> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/om-cerrix/trust-and-compliance/cerrix-ai.md). # CERRIX AI CERRIX AI er det samlede navnet på de AI-drevne funksjonene i CERRIX-plattformen. Vi utformer disse funksjonene slik at din Organisasjon forblir i Kontroll i hvert steg: AI-resultatet i CERRIX er alltid et forslag, og en bruker i din Organisasjon tar alltid den endelige beslutningen. Denne siden beskriver hvordan CERRIX styrer sin AI-funksjonalitet — prinsippene vi anvender, vår posisjon under EU AI Act, hvordan data håndteres, hvilke leverandører som er involvert, og hvilken trygghet vi gir. Den er en del av det bredere [Trust & Etterlevelse](/cerrix-documentation-no/om-cerrix/trust-and-compliance.md) rammeverket. ## Våre prinsipper 1. **Mennesket i loopen, by design.** Hver AI-funksjon produserer forslag. En bruker gjennomgår, redigerer og eksplisitt godtar eller avviser hvert forslag før noe registreres i CERRIX. Det finnes ingen autonom eller automatisert beslutningstaking. 2. **Eksplisitt opt-in.** AI-funksjoner er deaktivert som standard. En programadministrator må aktivere dem i [AI-innstillinger](/cerrix-documentation-no/cerrix-funksjoner/admin-settings/ai-settings.md) og godta AI-vilkårene. Godkjenningen registreres i en revisjonslogg. 3. **Åpenhet.** CERRIX-grensesnittet gjør det tydelig når innhold er AI-generert. Der det er mulig, kan forslag spores tilbake til kilden sin — for eksempel viser AI Document Extraction det nøyaktige avsnittet fra dokumentet ditt som hvert forslag er basert på. 4. **Databeskyttelse først.** AI-behandling bruker bare inputen du oppgir, er kryptert under overføring og i hvile i tråd med vår [Sikkerhetserklæring](/cerrix-documentation-no/om-cerrix/trust-and-compliance/security-statement.md), skjer innenfor EU, og brukes aldri av modellleverandøren vår til å trene modellene sine. 5. **Ansvarlig forbedring.** Vi forbedrer AI-funksjoner kun ved bruk av anonymiserte og aggregerte data, håndtert utelukkende av privilegerte CERRIX-ansatte. ## CERRIX AI i korte trekk | Funksjon | Hva den gjør | Resultat | | ------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------- | | [Forbedring av AI-risikobeskrivelse](/cerrix-documentation-no/cerrix-funksjoner/module-overview/risks/ai-risk-description-refinement.md) | Foredler risikobeskrivelsen du skriver inn til fem alternative forslag i tråd med beste praksis. | Forslag — du velger, redigerer eller forkaster. | | [Forbedring av AI-kontrollbeskrivelse](/cerrix-documentation-no/cerrix-funksjoner/module-overview/controls/ai-control-description-refinement.md) | Foredler kontrollbeskrivelsen din til fem forslag i et standardisert format (hvem, hva, når, hvordan). | Forslag — du velger, redigerer eller forkaster. | | [KI-dokumentuttrekk](/cerrix-documentation-no/cerrix-funksjoner/module-overview/risks/ai-document-extraction.md) | Analyserer et dokument du laster opp (f.eks. en policy eller forskrift) og foreslår risikoer og kontroller, hver med sitt kildeavsnitt. | Forslag — du godkjenner eller avviser hvert element eksplisitt før det opprettes. | Under panseret bruker CERRIX AI for tiden OpenAI GPT-grunnmodeller, tilgjengelig via Microsoft Foundry (tidligere Azure AI Foundry) og kombinert med ledetekster og Workflower utviklet av CERRIX. Modellvalg håndteres av CERRIX: vi kan ta i bruk nyere modellversjoner innenfor samme leverandør og behandlingsregion etter hvert som de blir tilgjengelige, så spesifikke modellversjoner er ikke faste. CERRIX trener ikke eller finjusterer modeller på kundedata; vi bruker prompt engineering og Workflow-orkestrering på standard grunnmodeller. Å introdusere en annen modellleverandør behandles som en endring i underdatabehandler (se [Leverandører og underdatabehandlere](#suppliers-and-sub-processors) nedenfor). ## Arkitektur og dataflyt På et høyt nivå følger hver AI-forespørsel i CERRIX samme forløp: 1. En bruker med riktig rolle starter en AI-funksjon og oppgir input: teksten som skrives inn i et beskrivelsesfelt, eller dokumentet som lastes opp for utvinning. 