Dette er den andre artikkelen i vår serie om sikker bruk av KI i forbindelse med Nasjonal sikkerhetsmåned 2026, «Digital dømmekraft – Små valg. Store konsekvenser».
Den første artikkelen kan du lese her: Sikker bruk av KI i bedriften: Bør ansatte få bruke private KI-kontoer på jobb?
Risiko ved bruk av private KI-kontoer
I artikkel 1 har vi sett at bruk av private KI-kontoer på jobb gir bedriften liten kontroll over hvordan informasjon behandles, hvor den lagres, og hva den brukes til. Løsningen er ikke å forby bruk av alle KI-tjenester, men å tilby en godkjent løsning med tydelige retningslinjer for bruk. I tillegg må det tilrettelegges for korrekt bruk med både organisatoriske og tekniske tiltak. Dette hjelper de ansatte med å ta gode digitale valg
Start med tydelige regler
De aller fleste ønsker å følge bedriftens regler. Men for å kunne gjøre det må de vite om reglene, hvor de finner dem og hva de betyr i arbeidshverdagen.
Bedriften bør derfor ha skriftlige retningslinjer for bruk av blant annet KI. Slike retningslinjer blir ofte kalt en policy, og skal være nedskrevet. Retningslinjene for bruk av KI-tjenester bør forklare hvilke KI-tjenester som er godkjent, hva de kan brukes til, og hvilken informasjon de ansatte kan dele med dem.
Nøyaktig hvor grensene skal gå for hva KI-tjenester kan brukes til må hver enkelt bedrift vurdere ut fra hvilke opplysninger den behandler, hvilke avtaler som gjelder og hvordan KI-løsningen er satt opp.
I neste ukes artikkel «Retningslinjer for KI-bruk: Har dere skrevne regler for bruk av KI i bedriften?» vil vi gå nærmere inn på retningslinjer, og ta for oss hvordan en KI-policy kan se ut.
En skriftlig policy er viktig, men man kan ikke ta for gitt at reglene er forstått og følges. Det kan for eksempel hende at ansatte bruker tjenester de ikke selv tenker på som KI-verktøy. Da er det viktig å få oversikt og gjøre tekniske sikkerhetstiltak som gir de ansatte rammer.
Regler alene gir ikke oversikt
Retningslinjer kan sammenlignes med trafikkregler. De forteller hva som er tillatt, og gjør det enklere å ta gode valg. Men trafikkregler fungerer best sammen med veiskilt, fartsgrenser, sperringer og andre tiltak som hjelper trafikantene med å følge dem. Det samme gjelder bruk av KI på jobb. Bedriften bør derfor skaffe seg oversikt over hvilke KI-tjenester som faktisk brukes i arbeidsmiljøet, for å vite hvilke tiltak som vil fungere best.
Tekniske løsninger kan gjøre det lettere å bruke riktig løsning og vanskeligere å bruke tjenester som bedriften ikke har godkjent.
Slik får du oversikt i Microsoft 365
Dersom bedriften har Microsoft 365 Business Premium, eller tilsvarende enterprise-abonnementer, har dere allerede verktøyene som trengs for å komme i gang, men de må settes opp riktig. Her er fire steder å begynne.
- Microsoft Entra ID: hvem har tilgang, og til hva? Entra ID er brukersystemet i Microsoft 365, og gir oversikt over brukere, grupper og roller. Les mer i Slik setter du opp Microsoft 365 på en god måte.
I Entra-administrasjonssenteret bør dere se på tre ting:
- Brukere: Se hvilke kontoer som er aktive, og når de sist logget inn. Kontoer som tilhører ansatte som har sluttet, eller som ikke har vært i bruk på lenge, bør slettes.
- Enterprise applications: Her ser dere hvilke tredjepartstjenester ansatte har logget inn i med jobbkontoen, for eksempel med «Logg inn med Microsoft». Se særlig etter KI-tjenester og hvilke tillatelser de har fått, som tilgang til e-post, kalender eller filer.
- App registrations: Gir oversikt over applikasjoner, og hvilke tilganger de har til bedriftens Microsoft 365-miljø.
Tips: Et enkelt og effektivt tiltak er å slå av muligheten for at ansatte selv kan gi tredjepartsapper tilgang til bedriftsdata. Krev i stedet at en administrator godkjenner forespørselen. Da blir det et bevisst valg hvilke KI-tjenester som får tilgang til bedriftens informasjon.
- Microsoft Intune: hvilke enheter og apper brukes? I Intune finner dere en oversikt over hvilke PC-er og mobiler som er registrert, hvem som bruker dem, og om de oppfyller bedriftens sikkerhetskrav. Intune viser også hvilke programmer som er installert. Slik kan dere oppdage KI-apper på bedriftens maskiner og styre hvilke apper som skal være tilgjengelige. Det gjelder også nye KI-nettlesere som kan handle på vegne av brukeren. Les mer om dem i Hva er en KI-nettleser og prompt injection?
