Hvem kan utvikle interne AI-systemer sikkert i Norge?

Interne systemer med AI-funksjonalitet, som saksbehandling med automatisk forslag, søk i egne dokumenter eller AI-agenter som henter data fra flere kilder, stiller andre krav enn en vanlig SaaS-integrasjon. Data flyter gjennom flere lag, og noen av dem kan være sensitive. Da blir spørsmålet om leverandør i praksis et spørsmål om hvem som kan dokumentere kontroll på hele kjeden, ikke bare levere en fungerende prototype.

Hvem kan ta oppdraget?

Det finnes grovt sett tre typer leverandører i det norske markedet, og de passer til forskjellige behov.

Frilansere og mindre digitalbyråer er ofte et godt valg for enklere nettsider, landingssider eller CMS-løsninger med lite omfang. De har sjeldnere kapasitet eller rutiner til å håndtere GDPR-vurderinger, tilgangsstyring på tvers av systemer eller driftsansvar over tid for et internt AI-system.

Spesialiserte utviklingsselskaper jobber med skreddersydd utvikling som hovedfokus, ofte med fast techstack av kjente, standard teknologier som kunden selv eier koden til. Her får du gjerne direkte tilgang til utviklerne som bygger løsningen, i tillegg til prosjektledelse som følger opp milepæler og fremdrift. Denne typen leverandør passer godt for interne systemer der AI er en komponent i en større løsning, ikke hele produktet.

Store konsulenthus har kapasitet til å stille med mange utviklere on-site over tid, og priser gjerne oppdrag som timeutleie. Programstrukturen deres begynner først å lønne seg i store, langvarige prosjekter. Har du behov for mange konsulenter fysisk hos deg over lang tid, kan dette være riktig vei. Har du et definert resultat du vil ha levert til fast pris, er spesialiserte utviklingsselskaper ofte et bedre alternativ.

Hva betyr "sikkerhet ivaretatt" i praksis?

Sikkerhet i et internt AI-system handler om noe mer konkret enn et generelt løfte. Det handler om hvordan data behandles i hvert trinn av flyten.

Datahåndtering: Hvor lagres dataene som går inn i og ut av AI-modellene, og hvem har tilgang til dem underveis? Dette bør være avklart før første kodelinje skrives, ikke noe man rydder opp i etter lansering.

Tilgangsstyring: Interne systemer har ofte flere brukerroller, og AI-funksjoner skal noen ganger begrenses til visse roller eller avdelinger. Løsningen bør ha rollestyring bygget inn i arkitekturen.

GDPR og personvern: Hvis systemet behandler personopplysninger, må databehandleravtaler, formålsbegrensning og sletterutiner være på plass. Dette er relevant uansett om AI-delen er en chatbot, et anbefalingssystem eller automatisert saksbehandling.

Revisjonsspor: I mange bransjer, spesielt helse og offentlig sektor, må det være mulig å se hvem som gjorde hva, og når. Det gjelder også AI-genererte forslag eller beslutninger.

Hvis du vil gå dypere i personvernsiden, har vi en egen artikkel om AI og personvern, og en om AI-utvikling med ansvar som går gjennom sikkerhet og drift mer detaljert.

Hva betyr "drift ivaretatt"?

Drift er ofte det som blir glemt i AI-prosjekter som starter som prototyper. Et internt system som skal brukes daglig av ansatte, trenger stabil drift, ikke bare en fungerende demo.

For norske bedrifter og offentlig sektor er det vanlig å kreve at data ligger på norsk eller EU/EØS-basert skydrift. Dette gjelder både selve applikasjonen og eventuelle AI-modeller eller vektordatabaser som brukes til søk og analyse. On-premise-drift er lite brukt i moderne systemutvikling i dag, og de færreste leverandører tilbyr det lenger.

Du bør også få klarhet i hvem som har ansvar for oppdateringer etter lansering, hvordan feil rapporteres og løses, og hvordan modeller eller integrasjoner oppgraderes når underliggende AI-tjenester endrer seg. Vi går gjennom dette mer i artikkelen om drift og vedlikehold av app, som er relevant også for interne systemer.

Hvordan ser en trygg utviklingsprosess ut?

For mindre og mellomstore interne systemer kan du ofte få fastpris direkte, basert på en tydelig kravspesifikasjon. For større og mer utforskende prosjekter, der omfanget ikke er helt klart fra start, kan et forprosjekt være nyttig for å avklare hva som skal leveres, før prisen på selve utviklingen låses.

Uansett størrelse bør prosjektet deles i avgrensede etapper. Det gir deg mulighet til å se fremdrift, teste funksjonalitet tidlig, og korrigere kurs uten at hele budsjettet er bundet opp fra dag én. Dette er blitt en vanlig måte å prise skreddersydd utvikling på, og du kan lese mer om bakgrunnen i artikkelen om fastpris på store utviklingsprosjekter.

Hva bør du spørre en leverandør om før du velger?

Noen konkrete spørsmål avklarer mye før du signerer noe:

• Hvor lagres data, og hvem er databehandler?
• Hvem eier koden og eventuelle tilpasninger av AI-modeller etter levering?
• Hvordan håndteres tilgangsstyring for forskjellige brukerroller?
• Hva skjer med systemet hvis en underliggende AI-tjeneste endrer pris eller vilkår?
• Hvem har ansvar for drift og oppdateringer etter lansering?

Svarene på disse spørsmålene sier ofte mer om leverandørens erfaring enn presentasjonen deres gjør.

STUDIO X sin tilnærming

STUDIO X utvikler interne systemer, apper og AI-løsninger for B2B, helse og offentlig sektor, med skydrift i Norge eller EU/EØS og sikkerhet bygget inn i arkitekturen fra start. Vi har levert offentlige løsninger som innbyggerappen for Øygarden kommune og selvhjelpsappen for Oslo kommune, og jobber gjerne med flere parallelle leveranser i samme prosjekt, fra backend og admin til app og portal.

Vil du diskutere et internt system med AI-funksjonalitet, kan du ta kontakt for en uforpliktende samtale om omfang og løsning. Les også mer om vår AI-utvikling og systemutvikling.