2. CERRIX-applikasjonen sender denne inputen til en Microsoft Foundry-distribusjon som CERRIX administrerer, i **Sweden Central** Azure-regionen. Dette er en regional distribusjon: inferens og behandling er bundet til den regionen, innenfor EU. 3. Modellen genererer forslag, som returneres til CERRIX-applikasjonen. 4. Forslagene presenteres for brukeren for gjennomgang. Inputen, AI-generert resultat og om forslagene ble brukt, lagres i ditt CERRIX-miljø sammen med dine øvrige kundedata. CERRIX AI kjører fullstendig innenfor CERRIXs Azure-produksjonsmiljø som beskrevet i vår [Sikkerhetserklæring](/cerrix-documentation-no/om-cerrix/trust-and-compliance/security-statement.md). Ingen leverandører andre enn Microsoft er involvert i AI-behandlingen. ## EU AI Act CERRIX har vurdert sin AI-funksjonalitet opp mot EU AI Act: * **Klassifisering: minimal risiko.** CERRIX AI faller ikke inn under de høyrisikokategoriene i vedlegg III til AI Act — den utfører ingen biometrisk identifikasjon, ingen kredittvurdering, ingen beslutningstaking om mennesker, og brukes ikke i sammenheng med kritisk infrastruktur eller rettshåndhevelse. Alt resultat er veiledende og gjennomgås alltid av en bruker før registrering. * **Transparensforpliktelser (artikkel 50).** Som generativ AI er CERRIX AI underlagt AI Acts transparenskrav. CERRIX oppfyller disse ved å gjøre det eksplisitt i brukergrensesnittet når innhold er AI-generert, og ved å dokumentere all AI-funksjonalitet offentlig på dette dokumentasjonssiden. * **Løpende gjennomgang.** Klassifiseringen vurderes på nytt hver gang nye AI-bruksområder innføres eller det regulatoriske rammeverket endres. ## Styring og tilsyn AI-funksjonalitet i CERRIX styres gjennom tydelig tildelte roller: * **Produkteeierskap** — Chief Product Officer er ansvarlig for CERRIX AI-funksjonalitet, veikartet og styringen, støttet av CERRIX Product & Engineering. * **Risikostyring** — AI-relatert informasjonssikkerhetsrisiko håndteres av Sikkerhetsansvarlig som en del av CERRIX [ISO/IEC 27001:2022](/cerrix-documentation-no/om-cerrix/trust-and-compliance/iso-27001.md)-sertifiserte styringssystem for informasjonssikkerhet (ISMS), styrt av vår [Strategiske informasjonssikkerhetspolicy](/cerrix-documentation-no/om-cerrix/trust-and-compliance/strategic-information-security-policy.md). * **Ledelsestilsyn** — CERRIX-ledelsen fører tilsyn med AI-policyen og dens anvendelse. * **Kundekontroll** — på din side avgjør programadministratoren om AI-funksjoner i det hele tatt aktiveres, per miljø. AI-funksjoner følger en livssyklusomfattende prosess for risikostyring: design og Risiko-vurdering, testing og validering som del av vår sikre utviklingslivssyklus, kontrollert utrulling annonsert gjennom [utgivelsesnotater](/cerrix-documentation-no/om-cerrix/release-notes.md), overvåking i produksjon (inkludert tilgjengelighetsforpliktelsene i vår tjenestenivåavtale og publiserte rotårsaksanalyser), og periodisk gjennomgang. AI-funksjonalitet styres av den formelle CERRIX AI-policyen og spores i et internt AI-systemregister. ## AI-kunnskap og opplæring AI-kunnskap i CERRIX er ikke et eget program, men en del av bevisstgjørings- og opplæringssyklusen vi allerede opprettholder under vår [ISO/IEC 27001:2022](/cerrix-documentation-no/om-cerrix/trust-and-compliance/iso-27001.md) sertifisering. I praksis: * **Policy og bekreftelse.** CERRIX AI-policyen beskriver hva som er og ikke er tillatt ved bruk av AI-verktøy, inkludert eksplisitte regler for håndtering av konfidensiell og kundedata. Ansatte bekrefter policyen når de begynner i CERRIX og hver gang den revideres. * **Periodisk bevisstgjøring.