Tips: Et enkelt tiltak er å fjerne administratorrettigheter for alle ansatte og innføre bruk av en applikasjonsbutikk, som er administrert av IT-avdelingen.
- Microsoft Defender: hvilke tjenester brukes egentlig? Microsoft Defender er mer enn et antivirus. Det gir også oversikt over installerte programmer og sikkerhetsstatusen i bedriften. Les mer i Hva er Microsoft Defender?
Med Microsoft 365 Business Premium kan dere i tillegg se hvilke skytjenester som brukes fra bedriftens enheter, sortert etter kategori. KI-tjenester har en egen kategori, Generative AI. Der ser dere hvilke tjenester som er i bruk, hvor mye de brukes, og hvordan hver tjeneste er risikovurdert. Dette er inkludert i lisensen og krever ingen ekstra kostnad.
Tips: Du kan også blokkere hele kategorier, og sette unntak for enkelte tjenester.
- Conditional Access: regler som gjelder automatisk. Når dere har fått oversikt, kan betinget tilgang (Conditional Access) brukes til å tillate eller nekte tilgang automatisk. Dere kan for eksempel bestemme at bedriftens data bare skal være tilgjengelige fra enheter som er administrert og godkjent i Intune. Les mer om hvordan Intune og betinget tilgang virker sammen i Betinget tilgang – policy som portvakt.
Reglene virker som sperringene i trafikkbildet: det riktige valget blir det eneste valget.
I tråd med NSMs grunnprinsipper for IKT-sikkerhet
Tiltakene beskrevet over passer godt med Nasjonal sikkerhetsmyndighets Grunnprinsipper for IKT-sikkerhet, som vi bruker som utgangspunkt i vårt sikkerhetsarbeid. Les mer i Hvordan komme i gang med IT-sikkerheten?
NSM-prinsipp | Verktøy |
1.2 Kartlegg enheter og programvare | Intune, Defender |
1.3 Kartlegg brukere og behov for tilgang | Entra ID |
2.5 Kontroller dataflyt | Defender |
2.6 Ha kontroll på identiteter og tilganger | Entra ID, Conditional Access |
Løsningene og tiltakene gir bedriften mulighet til å skaffe oversikt og kontroll. Uten disse løsningene blir det vanskelig å vite hva som er effektive sikkerhetstiltak. Det er viktig å huske på at det ikke er nok å kjøpe en lisens, man må også sette opp løsningene slik at de er tilpasset behovet. Mange bedrifter har Microsoft 365 Business Premium eller tilsvarende løsninger, men uten at Intune og Defender er satt opp, eller med et oppsett som har store hull.
Tips: Usikker på hvordan det står til hos dere? Sjekk om alle PC-er faktisk dukker opp i Intune, om dere har konfigurert policyer, og om de samme datamaskinene også vises i administrasjonsportalen til Microsoft Defender. Hvis noen mangler, har dere ikke tilstrekkelig kontroll.
Husk også på at tekniske tiltak ikke bør stå alene. De bør bygge på bedriftens risikovurderinger og støtte opp under reglene som er kommunisert til de ansatte.
Led de ansatte til rette valg
Ingen policy eller teknisk sperre kan garantere at ansatte aldri bruker en ikke-godkjent KI-tjeneste. En blokkering på bedriftens enheter hindrer for eksempel ikke nødvendigvis at noen bruker en privat telefon eller en annen enhet.
Målet bør derfor ikke være å gjøre det umulig å bryte reglene, men å gjøre det enkelt å følge dem.
Når ansatte får et godkjent verktøy som dekker behovene deres, tydelige retningslinjer og relevant opplæring, blir terskelen lavere for å velge riktig. Tekniske tiltak kan samtidig redusere risikoen for at informasjon deles med uønskede tjenester, enten det skjer bevisst eller ved en feil.
Begynn med å skaffe oversikt
Mange bedrifter har allerede verktøyene de trenger, uten å bruke dem fullt ut. Et godt første steg er å se på hvilke KI-tjenester som faktisk er i bruk, og hvilke apper som har fått tilgang til bedriftens data. Med det som utgangspunkt kan dere ta informerte valg: godkjenne det som fungerer og stenge det som utgjør en risiko.
Målet er ikke å overvåke de ansatte, men å gi bedriften tilstrekkelig oversikt til å beskytte informasjonen den har ansvar for, og gi de ansatte støtte til å ta gode valg.
Trenger dere hjelp til å få oversikt over KI-bruken eller etablere trygge rammer for bruk av KI i bedriften? Ta kontakt med oss.
Neste ukes tema
Neste uke vil vi se nærmere på hva en KI-policy bør inneholde, og vise et praktisk eksempel som kan tilpasses bedriftens behov, i artikkelen «Retningslinjer for KI-bruk: Har dere skrevne regler for bruk av KI i bedriften?»
