Policy-as-code: regler som går att köra

Policydokument behövs fortfarande: styrelsen antar principer, och tillsynen vill se dem. Policy-as-code är bryggan mellan dokumentet och verkligheten. Varje regel som går att formulera som ett mätbart villkor mot systemdata kan kodas, schemaläggas och producera bevis, vilket förvandlar efterlevnad från årlig självdeklaration till löpande mätning.

För AI-styrning betyder det att regler som "inga AI-system med kunddata utan registrering" eller "agentkonton får inte ha stående administratörsroller" prövas mot faktiskt tillstånd i katalogen och registret. För cybersäkerhetslagen är kopplingen ännu rakare: minimiåtgärderna och föreskrifterna om säkerhetsåtgärder är i praktiken en kravlista som till stor del går att uttrycka som körbara kontroller.

CyberKlars kontrollkatalog är byggd på principen: varje kontroll i CyberKlar Control är en kodad regel med deklarerad koppling till föreskriftsområde och minimiåtgärd, körd nattligt med hashade bevis. För AI-agenter finns dessutom en kunddefinierad regelnivå i pilotmodulen Agentstyrning: releasekravet uttrycks som en namngiven, versionerad utvärderingssvit med numeriska trösklar per agent, och en utvärderingsgrind prövar kravet maskinellt när kundens pipeline frågar före driftsättning. Regeln är kundens egen, prövningen är deterministisk och varje beslut skrivs som bevis. Ett fritt regelspråk där kunden skriver godtyckliga policyer är fortsatt kategorins nästa steg; värdet idag ligger i att de viktigaste reglerna redan är kodade, verifierade och mappade mot svenska krav, och att releasekravet för AI-agenter går att definiera själv.