Af Greg Nowak. Senest opdateret 2026-08-21.
Et sikkerhedsskema ligner måske en administrativ detalje. Men når det lander hos salgsafdelingen, begynder jagten: Hvor ligger den gældende sikkerhedspolitik? Hvilken databehandleraftale gælder for netop denne tjeneste? Er revisionsrapporten stadig gyldig, og hvem kan svare på det tekniske spørgsmål?
Kunne jeres virksomhed bruge det her? nowa.dk sætter AI-automatisering op for danske virksomheder.
Selve formuleringen tager sjældent længst tid. Det gør arbejdet med at finde den rigtige dokumentation, kontrollere den og sikre, at den faktisk dækker det, kunden spørger om.
Her kan AI være nyttig i en klart afgrænset rolle. Som dokumentassistent kan den finde tidligere godkendte oplysninger og vise, hvor de stammer fra. Den skal ikke gætte sig til virksomhedens sikkerhedsniveau eller formulere nye løfter på egen hånd.
NIS 2 kan også mærkes hos leverandørerne
Den danske NIS 2-lov trådte i kraft 1. juli 2025. Virksomheder kan bruge NIS 2-tjekket fra SikkerDigital til at vurdere, om de selv er omfattet. Værktøjet afgør dog ikke, om virksomheden er leverandør til en NIS 2-omfattet organisation. Direkte lovpligt og krav fra kunder er altså to forskellige spørgsmål.
Digitaliseringsstyrelsens materiale forklarer, hvorfor leverandørsporet fylder. Omfattede enheder skal blandt andet håndtere ledelsesansvar, hændelser og tilstrækkelige cybersikkerhedsforanstaltninger. I det mere detaljerede vejledningsskema indgår også forsyningskædesikkerhed, registre over direkte leverandører og krav, som kan skrives ind i leverandørkontrakter.
Det kan være krav om cybersikkerhed, hændelsesunderretning, audit eller auditrapporter, sårbarhedshåndtering, underleverandører og behandling af oplysninger, når kontrakten ophører. Derfor kan selv en mindre leverandør modtage et ganske omfattende sikkerhedsskema uden selv at være direkte omfattet af NIS 2-loven.
Flaskehalsen er at finde svaret, ikke at skrive det
Spørgsmålene går ofte igen, men ordlyden skifter fra kunde til kunde. Den ene spørger til “incident notification”, mens den næste vil se virksomhedens “procedure for security events”. Svaret findes måske allerede i beredskabsplanen eller en godkendt kontrakttekst. En almindelig nøgleordssøgning opdager bare ikke altid sammenhængen.
Versionsstyringen gør opgaven mere besværlig. Et velformuleret svar fra sidste år kan være udløbet, gælde et andet produkt eller være klassificeret til intern brug. En brugbar løsning begynder derfor med dokumentstyring, adgang og tydeligt ansvar. En chatbot oven på et rodet fællesdrev løser ikke grundproblemet.
En RAG-assistent arbejder ud fra godkendte dokumenter
RAG står for retrieval-augmented generation. I praksis søger systemet først i et afgrænset dokumentlager. Derefter udarbejder det et svarforslag ud fra de tekststykker, søgningen har fundet.
OpenAI-dokumentationen beskriver blandt andet semantisk søgning. Den kan finde relevante passager, selv om kundens spørgsmål og virksomhedens dokumenter bruger forskellige ord. Dokumenterne kan placeres i et vector store, hvor de opdeles og indekseres. Med attributfiltrering kan søgningen begrænses efter eksempelvis dato, dokumenttype, produkt eller fortrolighed. En relevanstærskel kan samtidig sortere svage resultater fra.
Det er velegnet til at finde dokumentation. Det er ikke det samme som at bevise, at dokumentationen er korrekt eller gældende.
