AI-sikkerhet og compliance for norske virksomheter
Regelmotor, kvalitetskontroll og GDPR-hensyn. Slik bygger du AI-systemer som tilfredsstiller både jurister og brukere.
AI Oppsummering (AEO)
AI-sikkerhet handler ikke om å skrive bedre policyer — det handler om arkitektur. Regelmotor for innholdsfiltrering, PII-deteksjon, output-validering og GDPR-compliance må bygges inn i systemet, ikke boltes på i etterkant. Denne artikkelen viser hvordan norske virksomheter kan bygge sikre AI-systemer.
AI-sikkerhet er arkitektur, ikke en policy
Mange virksomheter behandler AI-sikkerhet som et dokument — en policy som sier «vi bruker AI ansvarlig». Men en policy stopper ikke en modell fra å lekke personopplysninger, generere upassende innhold, eller gi juridisk feilaktig rådgivning.
Sikkerhet i AI-systemer er et arkitekturspørsmål. Det handler om hva som skjer mellom brukerens input og modellens output — og hvilke sjekker som kjører i hvert steg. For norske virksomheter med regulatoriske krav er dette ikke valgfritt.
Regelmotoren: Første forsvarslinje
En regelmotor sitter mellom brukeren og språkmodellen. Den analyserer input, filtrerer output, og håndhever forretningsregler — uansett hva modellen prøver å generere.
Sjekkliste
- InnholdsfiltreBlokkerer upassende, skadelig eller off-topic innhold før det når brukeren.
- PII-deteksjonScanner input og output for personnummer, e-postadresser, telefonnumre og andre personopplysninger.
- Output-valideringSjekker at modellens svar er innenfor definerte grenser for tone, format og innhold.
- Rate limitingBegrenser antall forespørsler per bruker for å forhindre misbruk og kostnadssprekk.
- Prompt injection-beskyttelseDetekterer forsøk på å manipulere modellens oppførsel via brukerinput.
GDPR og AI — det du faktisk må løse
GDPR stiller konkrete krav til hvordan personopplysninger behandles i AI-systemer. Det holder ikke å si at «data anonymiseres» — du må kunne demonstrere det.
GDPR-krav i AI-kontekst
Dataminimering betyr at AI-systemet kun skal ha tilgang til personopplysninger som er nødvendige for oppgaven. Samtykke må være eksplisitt og dokumentert. Retten til sletting inkluderer data i vektordatabaser og embedding-indekser — ikke bare i primærdatabasen. Og du må kunne forklare hvordan AI-systemet kom frem til en beslutning som påvirker en person.