Universitetet har en IT-virksomhet med god kapasitet, funksjonalitet, tilgjengelighet og sikkerhet, samt og ikke minst, – kompetanse til å drive, forvalte, vedlikeholde og videreutvikle virksomheten i tråd med endringer i brukernes og institusjonens behov. Universitetet har en sterk IT-organisasjon med dyp og bred kompetanse innenfor viktige områder for universitetet og et fagmiljø som kjenner universitetets virksomhet godt.
Underveis er det tatt flere riktige teknologiske og strategiske veivalg som sammen med oppfølgingen av Masterplan (2019) med budsjettmessige satsinger og engasjementet fra universitetsledelsen gjennom de strategiske koordineringsgruppene, har gitt et godt grunnlag for videreutvikling og styrking av IT-virksomheten. Siden Masterplan (2019) har det skjedd vesentlige endringer i både indre og ytre rammebetingelser for IT-virksomheten:
- På den ene siden, – med IT i økende grad innvevd og integrert i virksomheten vil det stil¬les større krav både til tilrettelegging og tilpassing til institusjonens behov og til brukernes generelle og fagnære IT-kompetanse og IT-ferdigheter samt evne til å ta gode IT-valg i sin virksomhet
- På den andre siden, – utviklingen av kunstig intelligens (KI) kombinert med endringer knyttet til skytjenester og skyteknologi og med et stadig mer utfordrende trusselbilde når det gjelder informasjonssikkerhet, stiller sterkere krav til IT-virksomhetens kompetanse, endringsevne og beredskap
Utsikten til trangere økonomiske rammer vil kreve smarte retningsvalg og tydelige prioriteringer fra universitetet og IT-avdelingen på alle nivåer i IT-virksomheten, – IT-infrastruktur og IT-tjeneste-produksjon, IT i forskning, IT i utdanning og administrativ IT, jfr. anbefalingene i del 3.
2.1: Data – Eierskap, kontroll, tilrettelegging, tilgang og bruk
Eierskap, kontroll, tilrettelegging, tilgang og bruk av egne data er en nøkkelfaktor i tilrettelegging og tilpassing av IT-løsninger til universitetets behov. Data er samtidig det som gjør kunstig intelligens (KI) nyttig, – jo bedre tilrettelagt og kvalitativt gode data er, jo bedre vil IT-løsninger, inkludert KI-løsninger kunne tilrettelegges for universitetet. Et eksempel er prosessarbeidet som nå er startet, – gode, tilgjengelige data er essensielle for å forenkle, forbedre og digitalisere universitetets prosesser. Oppmerksomheten om dette er økende og gjør at mange har startet med å hente hjem egne data lagret i systemer og tjenester andre kontrollerer.
Universitetet bør sikre bedre eierskap til egne data. Dette er grunnleggende for autonomi og suverenitet i utviklingen av IT-løsninger for universitetet og for å sikre åpenhet, gjennomsiktighet og tilrettelegging for gjenbruk. Spesielt viktig er det å sikre data når det inngås avtaler om anskaffelse av skytjenester eller andre løsninger der data produseres og lagres utenfor egen infrastruktur. Så langt det er praktisk og tek-nisk mulig bør de av universitetets data som benyttes i slike systemer produseres i egne løsninger og tilgjengeliggjøres for systemene derfra. Det er også viktig å sikre exit-bestemmelser som gjør det enkelt og billig å hente ut egne data når bruk av tjenestene og løsningene avvikles.
For å følge opp eierskapet til data må universitetet ta et løft og tilrettelegge for en målrettet forvaltning og utøvelse av opphavsrett til data produsert ved universitetet. Dette gjelder både data og informasjon som legges ut i det fri, eksempelvis på universitetets nettsted, og data og informa¬sjon der det er krav om ulike grader av kontrollert tilgang.
Eierskapet må følges opp med tiltak for å sikre datakvalitet og gi best mulig oversikt over hvilke data universitetet har, og hvor de befinner seg. Ved siden av mengden så er det kvaliteten på tilgjengelige data som avgjør hvor gode og treffsikre IT-systemer og IT-tjenester blir og hvor godt trent og tilrettelagt KI-modeller og KI-tjenester univer¬sitetet ønsker seg kan bli.
2.2: Kompetanse, IT-infrastruktur og IT-tjenester på egen kjøl
Ved universitetet er det opparbeidet betydelig bred og dyp IT-kompetanse i IT-avdelingen (USIT) og i mange andre deler av institusjonen. Dette har muliggjort et omfattende, rimelig og effektivt regime for drift, vedlikehold, forvaltning og utvikling av IT-løsning¬er tilpasset universitetets virksomhet og samtidig muliggjort satsing på digital autonomi og suverenitet og selvstyring i utviklingen av IT-virksomheten.
