Hosting och datahemvist

Kaisa körs inom EG:s Azure-miljö – samma miljö som är värd för resten av EnerKey.

• Molnleverantör Microsoft Azure

• Tenant EG-ägd Azure-prenumeration

• Region EU (matchar EnerKey-plattformen)

• Kryptering Konversationsdata krypteras i vila

• Plattformskontroller Nätverksisolering, edge-skydd och hantering av hemligheter följer EGs standardkontroller för EnerKey-plattformen (detaljer tillgängliga under sekretessavtal).

Er data passerar inte genom tredjeparts SaaS AI-leverantörer. Det finns ingen väg från Kaisa till någon publik LLM-tjänst.

Profilbaserad dataåtkomst

Kaisa autentiseras som du, via din befintliga EG EnerKey-inloggning - inget separat konto, ingen skugginloggning. Behörigheter ärvs från EG EnerKey, de uppfinnns inte för AI:n. Kaisa kan bara anropa de API:er som din användare redan har rätt att anropa, och kan bara se den data som din användare redan har rätt att se. Om en användare inte har tillgång till ett produktområde får inte heller Kaisa tillgång till dessa verktyg.

I EG EnerKey är en profil en samling anläggningar, platser och mätare som grupperats ihop av dina administratörer. Kaisa verkar alltid inom den för tillfället aktiva profilen - samma som är vald i övriga delar av portalen. Den kan inte nå data i anläggningar utanför den. Att byta profil startar ett nytt konversationssammanhang. Det finns ingen mekanism på AI-sidan för att utöka dataåtkomsten.

Konversationsisolering. Varje användares konversationshistorik är isolerad. Ingen användare kan läsa en annans konversation, oavsett roll.

Rollmappning tillämpas på serversidan. Att dölja en funktion på klientsidan är aldrig en säkerhetsrisk.

Kaisa har aldrig mer åtkomst än den människa som använder den.

Enterprise-AI är inte konsument-AI

Kaisa använder GPT-klassade stora språkmodeller via Azure OpenAI Service. Enterprise-distributionen i Azure, inte det konsumentorienterade OpenAI API:et.

Dessa Azure OpenAI-villkor gäller för EG:

• Era prompter och svar används inte för att träna OpenAI:s eller Microsofts modeller

• Data stannar inom EU:s Azure-region

• Modellversioner spåras, fästs och uppgraderas under ändringshantering. Inga byten bakom produktionstrafik

Modellen anropas utan någon stående åtkomst till era databaser. Varje datahämtning går genom det kontrollerade verktygslagret som beskrivs nedan.

Vad modellen faktiskt kan göra – och vad den inte kan

En stor språkmodell är en textgenerator. Den kan bara svara på frågor om er data om något förser den med den datan. Vi behandlar detta "något" som en säkerhetsgräns.

Mellan modellen och EnerKey:s API:er finns ett orkestreringslager. Ett lager byggt på ett moget, Microsoft-backat agentramverk som förmedlar varje verktygssanrop. Modellen har ingen fri SQL-anslutning, ingen kodsandbox och ingen generisk webbåtkomst.

Endast en explicit, godkänd uppsättning EnerKey-API:er exponeras för modellen som verktyg. Slutpunkter granskas och godkänns av EG:s ingenjörsteam innan de tas med i Kaisa.

Varje verktygssanrop:

• Körs bara med behörigheterna tillhörande den användare som gör förfrågan

• Tillämpas av samma rollkontroller som resten av EG EnerKey

• Loggas med användare, profil, konversation, verktygsnamn och parametrar

Skriv- och uppdateringar exponeras inte för Kaisa. Den har enbart skrivskyddad åtkomst till plattformens data. Om en förfrågan kräver data som användaren inte har rätt till misslyckas den på samma sätt som den skulle misslyckas i gränssnittet. Kaisa kan inte kringgå det.

Flera säkerhetslager för varje meddelande

Varje användarmeddelande passerar genom flera lager innan det når modellen. Varje modellsvar passerar genom lager på vägen tillbaka.

• Prompt injection- och jailbreak-försvar: Microsofts hanterade AI-säkerhetstjänster granskar indata – inklusive innehåll i uppladdade dokument – för kända attackmönster innan de når modellen.

• PII-detektering: Hanterade tjänster identifierar personligt information i in- och utdata, hanterad enligt EG:s innehållspolicy.

• Filtrering av skadligt innehåll: Filter täcker kategorierna hat, sexuellt innehåll, våld och självskada, konfigurerade för ett enterprise B2B-sammanhang.

• Ämnesbegränsning: Kaisa opererar inom ett definierade områden; energi, anläggningar, hållbarhet och EnerKey-arbetsflöden. Förfrågningar utanför detta avvisas.

