Modellen er bare ett ledd i en større dataflyt
Når en virksomhet vurderer KI, får modellvalget ofte mest oppmerksomhet. I praksis avgjøres kvalitet og risiko like mye av dataene rundt modellen: hva som hentes inn, om kilden er oppdatert, hvem som har ansvar, hvilke opplysninger som kan brukes, og hvor resultatet havner. En sterk modell kan ikke kompensere for uklare eller feilaktige kilder.
Et datakart gjør denne sammenhengen synlig før teknologien velges. Det trenger ikke være en stor arkitekturtegning. Det skal gi et lesbart svar på hvor informasjon kommer fra, hvordan den beveger seg, hvilke kontroller den passerer, hvem som kan se eller endre den, og hvor lenge den beholdes.
Gå ned på feltnivå når det har betydning. «Kundedata» er for bredt til å styre en løsning. Navn, kontaktinformasjon, kjøpshistorikk, fritekst og betalingsstatus har ulike formål og risiko. Marker hvilke felt som er nødvendige for oppgaven, hvilke som kan utelates, og hvilke som krever ekstra kontroll eller et annet behandlingsgrunnlag.
Kartlegg én beslutning eller leveranse om gangen
Start med én beslutning eller leveranse. Skriv hva som utløser arbeidet, hvilke opplysninger som er nødvendige, og hvilke systemer eller mennesker som bidrar. For hver kilde noterer dere formål, eier, kvalitet, tilgang og lagringssted. Marker personopplysninger, fortrolig informasjon og data som ikke skal sendes til en ekstern tjeneste.
Tegn også resultatet tilbake inn i virksomheten. Skal det bare vises som et forslag, lagres i et fagsystem, deles med en kunde eller brukes til en ny handling? Mange skjulte risikoer oppstår etter modellsvaret, når et resultat kopieres, lagres uten sammenheng eller blir brukt som om det var kontrollert fakta.
Kvalitet handler også om tidspunkt og autoritet. En gammel eksport kan være teknisk korrekt, men uegnet til en beslutning som krever oppdatert status. To systemer kan bruke samme ord med ulik betydning. Datakartet bør derfor vise hvilken kilde som er autoritativ, hvor ofte den oppdateres og hvordan uenighet mellom kilder håndteres.
Bruk kartet til å velge løsning og kontrollnivå
Når kartet er klart, blir teknologivalget enklere. Virksomheten kan vurdere om data kan behandles i den valgte tjenesten, om en integrasjon er nødvendig, om tilgang kan avgrenses, og om kvaliteten kan måles. Kartet viser også om det mest verdifulle første steget egentlig er datarydding, rolleklaring eller en enklere arbeidsflyt uten KI.
Datakartet bør oppdateres når kilder, formål eller leverandører endres. Det er både et beslutningsverktøy og en operativ kontrollflate. Ved feil eller spørsmål kan virksomheten se hvor opplysningen kom fra, hvem som var ansvarlig og hvordan flyten kan stoppes uten å gjette seg gjennom systemene.
Når arbeidsflyten endres, må kartet følge med. Nye leverandører, felt, formål og lagringssteder skal ikke snike seg inn som tekniske detaljer. En kort gjennomgang ved hver vesentlig endring gjør at dataeierskap og personvern forblir en del av driften, ikke et dokument som bare var riktig ved oppstart.
Tre hensyn før dere går videre
- Kostnad
- Dårlig datagrunnlag skaper manuelt arbeid og feilretting.
- Risiko
- Ukjente dataflyter kan gi uønsket deling.
- Kontroll
- Vis kilde, eier, formål, tilgang og lagring.
Kartlegg én beslutning
- Velg beslutningen eller leveransen som skal støttes.
- List nødvendige data og systemkilder.
- Noter eier, tilgang, formål og lagringssted.
Kilder og vurderingsgrunnlag
- Datatilsynet: Vurder personvernkonsekvensene og bygg personvern inn i løsningene Datatilsynet · Innebygd personvern, dataminimering og vurdering av personvernkonsekvenser.
- NIST AI RMF Core National Institute of Standards and Technology · Styring, kontekstkartlegging, måling og løpende risikohåndtering.
- Digdir: Bruk av generativ KI Digitaliseringsdirektoratet · Anskaffelse, sikkerhets- og juridiske vurderinger, opplæring og ansvarlig bruk.