Ett av de viktigste retningsvalgene det siste tiåret har vært bruk av skyteknologi og skytjenester der myndighetene for en tid tilbake ga en sterk anbefaling av ‘sky først’, men der retorikken i dag er vesentlig mer dempet. ‘Sky først’ innebar i stor grad å bygge IT-løsninger – alt fra infrastruktur til brukertjenester – på (kommersielle) skyleverandører og mange gikk til dels svært langt i den retningen.
I universitetets IT-virksomhet ble en annen vei valgt, en vei som innebar å benytte skyteknologi til å bygge infrastruktur og tjenestetilbud på egen kjøl, benytte åpen programvare og integrere andres skytjenester og produkter i denne. Dette er en infrastruktur organisasjonen selv har kontroll på og kan tilpasse utviklingen til egne behov og peker i retning av digital autonomi og suverenitet med selvstyring i utviklingen av egen IT-virksomhet.
Det er ingen prinsipiell forskjell mellom infrastruktur på egen kjøl, slik tilfellet er på universitetet, og infrastruktur levert av kommersielle skyleverandørene som Amazon, Google, Microsoft med flere. De samme komponentene gjenfinnes på maskinrommene begge steder, det samme gjelder prinsippene og arkitekturen som ligger til grunn for tjenest¬ene. Forskjellen ligger i maskinvare, datakraft, nettverk etc som inngår og dermed omfanget og funksjonaliteten i de tjenestene som leveres. Hos de store kommersielle skyleverandørene fås alt mulig av brukertjenester i nyeste utgave med god kvalitet, godt integrert og sikret i deres infrastruktur, i en skyinfrastruktur på egen kjøl fås det som penger, kompetanse, tid og andre forhold muliggjør.
Med kommersielle skytjenester følger kostnader (og manglende kostnadskontroll). Her er det kun snakk om leiekontrakter og leiekostnader. Dette benyttes også i økende grad på andre produkter, inkludert utstyr. Den endrer maktforholdene mellom utleier (selger) og leietaker (kjøper) og gir utleier helt andre muligheter til plutselige og kraftige prisendringer enn ved kjøp. Framveksten av kunstig intelligens forsterket dette med prisøkninger langt større enn det den generelle prisøkningen, endringer i valutakurser og andre forhold skulle tilsi for å skaffe kapital til investering i KI-maskinvare.
Leiekontrakter øker også potensialet for overlisensiering ved at institusjonen betaler leie for langt flere lisenser enn de som faktisk brukes og prisen er den samme uavhengig av om lisensen brukes en eller mange ganger i løpet av leieperioden. For å redusere overlisensieringen kan det være aktuelt å flytte finansieringen av brukerlisenser nærmere brukerne til fakultetsnivå og/eller instituttnivå der det er bedre muligheter for oversikt over hvor mange som har faktisk behov for programvaren. Et annet tiltak kan være å tilrettelegge billigere eller gratisalternativer for brukere som ikke har behov for all funksjonalitet i lisensprogramvaren.
Kommersielle skytjenester gir en overhengende fare for innlåsing. Fra brukersiden invest¬eres det store ressurser i å tilrettelegge bruk og bygge kompetanse hos brukerne på tjenester som bare leies. Problemene oppstår i det øyeblikk det er aktuelt å skifte leverandør. Det viser seg ofte å være svært dyrt og ressurskrevende og kostnadene blir raskt så store at exit blir uaktuelt. Dette øker faren for en utvikling fra en verden med stor grad av åpenhet til en verden der innhold og virksomhet i økende grad lukkes inne i ulike systemer og tjenester hos kommersielle (sky-)leverandører, og der tilrettelegging og tilpassing til egne behov blir krevende økonomisk. Det største problemet her er innlåsing av data. Dette kan motvirkes ved at data produseres og lagres i egenkontrollerte løsninger og deretter tilgjengeliggjøres for de skytjenestene som skal benytte dem.
Kostnadsøkningene, faren for innlåsing, behovet for kontroll med egen data tilsier at det bør tas grep som reduserer avhengigheten av kommersielle og proprietære løsninger og bygge løsninger basert på åpne standarder slik myndighetene anbefaler.
Satsing på infrastruktur og tjenester på egen kjøl krever både bred og dyp kompetanse i IT-organisasjonen. Samtidig utvikler og rekrutterer det kompetanse siden det skaper attraktive arbeidsplasser med interessante og utfordrende oppgaver. Dette har lagt grunnlag for egenutvikling av løsninger innenfor områder av stor interesse og viktighet for universitetet, blant annet Tjenester for sensitive data (TSD), Educloud, Nettskjema, Mine studier og Timeplanlegging (TP).