• Dokumenthantering: När användare bifogar dokument (PDF, DOCX, XLSX, CSV, PPTX, TXT, JSON) som kontext bearbetas de inom samma Azure-tenancy, skannas och behandlas som icke-betrodd indata. Innehåll i dokument är data – inte instruktioner.

Tekniska och operationella kontroller

Varje förändring av Kaisa levereras via pull requests med obligatorisk kodgranskning. Ingen direktredigering av prompter eller verktygsdefinitioner i produktion. Varje release är taggad och kan rullas tillbaka.

Komponenter scannas kontinuerligt; patchning följer ett definierat SLA. Plattformen – inklusive Kaisas yta – ingår i EG:s reguljära tredjepartspenetrationstestningsprogram, med fynd som spåras till åtgärd.

Strukturerade loggar och spår täcker varje chattomgång: vem, när, vilka verktyg som anropades, latens och eventuella säkerhetsfilteråtgärder. Loggar sparas enligt EG:s datalagringspolicy och är tillgängliga för EG:s säkerhetsteam för utredning. Incidenthantering täcks av EG:s koncernövergripande process.

Er data - era rättigheter

Konversationer sparas tills du raderar dem. Från Kaisas gränssnitt kan du byta namn på, eller radera, valfri konversation när som helst. Borttagningen är permanent.

Dokument du laddar upp som kontext kan raderas när som helst, permanent.

GDPR:s rättigheter för registrerade – tillgång, rättelse, begränsning, portabilitet och radering – följer den befintliga processen för begäranden i EG EnerKey. Det finns ingen separat Kaisa-process.

Operationella loggar (verktygssanrop, säkerhetsfiltrering, latens) sparas enligt EG:s koncernlagringspolicy och är tillgängliga endast för EG:s säkerhets- och driftteam.

Regelefterlevnad

GDPR — Kaisa behandlar personuppgifter endast som en del av EG EnerKey-tjänsten. Den rättsliga grunden, personuppgiftsansvarig/personuppgiftsbiträde-förhållandet och de registrerades rättigheter följer det befintliga EG EnerKey personuppgiftsbiträdesavtalet och AI DPA:n.

EU AI Act — Kaisa klassificeras och granskas mot EG AI Acts risknivåer. Den fungerar som ett beslutsstödsverktyg – inte som en autonom beslutsfattare för energi- eller finansiella åtgärder.

Datahemvist — EU, EG-ägd Azure-prenumeration.

ISO / certifieringar — Ärvda från den underliggande EG EnerKey-plattformen. Se EG EnerKey Trust-dokumentation för aktuell lista över certifieringar.

Underbiträden (sub-processors) — Microsoft Azure (molnplattform, modellhosting och AI-säkerhetstjänster) samt EG:s edge-skyddsleverantör. Inga ytterligare AI-underbiträden.

Vad Kaisa inte gör

Vi anser att den här listan är lika viktig som allt ovan.

• Tränar inte någon modell på er data

• Er data skickas inte till OpenAI, Anthropic, Google eller någon annan konsument-AI-tjänst

• Ett stående tjänstekontoinlogg används inte – den använder din session

• Kör inte godtycklig kod åt dig

• Surfar inte på det öppna internet

• Sparar inte dokument eller data utanför EnerKey-miljön

• Exponerar inte verktyg eller data utöver användarens befintliga EnerKey-roll och aktiva profil

För ditt säkerhetsteam

Fyller du i ett leverantörsfrågeformulär? EG EnerKey kan fylla i CAIQ, SIG eller anpassade säkerhetsbedömningar för Kaisa tillsammans med plattformen. Arkitekturdiagram och en redigerad sammanfattning av penetrationstestning är tillgängliga under sekretessavtal (NDA).

Kontakta din EnerKey-kundansvarig för att starta processen.

Rapportera ett säkerhetsproblem: security@enerkey.com eller via din vanliga EG EnerKey-supportkanal.

När din organisation börjar använda ett AI-baserat verktyg tar du på dig ett regulatoriskt ansvar. EU:s lagstiftning ställer krav på hur AI-system ska vara byggda, hur data hanteras och hur digitala tjänster ska förbli motståndskraftiga. Det gäller inte bara leverantören – det gäller dig som användare också. Kaisa är designad med detta i åtanke.

Här är de regelverk som är mest relevanta för organisationer som hanterar energidata och fastighetsportföljer – och vad de innebär för ditt val av AI-verktyg.

EU AI Act — Förordning (EU) 2024/1689

EU:s ramlag för artificiell intelligens, som klassificerar AI-system efter risknivå och ställer krav på transparens, spårbarhet och mänsklig tillsyn.

