang og oppbevaring:

• Ingen trening på dataene dine: Perplexity bruker aldri bedriftsinnhold til å trene KI-modellene sine, og avtalene med tredjeparts modelleverandører forbyr dem å trene på det.
• Tilgangskontroll: SSO, SCIM og rollebaserte tillatelser bestemmer hvem som kan laste opp filer og dele svar.
• Oppbevaring og revisjonslogger: Filer som er lagt ved økter, slettes etter sju dager. Organisasjoner med 50 eller flere lisenser, eller minst én Enterprise Max-lisens, kan også angi oppbevaringstid for økter og motta revisjonslogger over brukeraktivitet.
• Sertifiseringer: Perplexity er SOC 2 Type II-sertifisert, overholder GDPR og tillater arbeid med beskyttede helseopplysninger bare under en signert Business Associate Agreement.

For en gjennomgang av disse kontrollene kan du kontakte salgsteamet vårt og bestille en personlig demo.

Ofte stilte spørsmål

Hva er KI-etterlevelse i EU?

KI-etterlevelse i EU betyr å oppfylle forpliktelsene i EUs KI-forordning for din rolle (leverandør eller idriftsetter) og for hvert systems risikonivå. Forpliktelsene innføres trinnvis, og pliktene for høyrisikosystemer gjelder fra 2. desember 2027.

Hva er HIPAA-kompatibel KI?

HIPAA-kompatibel KI er et verktøy som brukes innenfor HIPAAs sikkerhetstiltak for beskyttede helseopplysninger. Hvis leverandøren lagrer eller behandler disse opplysningene, krever det amerikanske helse- og sosialdepartementet at en Business Associate Agreement først er signert.

Gjelder EUs KI-forordning for amerikanske selskaper?

Ja. KI-forordningen omfatter amerikanske selskaper som bringer KI-systemer i omsetning på EU-markedet, og selskaper der KI-utdataene deres brukes i EU.

Kan KI erstatte etterlevelsesansvarlige?

KI kan ikke erstatte etterlevelsesansvarlige. Organisasjoner er ansvarlige for sitt eget arbeid, og KI-teknologier kan gjøre feil, så etterlevelsesansvarlige må fortsatt granske og godkjenne det KI produserer.