I det strategiske valget mellom egenutvikling og kjøp av skyløsninger er det nødvendig å tilstrebe en balanse basert på en klar oppfatning av hva universitetet og IT-avdelingen skal være gode på og hva den ikke trenger å være god på. Dette må stemme overens med hva universitetet vil være gode på, har høy interesse og er av stor viktighet for og som det er vesentlig at universitetet har kompetanse på. Egenutvikling og egen kom¬petanse nært brukerne fremmer bruker- og domenenær tilpassing til universitetets og brukernes behov og tilrettelegger for god drift, forvaltning og videreutvikling, inkludert håndtering av teknisk gjeld.
Videre samsvarer dette med universitetets mål om å redusere konsulentbruk og kjøp av tjenester på områder der universitetet har vedvarende behov for egen kompetanse. For andre områder vil det være mer hensiktsmessig og effektivt å vurdere anskaffelse av en ferdig løsning (i skyen) forutsatt at det kan gjøres med god kostnadskontroll, betingelser som sikrer åpenhet og kontroll, styring og eierskap til data, samt gode integrasjoner og en exit-strategi som minimerer kostnadene ved å bytte løsning og leverandør. Balansen mellom disse to må vurderes nøye og være basert på hva som tjener universitetet best.
2.3: Kunstig intelligens (KI) til universitetet
Høsten 2022 ble ChatGPT lansert og satte kunstig intelligens (KI) og spesielt store språk¬modeller (LLM – Large Language Model) på topp av prioriteringslista for store deler av IT-bransjen. Det er liten tvil om at KI vil ha gjennomgripende konsekvenser for IT-virksomheten og det meste av annen virksomhet på universitetet og ellers i samfunnet. Universitetet var tidlig ute med tjenester som utnyttet denne teknologien med tale-til-tekst-tjenesten Whisper og GPT UiO.
Det er mange åpne spørsmål knyttet til utviklingen innen KI og universitetet må priori¬tere å ta noen grunnleggende retningsvalg som peker i retning av hensiktsmessig bruk av KI i institusjonens virksomhet, og bruk av KI i utviklingen av IT-virksomheten.
KI til Universitetet i Oslo understreker at KI er IT-tjenester og underlagt de sam¬me rammene og retningslinjene som gjelder for universitetets IT-virksomhet når det gjelder IT-sikkerhet, personvern, opphavsrett og andre juridiske og regulatoriske bestemmelser (inkludert EUs AI Act), bestemmelser om universell utforming, samt etiske retningslinjer. I tillegg kommer KI-spesifikke retningslinjer. KI-ressurser som utvikles eller kjøpes skal som hovedregel etableres innenfor ordinært drifts- og forvaltningsregime for universitetets IT-tjenester i IT-avdelingen eller etter avtale med denne. Samtidig er KI ikke primært et teknologisk spørsmål, men en drivkraft som vil endre arbeidsprosesser, lærings- og undervisningsformer og forholdet til innhold av alle slag. Hvordan dette utspiller seg vil avhenge av hvilke grep universitetet tar på institusjonelt nivå for å styre dette.
Utviklingen av KI-virksomheten, språkmodellene og tjenester som bygger på dette ligner sterkt utvikl-ingen av skytjenester. Det er i stor grad de samme aktørene som er store i markedet for skytjenester som leder an i utviklingen, og det er der markedsmakt konsentreres. Årsaken til dette er at de sitter på enorme mengder av data som kan brukes til å trene modellene, kombinert med enorme mengder regnekraft. De kan derfor levere det fremste av KI-teknologi og KI-tjenester, men kostnadene er svært høye og kommer med de samme ulempene som skytjenestene levert av de samme, – fare for innlåsing og mangel på kontroll av bruk av data, manglende styring av utviklingen, redusert åpenhet og store kostnader. Alternativer eksisterer, de ligger gjerne noe etter de store i utviklingen, men er billigere og åpnere og kan gi bedre muligheter for utvikling av KI-løsninger tilpasset universitetets behov, og kan gi bedre mulighet til å utøve eierskap og kontroll med universitetets data.
Data er det disse teknologiene og løsningene lever av. For at universitetet skal kunne utnytte dette på en god måte i sin virksomhet er første skritt å skape orden i eget hus. Det må kartlegges hvilke data universitetet rår over og disse må tilrettelegges slik at de kan brukes til å trene KI-løsninger tilpasset universitetets behov. I forlengelsen av dette må det tilrettelegges slik at algoritmer (‘foundation models’) kan trene på datamengden slik at det i neste omgang utvikles tilpassede applikasjoner og prosesser kan digitaliseres.