Som "deployer" – den organisation som sätter ett AI-system i drift – har du skyldigheter under EU AI Act: att informera användare om att de interagerar med AI, att säkerställa att systemet kan granskas och att upprätthålla mänsklig tillsyn av AI-stödda beslut. Kaisa klassificeras som ett system med begränsad risk (inte högrisk), men krav på transparens och granskningsbarhet gäller fullt ut. Kaisas svar är spårbara och grundade på din livedata – inga svarta lådor.

GDPR — Förordning (EU) 2016/679

EU:s allmänna dataskyddsförordning, som reglerar all behandling av personuppgifter.

Energidata kan snabbt bli personuppgifter – mätaravläsningar kopplade till enskilda lägenheter, förbrukningsprofiler som avslöjar närvaro, eller data kopplad till namngivna användare i ditt fastighetssystem. EU-hostad databehandling är en förutsättning för GDPR-efterlevnad. Kaisa körs på EU-baserad infrastruktur, och all databehandling sker inom ramen för er befintliga relation med EG EnerKey – er data används aldrig för att träna externa modeller.

NIS2-direktivet — Direktiv (EU) 2022/2555

EU:s direktiv om cybersäkerhet för samhällsviktiga och viktiga verksamheter, med obligatoriska säkerhetskrav inom kritiska sektorer.

Energisektorn är uttryckligen listad som "samhällsviktig" under NIS2, vilket innebär att många EG EnerKey-kunder redan omfattas. NIS2 kräver säkerhet i leverantörskedjan: du måste säkerställa att de digitala verktyg du använder uppfyller dina säkerhetskrav. EU-hosting, granskningsbara svar och tydliga incidentrutiner är inte bara bekvämligheter – de är de konkreta egenskaper som gör att du kan dokumentera Kaisa som ett godkänt verktyg i er säkerhetsstyrning.

DORA — Förordning (EU) 2022/2554

Digital Operational Resilience Act – EU:s lagstiftning om digital motståndskraft för finansiella aktörer.

Om din organisation är ett försäkringsbolag, en bank, ett pensionsbolag eller ett finansiellt reglerat fastighetsbolag gäller DORA för dig. Förordningen kräver systematisk hantering av IKT-risker från tredje part – Kaisa och EG EnerKey måste dokumenteras i ditt IKT-register och bedömas som en tredjepartstjänst. EU-hosting och tydliga avtalsåtaganden är vad dina compliance-team behöver se.

Cyber Resilience Act / CRA — Förordning (EU) 2024/2847

EU:s förordning om cybersäkerhetskrav för produkter med digitala element, inklusive mjukvara.

CRA ställer krav på EG som tillverkare av EnerKey och Kaisa – vi är skyldiga att leverera säker programvara genom hela produktlivscykeln, med dokumenterade säkerhetsprocesser och snabb sårbarhetshantering. För dig som köpare skapar det en rättslig grund för att ställa cybersäkerhetskrav på leverantörer – och ger ditt IT-säkerhetsteam en tydlig signal om att CRA-medvetenhet är inbyggt i hur Kaisa utvecklas.

Data Act — Förordning (EU) 2023/2854

EU:s förordning om tillgång till och delning av data från uppkopplade enheter och tjänster, i bruk sedan september 2025.

Data Act gäller direkt för din verksamhet – de smarta energimätarna, IoT-sensorerna och byggautomationssystemen som matar EG EnerKey med data är exakt vad den här förordningen omfattar. Du har rätt till din maskingenerade data och rätten att ta den med dig. Kaisa analyserar din data – din data förblir din.

Data Governance Act — Förordning (EU) 2022/868

EU:s ramverk för dataförmedling och sektorsöverskridande datadelning.

Data Governance Act fastställer reglerna för hur data flödar inom europeiska datautrymmen – inklusive inom energisektorn. För organisationer som deltar i sektorsgemensam benchmarking eller nordiska datadelningsinitiativ ger det ett tydligt ramverk för hur data får röra sig. Kaisa opererar inom ett system med definierade dataflöden och gränser, i linje med de transparenskrav som lagen ställer på dataförmedlare.

ePrivacy-direktivet — Direktiv 2002/58/EG

EU:s direktiv om integritet i elektronisk kommunikation, som täcker cookies, kommunikationsdata och trafikövervakning.

ePrivacy gäller för de kommunikationslager som omger Kaisa – sessionsdata i chattgränssnittet, mätardata som överförs via kommunikationsnät och plattformsanalys. Direktivet är för närvarande under revidering (en förordning väntas ersätta det), men kärnprinciperna om dataminimering och skydd av kommunikationsinnehåll påverkar hur AI-chattfunktioner i känsliga driftsmiljöer bör hanteras.