** AI-spesifikke temaer er en del av vår vanlige bevisstgjøringssyklus for informasjonssikkerhet: risikoene forbundet med generativ AI (unøyaktig eller oppdiktet resultat, datalekkasjer via prompts, skjevhet), og hvorfor menneskelig gjennomgang av AI-resultat alltid fortsatt er påkrevd. * **Dypere opplæring der det trengs.** Kolleger som designer, bygger eller tester AI-funksjonalitet, holdes til et mer inngående nivå, i tråd med vår sikre utviklingslivssyklus og risikostyringsprosessen beskrevet under [Styring og tilsyn](#governance-and-oversight). * **Kun godkjente verktøy.** Ansatte kan bare bruke AI-verktøy som er vurdert og forhåndsgodkjent. Nye verktøy sendes inn og vurderes gjennom den samme ruten, med Chief Product Officer og Sikkerhetsansvarlig som de ansvarlige rollene. * **Kontaktpunkt.** Ved tvil om tillatt bruk kan ansatte henvende seg til Sikkerhetsansvarlig; disse spørsmålene inngår i den periodiske gjennomgangen av AI-policyen. ## Datahåndtering * **Omfang av input.** CERRIX AI behandler bare inputen du aktivt oppgir: teksten du skriver inn i et beskrivelsesfelt, eller dokumentet du laster opp for utvinning. Den får ikke tilgang til andre data fra ditt CERRIX-miljø. * **EU-behandling.** AI-behandling skjer på en Microsoft Foundry-distribusjon som CERRIX administrerer i Azure-regionen Sweden Central, en regional distribusjon innen EU. Dataene dine forlater ikke EU. Se også [Personvern og GDPR](/cerrix-documentation-no/om-cerrix/trust-and-compliance/privacy-gdpr.md). * **Kryptering.** All data krypteres under overføring og i hvile — se vår [Sikkerhetserklæring](/cerrix-documentation-no/om-cerrix/trust-and-compliance/security-statement.md). * **Lagring og oppbevaring.** CERRIX lagrer inputen din og AI-generert resultat trygt i plattformen, og sporer om forslag blir brukt, for å fortsette å forbedre forslagskvaliteten. Disse dataene behandles som kundedata: de følger oppbevarings- og slettevilkårene som er avtalt i Databehandlingsavtalen, inkludert sletting gjennom standard CERRIX offboarding-prosess ved slutten av kontrakten. * **Tilgang.** Tilgang til AI-input og -resultat styres av de samme tilgangsstyringskontrollene som alle andre kundedata, som en del av vårt ISO 27001-sertifiserte ISMS. Analyse for forbedring av funksjonen bruker bare anonymiserte og aggregerte data, håndtert utelukkende av privilegerte CERRIX-ansatte. * **Isolasjon.** Dataene dine deles aldri med andre kunder. * **Ingen modelltrening på dataene dine.** Verken Microsoft eller de underliggende modellleverandørene bruker dataene dine til å trene modellene sine. CERRIX trener eller finjusterer ingen modell på kundedata; forbedring av funksjonen er utelukkende basert på anonymiserte og aggregerte data, analysert av privilegerte CERRIX-ansatte. ## Styring av AI-funksjoner Aktivering av og tilgang til CERRIX AI fungerer på to nivåer: * **Per miljø.** AI-funksjoner er deaktivert som standard. En programadministrator aktiverer dem per CERRIX-miljø i [AI-innstillinger](/cerrix-documentation-no/cerrix-funksjoner/admin-settings/ai-settings.md), etter å ha akseptert AI-vilkårene. Godkjenningen registreres i en revisjonslogg, og AI kan deaktiveres igjen når som helst. * **Per brukerrolle.