Archer og AI: hvor de mødes

Hvad Archer er, og hvad det ikke er

Archer Integrated Risk Management er en GRC-platform: Governance, Risk og Compliance i ét sammenhængende system. Den anvendes af danske banker, forsikringsselskaber, store energiselskaber, ministerier og koncerner med kompliceret compliance-byrde. Globalt er Archer en af de tre-fire dominerende platforme i sit segment, sammen med ServiceNow GRC, OneTrust og MetricStream.

Platformen blev oprindeligt udviklet hos Archer Technologies, som blev købt af EMC i 2010 og lagt ind under RSA Security. Efter Dells overtagelse af EMC og Symphony Technology Groups efterfølgende køb af RSA i 2020 blev Archer udskilt som selvstændig virksomhed igen. I dag hedder den bare Archer (Archer Integrated Risk Management er produkt-navnet på suiten). RSA-prefixet er historie.

Hvad Archer giver: et samlet sted at registrere risici, kontroller, regulatoriske krav, audit-fund, leverandører, politikker og deres indbyrdes relationer. Når Datatilsynet eller revisor spørger "hvilke kontroller har I på plads for risikoen X, og hvornår blev de senest testet", er svaret tilgængeligt på minutter, ikke uger.

Hvad Archer ikke giver: indhold, analyse, sammenfatning eller udkast. Det er bevidst. Archer er et system of record, ikke en tekstgenerator. Det er her den primære synergi med generativ AI opstår.

De fem mest værdiskabende AI use-cases ovenpå Archer

Generativ AI accelererer arbejdet ovenpå Archer-data uden at erstatte platformen. Fem use-cases står typisk frem efter implementering hos enterprise-kunder.

1. Regulatorisk horizon-scanning

Et stort regulatorisk landskab kræver løbende monitorering. NIS2, DORA, EU AI Act, opdateringer til ISO 27001, ESMA-retningslinjer, lokal lovgivning. AI læser nye direktiver og foreslår hvilke eksisterende kontroller i Archer der bør opdateres eller udvides. Det reducerer den fagspecialistens læse-tid fra timer til minutter, og giver konkrete pointers tilbage til platformen.

2. Udkast af risk-beskrivelser

Risk-workshops og interviews med forretningsledere producerer transcripts. AI tager transcripts og foreslår strukturerede risk-beskrivelser klar til oprettelse i Archer: titel, beskrivelse, foreslåede risikoejer, foreslåede kontroller, foreslåede metrics. Risk-managerens job bliver review og kvalitetssikring frem for skriveri fra bunden.

3. Mapping mellem rammeværker

En kontrol findes typisk i flere rammeværker samtidigt: ISO 27001, SOC 2, NIS2, DORA, EU AI Act, GDPR. AI foreslår krydshenvisninger så samme kontrol kun vedligeholdes ét sted, men kortlægges til alle relevante rammeværker. Det er en af de mest tidskrævende manuelle øvelser i et GRC-team og en oplagt AI-acceleration.

4. Sammenfatning af audit-fund og management-rapporter

Audit-fund og kvartalsrapporter genereres typisk på basis af strukturerede data i Archer. AI sammenfatter detaljerede fund i ledelses-egnet sprog, foreslår root cause-mønstre på tværs af fund, og udarbejder første udkast af tilhørende handlingsplaner. Risk-managerens timer bruges på vurdering og prioritering, ikke på formuleringer.

5. Klient-spørgsmål om risk-postur

Enterprise-kunder, særligt banker og leverandører til offentlig sektor, modtager tilbagevendende spørgsmål fra deres kunder om risk-postur. "Hvordan håndterer I tredjepartsrisici?", "Hvilken procentdel af jeres applikationer er penetrationstestet?", "Hvilke kontroller har I på plads for AI-systemer?". AI besvarer spørgsmålene baseret på struktureret data i Archer og foreslår dokumentations-referencer. Det forkorter besvarelsestid fra dage til timer.

Hvor AI ikke skal lukkes ind på Archer-data

Den naturlige modreaktion til ovenstående use-cases er "send alle Archer-data til Claude og spørg løs". Det er en dårlig idé af tre grunde.

For det første: Archer-data er typisk fortroligt på højeste niveau. Risk-registre, kontrol-fund, leverandør-vurderinger og audit-rapporter er ofte under NDA og kan ikke sendes til cloud-AI uden eksplicit aftale og DPA. EU-residency er minimum, self-hosted modeller er ofte påkrævet for de mest følsomme data.

For det andet: Archer-data kommer med struktur som AI ofte ikke har brug for. En LLM der får et helt risk-register som kontekst yder dårligere end en der får relevant subset plus klar instruktion. RAG-arkitektur ovenpå Archer-data er den korrekte tilgang, ikke at dumpe hele registret.

For det tredje: audit-trail på selve AI-brugen er compliance-krævet under EU AI Act. Hvis AI-brug påvirker risk-vurderinger eller kontroleffektivitet, skal det dokumenteres i Archer som anden ændring til kontroller. Det betyder integration mellem AI-output og Archer-platform skal designes med audit-trail i tankerne, ikke som efterfølgende overvejelse.

