---
title: "Identifiserbarhet og tilgang — AI-agenter hos Standard Online"
date: "YYYY-MM-DD"
tags: ["ai", "identitet", "tilgang", "iam"]
refs:
  - "ai-prinsipper.md"
  - "../5.personvern-og-sikkerhet/tiltak-for-innebygd-personvern.md"
qa:
  status: "draft"
version: 1
---

# Identifiserbarhet og tilgang for AI-agenter

## Prinsipp

Hver AI-agent skal være identifiserbar og autoriseres som egen entitet — på samme måte som mennesker eller systemer. Generisk eller delt agent-identitet er ikke akseptabelt.

## Agent som identitet

| Element | Krav |
|---|---|
| Unik identifikator | Hver agent-instans har egen ID |
| Autentisering | Token-basert (f.eks. EntraID, OIDC client credentials) |
| Eier | En menneskelig eller organisatorisk eier per agent |
| Levetidssyklus | Opprettelse, endring, dekommisjonering dokumentert |
| Synlighet | Agenter er listet i et register tilgjengelig for systemeiere |

## Tilgangsstyring

### Minste privilegium

Agenten gis kun tilgang til:
- De data den faktisk trenger for sin oppgave
- De funksjoner (skriving, lesing, ekstern integrasjon) som er nødvendige
- Den tidsperioden tilgangen behøves

### Skille les vs. skriv

Lese-tilganger gis lettere. Skrive-tilganger krever eksplisitt godkjenning fra Dataforvalter for berørt domene.

### Tilgangsreview

Tilganger gjennomgås minst hvert kvartal, eller når en agent endres betydelig.

## Åpne avklaringer

| Spørsmål | Status |
|---|---|
| Hvilket IAM-system administrerer agent-identiteter? | |
| Hvem godkjenner ny agent-tilgang per domene? | |
| Hvordan håndteres roterte tokens / hemmeligheter? | |

---

*Klassifisering: Begrenset*