Öka utvecklingstakten med Claude Code, Copilot, Codex och andra AI-verktyg – utan att tappa kontroll över kod, data, säkerhet eller kundåtaganden. AI-baserade utvecklingsverktyg håller snabbt på att bli en naturlig del av utvecklingsmiljön.Utvecklare använder Claude Code, GitHub Copilot, Codex, Cursor och andra AI-verktyg för att förstå kodbaser, generera och ändra kod, felsöka, skapa tester och automatisera delar av utvecklingsarbetet.
Möjligheterna är stora. Men styrningsfrågan förändras när ett AI-verktyg kan läsa repositories, komma åt filer, köra kommandon, interagera med utvecklingsmiljön eller ansluta till andra system genom exempelvis MCP.
Den relevanta frågan är därför ofta inte längre: Får våra utvecklare använda AI?
Utan: Vilka användningar kan vi godkänna, under vilka förutsättningar och vilka kontroller behöver vi?
Sharp Cookie Advisors hjälper teknikorganisationer att besvara den frågan och omsätta svaret i praktiska spelregler för Engineering, Security, Legal och ledningen.
Vi börjar inte med en generell AI-policy.
Vi börjar med att förstå hur verktygen faktiskt används.
Därefter identifierar vi var den tekniska lösningen får betydande juridiska, säkerhetsmässiga, regulatoriska eller kommersiella konsekvenser.
Målet är inte att göra utvecklingen långsammare.
Det är att skapa en struktur som gör det möjligt för Engineering att använda AI med tydliga gränser och färre olösta frågor.
Engineering vill införa ett AI-baserat utvecklingsverktyg bredare i organisationen och Security, Legal eller ledningen behöver ett bra beslutsunderlag.
Vi hjälper er identifiera vilka frågor som faktiskt behöver lösas före utrullning och vilka kontroller som är rimliga.
I många organisationer har AI-användningen kommit före den formella styrningen. Olika team kan använda olika konton, abonnemang, modeller, plugins och konfigurationer. Den första uppgiften är då inte att skriva ännu en policy. Det är att förstå nuläget och bestämma vad som ska vara tillåtet framåt.
En assistent som föreslår kod innebär en annan riskprofil än en agent som kan läsa repositories, köra kommandon, arbeta i ärendehanteringssystem, läsa dokumentation eller anropa externa tjänster.
När AI blir mer agentbaserad blir frågor om åtkomst, behörigheter, mänsklig kontroll och spårbarhet allt viktigare.
Kunder kan vilja veta om AI används i utvecklingen, om deras information kan exponeras för AI-leverantörer, vilka underbiträden som används, var information behandlas och vilka säkerhetsåtgärder som gäller.
Vi hjälper till att koppla samman Engineering och Securitys svar med de åtaganden som gjorts i kundavtal, personuppgiftsbiträdesavtal och säkerhetsbilagor.
För organisationer som omfattas av GDPR, cybersäkerhetslagen/NIS2, sektorsspecifika regler eller andra säkerhetskrav behöver användningen av externa AI-tjänster ofta passa in i befintliga processer för riskhantering, leverantörsstyrning, informationssäkerhet och ansvar.
Målet är normalt att integrera AI i dessa processer – inte att bygga ett helt separat compliance-system.
Omfattningen beror på verktygen, miljön och verksamheten. En typisk granskning kan omfatta följande områden.
Vi kartlägger vad AI-verktygen faktiskt kan göra i er utvecklingsmiljö.
Det kan exempelvis omfatta:
Vi ersätter inte era säkerhetsingenjörer och genomför inte penetrationstester.
Vår uppgift är att förstå den tekniska lösningen tillräckligt väl för att identifiera var arkitektur och konfiguration får juridiska, regulatoriska, leverantörs- eller kundrelaterade konsekvenser.
Prompten som utvecklaren skriver är bara en del av bilden. Beroende på tjänst och konfiguration kan ett AI-verktyg behandla källkod, filer, loggar, felmeddelanden, repository-information, metadata, telemetri eller information som hämtas från anslutna system. Vi hjälper er fastställa vilken information som kan behandlas och vad det innebär för organisationen.