| Hvad finder assistenten? | Hvad bør den gøre? | Hvem træffer beslutningen? |
|---|---|---|
| En godkendt og gyldig kilde | Foreslå et svar og vise det konkrete belæg | Medarbejderen godkender eller retter |
| Flere modstridende versioner | Vise forskellene og markere konflikten | Dokumentejeren vælger den gældende version |
| Svagt eller manglende belæg | Undlade at konkludere og sende spørgsmålet videre | Den fagansvarlige leverer eller godkender svaret |
| Følsomt materiale | Overholde adgangsrettigheder og klassifikation | Den ansvarlige afgør, hvad kunden må modtage |
Dokumentlageret skal kunne mere end en mappe
Et praktisk dokumentgrundlag kan bestå af sikkerhedspolitikker, databehandleraftaler, revisionsrapporter, standardiserede kundesvar og produktbeskrivelser. Hvert dokument bør have en ejer og metadata, der gør det muligt at afgøre, hvor og hvornår det må bruges:
- godkendelsesdato og gyldighedsdato
- produkt, tjeneste eller juridisk enhed
- dokumenttype og ansvarlig afdeling
- fortrolighedsniveau og adgangsgruppe
- status som udkast, godkendt eller udløbet
Så bliver søgningen mere præcis end “find noget om backup”. Assistenten kan lede efter den gældende og godkendte backupbeskrivelse for en bestemt cloudtjeneste og samtidig udelukke udkast.
ENISA’s tekniske vejledning rummer praktiske eksempler på evidens og forbindelser mellem krav og standarder. De forbindelser kan indgå i indeksets struktur, så forskellige formuleringer af det samme sikkerhedsspørgsmål peger mod ét kontrolleret dokumentgrundlag.
Fra kundespørgsmål til godkendt svar
- Import: Spørgsmålene hentes fra et regneark eller overføres fra en kundeportal.
- Klassifikation: Systemet identificerer emne, produkt og den ønskede dokumentation.
- Genfinding: RAG-pipelinen søger kun i dokumenter, som brugeren må tilgå, og filtrerer på relevante metadata.
- Svarforslag: Assistenten skriver et kort udkast med dokumentnavn, tekstgrundlag, gyldighed og et synligt sikkerhedsniveau.
- Review: Ubesvarede, modstridende eller følsomme spørgsmål går til den rette fagansvarlige.
- Eksport: De godkendte svar føres tilbage til regnearket eller den relevante portal.
Systemets vigtigste egenskab er ikke, at det kan udfylde alle felter. Det er evnen til at sige: “Der blev ikke fundet tilstrækkeligt belæg.” Et tomt felt i en reviewkø er bedre end et overbevisende svar uden dokumentation.
Relevans er ikke det samme som efterlevelse
En høj score i søgeresultatet fortæller kun, at en tekstpassage ligner spørgsmålet. Den beviser ikke, at virksomheden opfylder kravet. Løsningen bør derfor holde tre ting adskilt: kildens status, søgningens relevans og den endelige menneskelige godkendelse.
En udløbet revisionsrapport kan eksempelvis være særdeles relevant og stadig uegnet som aktuelt kundesvar. Assistenten må heller ikke udlede certificeringer, kontraktlige forpligtelser eller tekniske kontroller, som dokumenterne ikke direkte understøtter. Juridiske formuleringer, nye sikkerhedsløfter og svar om konkrete hændelser bør altid have en navngiven godkender.
Integrationen fjerner det gentagne arbejde
Værdien opstår først for alvor, når løsningen passer ind i den måde, teamet allerede arbejder på. Mange sikkerhedsskemaer kommer som regneark med kolonner til svar, kommentarer og evidens. Andre skal udfyldes direkte i en kundeportal.
En løsning kan håndtere import, feltmapping, versionskontrol og eksport, mens selve indsendelsen fortsat er en kontrolleret handling. På nowa.dk, Gregs AI-automationsservice for danske virksomheder, kan opgaven samles i én arbejdsgang: et adgangsstyret dokumentlager, en RAG-pipeline, en reviewkø og integration til de formater, som salgs- og sikkerhedsteamet allerede bruger.
Start med ét skema, ikke hele arkivet
En pilot behøver ikke omfatte alle virksomhedens dokumenter. Tag ét repræsentativt leverandørskema. Find de politikker, aftaler, rapporter og standardsvar, som burde kunne dokumentere svarene. Undervejs bliver det også tydeligt, hvor dokumentationen mangler, er forældet eller savner en ejer.
Test så, om systemet finder den rigtige kilde, fravælger gamle versioner og sender usikre spørgsmål til den rette person. Kvaliteten bør vurderes på korrekte kilder, relevante eskaleringer og mindre manuelt søgearbejde – ikke kun på, hvor mange felter der blev udfyldt automatisk.
Målet er ikke at flytte sikkerhedsansvaret væk fra mennesker. Det er at bruge mindre salgstid på den samme dokumentjagt og samtidig levere svar, der er mere sporbare, ensartede og ordentligt godkendt.
Relateret på GrN.dk
Brug for hjælp til den slags opgaver?
Tal med Greg om en sikker dokumentassistent Kontakt Greg her.