** AI-funksjoner følger rettighetene til en brukers rolle. En funksjon er bare tilgjengelig for brukere hvis rolle inkluderer de tilsvarende modulrettighetene; for eksempel er AI Document Extraction bare tilgjengelig for brukere som kan opprette risikoer og kontroller. Individuelle AI-funksjoner kan for øyeblikket ikke slås av eller på separat: aktivering gjelder for CERRIX AI som helhet, per miljø. ## Leverandører og underdatabehandlere CERRIX AI bruker **Microsoft Foundry** som den underliggende infrastruktur for store språkmodeller; CERRIX velger hvilke grunnmodeller som brukes. Grunnmodellene som for tiden er i bruk, er OpenAI GPT-modeller. Disse modellene distribueres og drives av Microsoft innenfor CERRIX Foundry-distribusjonen; prompts og resultater deles ikke med OpenAI. Dette forholdet styres på samme måte som våre andre kritiske leverandører: * Dekket av Microsofts databehandlingsavtale og foretaksforpliktelser, inkludert forpliktelsen om at kundedata ikke brukes til modelltrening. * Microsoft anvender sitt rammeverk for ansvarlig AI på tvers av Microsoft Foundry, inkludert innebygde innholdsfiltre og sikkerhetsklassifiserere. * Å introdusere en ekstra modellleverandør behandles som en endring i underdatabehandler og følger leverandørstyringsprosessen vår, inkludert sikkerhetsvurdering og kundemelding i tråd med våre kontraktsmessige forpliktelser. * Leverandørvurdering og overvåking er en del av CERRIX ISMS, og tar hensyn til sertifiseringer som ISO 27001 og SOC 2. For mer detalj om hvordan Microsoft håndterer data innen Microsoft Foundry, se [Data, personvern og sikkerhet for Foundry-modeller](https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy). ## Trygghet Trygghet rundt CERRIX AI leveres gjennom CERRIXs rammeverk for trygghet: * [ISO/IEC 27001:2022-sertifisering](/cerrix-documentation-no/om-cerrix/trust-and-compliance/iso-27001.md) — ISMS-omfanget inkluderer utvikling og drift av AI-funksjoner (sikker SDLC, endringsstyring, tilgangsstyring, datasikkerhet). * [ISAE 3402 Type II](/cerrix-documentation-no/om-cerrix/trust-and-compliance/isae-3402-type-ii.md) trygghetsrapport, som dekker hvor effektivt kontrollene våre fungerer over tid. * [FSQS-registrering](/cerrix-documentation-no/om-cerrix/trust-and-compliance/fsqs-certificate.md) — leverandørkvalifiseringsstandarden som brukes av finansinstitusjoner. * [Personvern og GDPR](/cerrix-documentation-no/om-cerrix/trust-and-compliance/privacy-gdpr.md) — hvordan CERRIX håndterer personopplysninger, også for AI-funksjoner. * Tilgjengelig på forespørsel: DPIA, [Sikkerhetserklæring](/cerrix-documentation-no/om-cerrix/trust-and-compliance/security-statement.md), og [Strategiske informasjonssikkerhetspolicy](/cerrix-documentation-no/om-cerrix/trust-and-compliance/strategic-information-security-policy.md). For sikkerhetsspesifikke spørsmål dekker vår [Sikkerhets-FAQ](/cerrix-documentation-no/om-cerrix/trust-and-compliance/security-faq.md) vanlige temaer fra kundenes sikkerhetsteam. ## Rettferdig bruk For å holde AI-funksjonene raske og pålitelige for hver kunde, er bruken underlagt rettferdig bruk: CERRIX kan moderere bruksmønstre som i vesentlig grad overstiger rimelige grenser eller påvirker tjenestekvaliteten for andre kunder. ## Nye AI-funksjoner Vi utvikler kontinuerlig nye AI-funksjoner. Prinsippene beskrevet på denne siden, inkludert gjennomgang med menneske i loopen, eksplisitt opt-in, EU-behandling og ingen modelltrening på kundedata, gjelder for all CERRIX AI-funksjonalitet, inkludert fremtidige funksjoner. To ytterligere forpliktelser forblir konstante: * Ny AI-funksjonalitet kunngjøres gjennom [utgivelsesnotater](/cerrix-documentation-no/om-cerrix/release-notes.md) og dokumenteres på dette nettstedet. * AI-funksjoner fungerer bare i ditt miljø etter eksplisitt opt-in fra programadministratoren din, og enhver fremtidig AI-brukssak som vil bruke ytterligere data fra miljøet ditt, vil kreve samme eksplisitte aktivering. {% hint style="info" %} Spørsmål om CERRIX AI som ikke besvares her? Ta kontakt — vi går gjerne gjennom AI-oppsettet vårt med risiko-, etterlevelses- eller sikkerhetsteamet ditt. {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.cerrix.com/cerrix-documentation-no/om-cerrix/trust-and-compliance/cerrix-ai.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.