Särskild uppmärksamhet kan behövas när utvecklings- eller supportprocesser kan exponera:
Frågan är inte bara om organisationen avser att skicka känslig information till en AI-tjänst. Frågan är om utvecklingsflödet gör det möjligt.
Enterprise-versioner av AI-verktyg kan skilja sig väsentligt från konsumenttjänster. Konfiguration, avtalsåtaganden, användning av data, lagring, underleverantörer, hosting och administrativa kontroller kan alla vara relevanta.
Beroende på uppdraget kan vi granska bland annat:
Syftet är inte att förhandla varje avtalsklausul isolerat. Det är att avgöra om leverantörens villkor och upplägg är lämpliga för den avsedda användningen.
Organisationen kan redan ha avtalsåtaganden som påverkar hur AI-verktyg får användas internt. Enterprise-kunder och reglerade verksamheter ställer ofta krav på sekretess, säkerhet, behandlingsplats, underleverantörer, kunddata, utvecklingsprocesser och incidenthantering. Ett AI-verktyg som används internt av Engineering kan därför skapa en avtalsfråga även om verktyget aldrig är en del av den kundnära produkten.
Vi hjälper er identifiera var AI-användningen möter befintliga kundåtaganden och vad som behöver hanteras.
Det finns sällan ett enda regelverk som ger hela svaret. Beroende på organisation och användningsfall kan relevanta frågor bland annat finnas inom:
Vi fokuserar på de krav som faktiskt påverkar den avsedda användningen. Varje utvecklingsverktyg behöver inte bli ett omfattande regulatoriskt projekt.
Målet är att fastställa var gränserna faktiskt går och bygga proportionerliga kontroller kring dem.
En policy löser sällan problemet på egen hand. Resultatet måste kunna användas av dem som fattar de dagliga besluten.
Beroende på organisation kan praktiska kontroller exempelvis omfatta:
Målet är en styrmodell som Engineering faktiskt kan arbeta med.
För många organisationer är det enklaste första steget en avgränsad AI Engineering Readiness Review. Den ger ledning, Engineering och Security en senior och oberoende bedömning av den nuvarande eller planerade användningen av AI-verktyg i utvecklingen.
Vi kommer överens om den exakta omfattningen innan arbetet börjar. En typisk granskning kan innehålla:
Resultatet ska stödja beslut.
Inte bli ett abstrakt juridiskt PM.
Vissa organisationer behöver bara en oberoende granskning. Andra vill ha hjälp att omsätta rekommendationerna i praktiken.
Vi kan stödja arbetet på tre nivåer.
En avgränsad bedömning med tydliga frågor, leverabler och prioriteringar. För lämpliga uppdrag kommer vi normalt överens om omfattning och fast pris innan det materiella arbetet börjar.
Vi kan hjälpa till att omsätta bedömningen i praktisk dokumentation och konkreta kontroller, exempelvis:
AI-verktygen för utveckling förändras snabbt. Organisationer kan därför behöva en senior rådgivare som kan hjälpa till att bedöma nya verktyg, leverantörer, kundfrågor och användningsfall utan att starta ett nytt compliance-projekt varje gång.
Vi kan ge löpande stöd till CTO, CIO, CISO, Engineering, Legal, DPO och ledning i takt med att organisationens AI-användning utvecklas.
Berätta vilka verktyg ni använder eller planerar att införa, hur utvecklingsmiljön fungerar på en övergripande nivå och vilket beslut ni behöver kunna fatta.
Den första kontakten innebär ingen förpliktelse.
Vi identifierar relevanta underlag, personer och frågor. För en avgränsad readiness review kommer vi normalt överens om omfattning, leverabler och pris innan arbetet börjar.
Vi träffar de personer som faktiskt förstår utvecklingsmiljön. Beroende på uppdraget kan det vara personer inom Engineering, Security, Platform, Architecture, Legal, Privacy eller Procurement.
Vi behöver förstå hur tekniken fungerar i praktiken – inte bara hur den beskrivs i en policy.
Vi identifierar de frågor som faktiskt påverkar den avsedda användningen, går igenom alternativen och prioriterar vilka kontroller som behövs.
Ni kan genomföra rekommendationerna internt eller låta oss stödja utvalda delar av arbetet.
