Ansvarlig implementering av AI på ansattes enheter
Med Copilot+ PC-er har AI flyttet seg fra skyen til de ansattes egne enheter. Dette endrer risikobildet betydelig. For hvordan aktiverer man AI lokalt uten å miste kontroll?
Hos Atea førte dette til en funksjonsspesifikk og fasebasert implementering, der sikkerhet, styring og verdi ble vurdert fra starten av.
Da Microsoft introduserte Copilot+ PC i 2024 – en ny generasjon Windows-enheter med AI-funksjoner som Recall, semantisk søk og AI-prosessering direkte på PC-en, var det tydelig at teknologien representerte mer enn bare nye produktivitetsverktøy.
Med de nye NPU-ene ble det mulig å behandle data lokalt, direkte på ansattes enheter, i stedet for å ha alt i skyen. Det at AI flyttet nærmere både brukere og data ga mange nye muligheter, men det ga også nye risikoer man bør håndtere.
Hos Atea var det lett å se fordelene med de mange nye funksjonene, men de insisterte fortsatt på å forstå og vurdere hver funksjon uavhengig – både i forhold til risikobildet og forretningsverdi.
”Når AI beveger seg direkte til endepunktet, endrer det ikke bare brukeropplevelsen. Det endrer også sikkerhetsforutsetningene vi som organisasjon må forholde oss til.”
Vurder, analyser, test og utfør
Den erkjennelsen var utgangspunktet for en systematisk og fasebasert tilnærming, der AI-funksjonene ble vurdert og analysert individuelt med mål om å kartlegge hvordan de hver for seg påvirker data, tilgang og trussellandskapet i praksis.
Vurderingen var blant annet basert på:
- Eksponering av sensitive data via skjermbilder og kontekst
- GDPR- og samsvarsrisikoer
- Skadevare og lokal tilgang til data
- Adgangskontroll
- Datalagring og datavolumer
- Nye angrepsflater som krysspromptinjeksjon
Spesielt arbeidet med Recall-funksjonen gjorde det tydelig at AI på PC-en endrer datagrunnlaget betydelig. Der organisasjoner tidligere primært jobbet med filer og logger, introduserte Recall en kontinuerlig, kontekstuell historikk som potensielt kan inneholde både intern informasjon og kundedata.
— Vi valgte å stoppe før vi introduserte Recall. Ikke fordi teknologien ikke var interessant, men fordi vi trengte å forstå nøyaktig hva de nye risikoene betydde for oss i praksis, sier Claus Fonnesbech Christensen, visepresident for arkitektur og operasjonell dyktighet i Atea Group. Han var en sentral del av utrullingen hos Atea.
Sara utdyper: Det er min og vår oppgave i IT å skape et miljø der våre ansatte i Norden trygt kan bruke de nye, verdiskapende funksjonene som Copilot+ PC tilbyr. Det var ikke en vurdering om vi skulle lansere funksjonene – det er altfor mange fordeler med å ha AI tilgjengelig lokalt til det. Men vi måtte starte riktig og i ulikt tempo, slik at sikkerheten var på plass før vi lanserte funksjonene.
Kontinuerlig overvåking og tilpasning
Etter den første vurderingen begynte Atea gradvis å åpne opp teknologien i fase 2. I stedet for en bred utrulling ble tilgangen i utgangspunktet gitt til utvalgte ansatte, mens IT kontinuerlig overvåket bruken, evaluerte hvordan løsningene fungerte i praksis og fortsatte å vurdere sikkerhetsrisikoer.
— Vi ønsket ikke å aktivere teknologien bredt fra dag én. Derfor valgte vi en kontrollert tilnærming, der individuelle ansatte fikk tilgang først, slik at vi kunne overvåke bruken nøye og sikre at styring, sikkerhet og den faktiske brukeropplevelsen utviklet seg i takt med teknologien, sier Sara.
På denne måten sikret Atea seg et testmiljø basert på en smal gruppe ambassadører, hvor IT kunne overvåke og vurdere risiko kontinuerlig. Det handlet om å bringe AI inn i bildet uten å gi fra seg kontrollen. Testing og læring før skalering er en tilnærming som Sara Amini vil anbefale til kolleger i bransjen. Denne tilnærmingen hadde også fordelen at testgruppen samtidig kunne gi tilbakemelding på brukeropplevelsen og verdiskapingen i praksis:
— Jeg forstår ønsket om å være med på takten. Men det er viktig å forstå at det noen ganger lønner seg å forstå og sette et rammeverk før man skalerer. Vi tror sterkt på at sikkerhet bør være grunnlaget for alle AI-implementeringer. Ved å insistere på å få det på plass, får man også naturlig nok snakke om hvilken verdi man faktisk ønsker å oppnå, sier hun.
Hva er din grunn?
Når de ser tilbake, er både Claus og Sara fornøyde med tilnærmingen de valgte for Atea, selv om det betydde at det tok litt lengre tid før alle ansatte hadde tilgang til de nye funksjonene.
— Vellykket implementering handler ikke om å komme først for enhver pris – tvert imot, for Atea har det i stor grad handlet om å skape det rette grunnlaget for sikker praksis og målbar verdi uten å gå på akkord med egen beredskap, forteller Claus.
Og verdiskaping er essensielt når vi snakker om implementering av AI, sier Sara Amini. I CIO-analyse 2026 ser vi at 97 prosent av bedrifter og organisasjoner jobber med AI, men bare 20 prosent får reell verdi ut av det på dette tidspunktet.
— Du må gjøre det klart hvorfor du ønsker Copilot+ PC-ene, og hva slags forretningsverdi du ønsker å oppnå. Hvis du ikke kan formulere verdien, kan du ikke måle om den er oppnådd – og kanskje til og med tenke på drift først, det vil si hvordan det vil fungere når det er implementert», sier Sara.
Stor økonomisk gevinst
Ifølge Sara Amini bør ikke den forsiktige tilnærmingen i Atea likestilles med skepsis til Copilot+ PC og de nye mulighetene som det å ha data lokalt gir. Tvert imot var det aldri en vurdering å ikke benytte seg av de nye mulighetene.
— En viktig del av vårt ønske om å bruke Copilot+ PC sine funksjoner handlet også om økonomien, fordi en sentral faktor akkurat nå er prisen på å kjøre skymodeller. Mange har begynt å endre faktureringsmodellene sine til å være tokenbaserte, og det betyr konkret at det kan bli en dyr affære hvis man for eksempel ikke er så god på å spørre. Med AI direkte på enheter begynner vi plutselig å se en modell der vi både kan redusere forbruket og tenke skalering på en helt annen måte, avslutter Claus.
I samarbeid med
