Vet dere hva KI-verktøyene har tilgang til?

Vi undersøker faktisk bruk gjennom tilgjengelige aktivitetslogger, installerte verktøy og aktiverte KI-funksjoner i tjenestene deres.

EksempelEt møtereferat blir behandlet av en KI-funksjon i videoløsningen. Vi undersøker om funksjonen er aktivert, og hvilke kontoer og data som er koblet til.

Vi undersøker roller og rettigheter, fra delte filer og datakilder til lokale nøkkellagre og nettverk.

EksempelEn assistent trenger én prosjektmappe, men har tilgang til hele fellesområdet. Vi vurderer hvilke rettigheter som kan begrenses uten at oppgaven stopper opp.

Vi gjennomgår hvor tilleggene kommer fra, hvordan de installeres, og hvilke tilganger de får. Det omfatter også skills og andre koblinger.

EksempelEn MCP-server installeres fra en pakke som kjøres lokalt. Vi undersøker utgiver, oppdateringer og om pakken kan lese filer eller bruke lagrede nøkler.

Vi ser på automatisk godkjenning, modellvalg, hooks og underprosesser, og om agenten kan endre systemer eller kjøre kommandoer.

EksempelEn kodeagent kan installere pakker og kjøre terminalkommandoer uten å spørre. Vi undersøker hvilke handlinger som krever godkjenning, og hva som skjer når den starter en underprosess.

Vi vurderer lagring, deling, eventuell modelltrening og logger, samt representative scenarioer for prompt injection og uønsket datauttak.

EksempelEn nettsidetekst ber agenten sende et internt dokument videre. Vi undersøker hvilke begrensninger som gjelder, og om et slikt forsøk ville vært synlig i loggene.

Vi avklarer hvem som eier verktøyene, hvem som godkjenner bruken, og hvordan dere holder oversikten oppdatert.

EksempelEn avdeling har tatt i bruk en KI-tjeneste på eget initiativ. Vi undersøker hvem som kan beslutte videre bruk, og hvem som følger opp tilganger og innstillinger.

Vi ser på praktiske bruksregler, dataklassifisering og relevante spørsmål knyttet til GDPR, AI Act og internkontroll.

EksempelEn ansatt vil oppsummere en kundesak med KI. Vi undersøker om rutinene gjør det tydelig hvilke opplysninger som kan brukes, og når saken må avklares med noen andre.

Vi vurderer hvordan dere undersøker leverandører, avtalevilkår og endringer i KI-tjenester før og under bruk.

EksempelEn eksisterende leverandør legger til en KI-funksjon. Vi undersøker hvem som vurderer nye vilkår og databehandling før funksjonen tas i bruk.

Vi ser på hvilke handlinger som trenger menneskelig kontroll, hvem som kan godkjenne dem, og hvem som har ansvar for resultatet.

EksempelEn assistent kan sende e-post fra en ansatts konto. Vi undersøker om virksomheten har bestemt hvilke meldinger som skal godkjennes først, og av hvem.

Vi vurderer opplæring, rapportering av avvik, endringsstyring og hvordan verktøy og tilganger avsluttes.

EksempelEn ansatt oppdager at fortrolig informasjon er delt med feil tjeneste. Vi undersøker om vedkommende vet hvem som skal varsles, og hvem som kan stanse delingen og følge opp hendelsen.