Vårt arbete är särskilt relevant för:
Vi arbetar normalt med dem som ansvarar för att tekniken faktiskt ska fungera i verksamheten:
CTO, CIO, CISO, Chief Architect, VP Engineering, Head of Engineering, Platform-team, Legal, DPO, Procurement och ledning.
AI i mjukvaruutveckling ligger i skärningspunkten mellan teknik, informationssäkerhet, dataskydd, leverantörsstyrning och kundavtal.
Det är där vi arbetar.
Sharp Cookie Advisors rådgör teknikbolag inom AI, programvara och SaaS, molntjänster, GDPR och dataskydd, cybersäkerhetsrelaterad reglering och komplexa teknikavtal. Vår roll är inte att säga åt Engineering att sluta använda bra teknik därför att regelverken är komplicerade. Vår roll är att förstå tekniken och verksamheten tillräckligt väl för att identifiera det som faktiskt spelar roll, sätta fungerande gränser och hjälpa organisationen framåt.
Ofta, ja – men en policy är sällan tillräcklig på egen hand.
Organisationen behöver också bestämma vilka verktyg och konton som är godkända, vilka data som får behandlas, vilka system agenter får komma åt, vad som kräver mänskligt godkännande och vem som får godkänna nya användningsfall. Policyn bör spegla dessa beslut – inte ersätta dem.
Det finns inget användbart ja- eller nej-svar enbart utifrån produktnamnet. Bedömningen beror bland annat på produktversion, konfiguration, vilka data som behandlas, integrationer, behörigheter, avtalsvillkor och det avsedda användningsfallet.
En enterprise-utrullning mot utvalda repositories kan därför behöva bedömas annorlunda än när en enskild utvecklare använder ett konsumentkonto med bredare åtkomst.
Det beror på informationen, er roll i förhållande till kunden, leverantörsupplägget, tillämpliga avtal och relevanta rättsliga krav.
För SaaS-leverantörer och personuppgiftsbiträden kan kundavtal och personuppgiftsbiträdesavtal vara minst lika viktiga som AI-leverantörens egna villkor.
Ett AI-baserat utvecklingsverktyg blir inte automatiskt ett separat ”NIS2-system”.
För organisationer som omfattas av NIS2-relaterade cybersäkerhetskrav kan användningen av externa AI-tjänster däremot bli relevant för bland annat riskhantering, leverantörsstyrning, åtkomstkontroll och andra befintliga cybersäkerhetsprocesser.
Bedömningen bör därför utgå från organisationen och det faktiska användningsfallet.
Det beror på om personuppgifter behandlas, för vems ändamål och på vems instruktioner. Om ett företag som själv är personuppgiftsbiträde låter en annan leverantör behandla kundens personuppgifter för dess räkning kan kraven på underbiträden bli relevanta.
Rollen bör bedömas utifrån det faktiska dataflödet – inte antas utifrån vilken typ av produkt det är.
Varje användning av ett AI-baserat utvecklingsverktyg kräver inte ett omfattande klassificeringsprojekt. Vilka skyldigheter som gäller beror på systemet, organisationens roll och hur AI används.
Den praktiska utgångspunkten är att förstå användningsfallet och därefter avgöra vilka krav enligt AI-förordningen som faktiskt påverkar det.
Ja. Om organisationen redan har etablerade processer för informationssäkerhet eller AI-styrning föredrar vi normalt att integrera relevanta AI-kontroller där, i stället för att skapa onödiga parallella styrsystem.
Vi kan hjälpa till att identifiera de juridiska och styrningsmässiga kraven och arbeta tillsammans med dem som ansvarar för organisationens ledningssystem.
Ni behöver inte själva ha identifierat den juridiska frågan innan ni kontaktar oss.
Berätta vilka AI-verktyg ni använder eller överväger, vad era utvecklare behöver kunna göra och vad som i dag hindrar er från att gå vidare. Vi kan bedöma om en AI Engineering Readiness Review är en lämplig utgångspunkt och föreslå en tydlig omfattning och kostnad innan det materiella arbetet börjar.
Om ni överväger Claude Code, Copilot, Codex eller andra AI-verktyg i utvecklingsmiljön, kontakta oss för att diskutera den lösning, de risker och de kontroller som är relevanta för er organisation.