Archer som dokumentation af AI-systemer selv

Den anden retning af synergien er mindst lige så vigtig: at bruge Archer til at dokumentere virksomhedens egne AI-systemer mod EU AI Act-kravene. Archer har et dedikeret EU AI Act-modul der modellerer AI-systemer som klassificerbare assets med tilhørende risk-vurderinger, kontroller og audit-trail.

Det giver tre konkrete fordele for organisationer der i forvejen har platformen:

• AI-systemer indgår i samme inventory som resten af virksomhedens applikationer, ikke i et særskilt regneark
• Klassifikation (forbudt, high-risk, limited risk, minimal) modelleres som metadata med relationer til EU AI Act-artiklerne
• Audit-trail fra AI-brug kan importeres via API eller refereres fra log-systemer, så compliance-rapportering trækker fra samme kilde som al anden GRC-rapportering

For organisationer uden Archer kan en lignende struktur opbygges i lettere SaaS-platforme eller i et omhyggeligt opbygget Google Sheet plus dokumenthåndtering. Princippet er det samme: AI-systemer er assets der skal styres med samme disciplin som applikationer og leverandører.

Hvem har brug for Archer plus AI sammen

Kombinationen Archer plus generativ AI giver mening for organisationer med komplekst compliance-landskab og betydelig modenhed i forvejen. Tre typiske profiler:

Bank og forsikring

Allerede tunge brugere af Archer. AI accelererer regulatorisk horizon-scanning (særligt DORA og kommende EU AI Act-implementering), reducerer dokumentations-overhead i operationel risk management, og forkorter svartid på kunde-spørgsmål. Self-hosted eller EU-residency-baseret AI er typisk krav fordi data-følsomheden er høj.

Energi og kritisk infrastruktur

NIS2 og sektorspecifik regulering driver tung brug af Archer. AI hjælper med at oversætte tekniske kontroller til ledelses-egnet rapportering, og med at vedligeholde mapping mellem NIS2, ISO 27001 og national lovgivning. EU AI Act bliver mere relevant efterhånden som AI-baserede prognoser og driftsoptimering rulles ud i sektoren.

Større offentlige institutioner

Ministerier, regioner og store kommuner med Archer-installation har typisk udfordringer med tværgående compliance-koordination. AI accelererer både den interne sammenfatning og dialogen med Rigsrevisionen og andre tilsynsmyndigheder. EU AI Act-modulet er særligt relevant da offentlige beslutninger om mennesker hyppigt klassificeres som high-risk.

For SMVer uden Archer: hvad er alternativet

For vidensintensive SMVer er Archer typisk overkill. Licens og implementering starter på 1-2 mio kr/år plus interne ressourcer, og platformens kompleksitet kræver et dedikeret GRC-team for at give værdi.

Alternativet for SMVer er en proportional kombination:

• Inventory og klassifikation i Google Sheets eller Airtable, struktureret efter samme principper som Archer ville bruge
• Politik-håndtering i et knowledge-management system som Outline eller Notion, med versionering og review-cyklus
• Audit-trail i log-systemer (typisk allerede tilgængelige) krydsrefereret til inventory
• AI som produktivitetslag på toppen, præcis som hos enterprise-kunder, men med simplere data-modeller
• Eventuel SaaS-løsning (OneTrust, Vanta, Drata) hvis et specifikt rammeværk kræver dybere automation

Det er mere proportionalt og oftest tilstrækkeligt for SMVer med 1-2 rammeværker og en compliance-byrde der kan håndteres af 1-3 personer på deltid. Hvis byrden vokser ud over det, er det først der man overvejer en GRC-platform i Archer-klassen.

Hvorfor EnterpriseIQ taler om Archer

Det kan virke usædvanligt at en AI-rådgiver bruger plads på en GRC-platform de fleste SMVer ikke ejer. Begrundelsen er enkel: kombinationen Archer-baggrund plus hands-on AI-implementering findes der ikke mange af i Danmark, og det er en betydelig del af det fundament EnterpriseIQ er bygget på.

For enterprise-kunder, som Jesper tidligere har arbejdet med i Archer-rollen, betyder kombinationen at AI-implementering kan tale GRC-sprog uden oversættelse. Risk-managers og compliance-ansvarlige genkender deres egen verden i diskussionen, og diskussionen kan kvalificeret komme videre fra "AI er spændende" til "hvor passer AI ind i vores eksisterende kontroller".

For SMV-kunderne betyder det at de modtager rådgivning fra en der har set hvordan store organisationer faktisk håndterer risk og compliance. Det giver perspektiv på hvad der er proportionalt for en mindre virksomhed, og hvad der er enterprise-overkill. Den slags vurdering kan ikke læres på et kursus.

FAQ

Næste skridt

Tre veje afhængigt af hvor I står: