Millioner av transaksjoner, ett feilspor

Australian Payments Plus, kjent som AP+, drifter betalings- og identitetsinfrastruktur som brukes av millioner av australiere hver dag, ifølge OpenAI. Teamene jobber på tvers av skjemaregler, tekniske spesifikasjoner, medlemsforpliktelser, cybersikkerhet og regulatoriske krav – der fart teller, men nøyaktighet og ansvarliggjøring teller mer.

Det er i dette miljøet ChatGPT Enterprise ble rullet ut på tvers av hele selskapet, med Codex som neste steg for produkt-, ingeniør- og tekniske arbeidsflyter, ifølge OpenAI. Nytteverdien ligger ikke i å erstatte fagekspertise, men i å korte ned veien dit.

To verktøy, to lag av arbeid

ChatGPT Enterprise og Codex løser ulike problemer. ChatGPT Enterprise er en administrert arbeidsflate der ansatte kan oppsummere komplekst materiale, strukturere uklare problemstillinger og utarbeide datadrevet kommunikasjon mot kunder og medlemmer. Codex er OpenAIs skybaserte programvareutviklingsagent – lansert mai 2025 – som skriver, gjennomgår og feilsøker kode, og er tilgjengelig for Business- og Enterprise-brukere.

I praksis betyr det at notater fra AP+-workshops blir til beslutningsunderlag, tette designdokumenter blir løsningsoversikter, og kommunikasjonsutkast blir klarere – alt ifølge OpenAI. For tekniske team gir Codex evnen til å spore avvik på tvers av systemlogger og rekonsilierings-data som tidligere krevde dager med manuelt arbeid.

Rekonsiliering på minutter, ikke dager

Det mest konkrete eksemplet OpenAI oppgir er hentet fra AP+s rekonsiliering – prosessen der transaksjonsdata avstemmes mellom systemer for å fange opp avvik. Teamet brukte Codex til å spore en subtil tidsstempel-inkonsistens på tvers av systemlogger og rekonsilierings-data, og reduserte det som normalt tok dager med manuell etterforskning til minutter, ifølge OpenAI.

Det finnes ingen uavhengig verifisering av dette tallet. Men logikken er gjenkjennbar for enhver som har søkt gjennom tusenvis av loggposter etter én feilende linje: Codex kjører oppgaver i isolerte skycontainere, kan lese og redigere filer, kjøre terminalkommandoer og eksekvere tester, og rapporterer fremdrift løpende. Modellen er spesialtrent for kodings- og systemanalyseoppgaver gjennom forsterket læring.

AP+ utforsker også hvordan Codex kan assistere sikkerhetsteam innen trusselmodellering, sårbarhetanalyse og prioritering av sikkerhetsvarsler, ifølge OpenAI. Selskapet understreker at menneskelige eksperter forblir ansvarlige for risikovurderinger, validering og respons – AI-verktøyet leverer analyse, ikke dom.

Hva dette betyr under EU AI Act

EU AI Acts krav til høyrisiko-AI-systemer under Annex III trer fullt ut i kraft 2. august 2026. Kredittvurdering, svindeldeteksjon, hvitvaskingsovervåkning og automatisert beslutningstaking i finans er eksplisitt klassifisert som høyrisiko, ifølge EU-kommisjonens veileder. Norge er bundet av forordningen gjennom EØS, men tidspunktet for innlemmelse i norsk rett er ennå ikke avklart.

Kravene som utløses av høyrisiko-klassifiseringen, inkluderer risikostyringssystem, teknisk dokumentasjon, menneskelig tilsyn og løpende overvåkning. AP+-modellen – der AI leverer analyse og mennesker tar beslutninger – er nettopp den arkitekturen regelverket krever. En bank eller et betalingsselskap som lar AI ta kredittvurderinger uten meningsfull menneskelig kontroll, vil ikke oppfylle Article 26 i AI Act.

DORA – EUs lov om digital operasjonell motstandsdyktighet for finanssektoren – trådte i kraft januar 2025 og legger IKT-risikostyringskrav oppå AI Act-forpliktelsene. Innføring av Codex i systemovervåkning og sikkerhetsarbeid er derfor ikke bare et teknisk valg, men et som må dokumenteres og forankres i selskapets risikostyring.

Personvern og datasikkerhet i Enterprise-pakken

ChatGPT Enterprise tilbyr en databehandleravtale (DPA) som norske virksomheter kan inngå i tråd med GDPR, og OpenAI oppgir at selskapsdata ikke brukes til å trene modeller som standard. Selskapet har gjennomført SOC 2-revisjon og krypterer data i hvile og under overføring. Det er imidlertid ikke utstedt noen formell GDPR-sertifisering, og OpenAI er et amerikansk selskap underlagt CLOUD Act – noe som innebærer at dataoverføring til USA krever inngåtte Standard Contractual Clauses eller registrering under EU-US Data Privacy Framework.

For norske fintech-selskaper med betalings- og kundedata bør juridisk avdeling og personvernombud gjennomgå DPA-en og verifisere lagringsinnstillinger før utrulling. Systematisk bruk i kredittvurdering eller kundekommunikasjon kan utløse krav om konsekvensutredning (DPIA) etter GDPR artikkel 35. Dette er forhold som ikke omtales i OpenAIs publiserte case.

Videre utbygging

AP+ er i ferd med å utvide bruken av Codex inn i produktutvikling, teknisk etterforskning og arbeidsflyter mot medlemmer – alltid med ekspertgjennomgang og menneskelig ansvar, ifølge OpenAI. Parallelt rapporterer OpenAI at over 3 millioner utviklere globalt bruker Codex ukentlig, et tall som ifølge selskapet har femdoblet seg de siste tre månedene.

For virksomheter som vurderer tilsvarende arbeidsflyter er den umiddelbare oppgaven å avgjøre hvilke bruksområder som er høyrisiko etter AI Act, og om dokumentasjon og menneskelig tilsyn er på plass før august 2026.