Kunnskap, kompetanse og ferdigheter innen kunstig intelligens er avgjørende for å lykkes. Dette gjelder forskere, undervisere, administrativt ansatte, studenter og IT-avdelingen, samt ledelse på alle nivåer. Spesielt skal studenter og ansatte gis gode muligheter til å tilegne seg kunnskap om og erfaring med kunstig intelligens slik at KI-verktøy kan utnyttes godt og effektivt i studie- og arbeidshverdagen innenfor de rammer som gjelder. Dette innebærer at det sentralt og lokalt på universitetet må organiseres gode støttetjenester som kan stå for opplæring, veiledning og brukerstøtte og sikre god kommunikasjon, informasjon og dokumentasjon.
2.4: Informasjonssikkerhet, trusselbilde, personvern, lov-/regelverk
Både sikkerhetssituasjonen generelt og den teknologiske utviklingen har endret et allerede utfordrende trusselbilde når det gjelder informasjonssikkerhet, noe det redegjøres nærmere for i IT-avdelingens årlige rapport om arbeidet med informasjonssikkerhet og personvern til universitetsstyret. I dette vil også konsekvenser av utviklingen i det sikkerhetspolitiske bildet i større grad måtte hensyntas. Det gamle skillet mellom inn- og utsiden gjelder ikke lenger, alt må sikres (‘Zero Trust’) gjennom riktig autentisering, tilgangsstyring, kontroll og tiltak for å beskytte brukerne, samt bygge robuste tjenester.
Konsekvensene er enda sterk¬ere krav til arbeidet med informasjonssikkerhet og arbeidet med sikring av universitetets virksomhet, ressurser, brukere og verdier i årene fram¬over, samtidig som det satses på å øke brukernes kunnskap og kompetanse på området. Truslene rettes i større grad direkte mot brukerne. Det er derfor nødvendig å prioritere høyt arbeid med opplæring og veiledning av brukerne og bedre kommunikasjon, informasjon og dokumentasjon. Dette for å bygge en sikkerhets¬kultur blant bruk¬ere og ledelse slik at de tar gode og sikre valg i sin virksomhet. Det må også vurderes om opplæring i noen tilfeller bør være obligatorisk før brukere får tilgang til spesifikke tjenester og ressurser. Fra 2026 er det innført et obligatorisk grunnkurs i personvern og IT-sikkerhet for alle ansatte ved UiO.
I perioden med Masterplan (2019) er det gjennomført omfattende tiltak for bedre sikring av tjenester og ressurser. Det mest omfatt¬ende og antakeligvis viktigste er innføringen av tofaktorautentisering for praktisk talt alle IT-tjenester med innlogging. Det er også gjennomført tiltak som har ryddet i og i vesentlig grad redusert angrepsflatene. Samtidig har IT-organisasjonens evne til å overvåke virksomheten og oppdage sikkerhetshull og potensielle sikkerhetshendelser økt gjennom bedre løsninger for overvåking, logging og logganalyse.
Endringer i lovverk og regulatoriske bestemmelser (nasjonalt og spesielt innenfor EU/EØS-området) knyttet til områder som personvern, informasjonssikkerhet, eksportkontroll, kunstig intelligens med mer griper i økende grad inn i IT-virksomheten. Dette vil medføre kostnader som det er vanskelig å unngå, noe erfaringene med oppfølgingen av bestemmelsene om personvern (GDPR) og universell utforming (UU) tydelig viste. Det er vesentlig å sikre at nye brukertjenester og brukerprogrammer er i tråd med lov-og regelverk før de tas i bruk på universitetet. Det bør derfor vurderes tiltak som gjør det enklere og raskere å avklare dette når nye løsninger ønskes tatt i bruk.
2.5: IT- og KI-virksomhetens klima- og miljøavtrykk
En eskalerende klima-, miljø-, ressurs- og energikrise medfører at hensyn til bærekraft og det grønne skiftet vil legge føringer for tekniske veivalg og løsninger i en IT-bransje som allerede i dag har et vesentlig klima- og miljøavtrykk. Med utviklingen av kunstig intelligens (KI) er det åpenbart at dette vil øke flerfoldige ganger i de nærmeste årene.
Arbeid med kartlegging av muligheter for å redusere og minimere klima- og miljøkonsekvensene av IT-virksomheten må prioriteres. Et aktuelt område er tiltak knyttet til maskinrommene som ble bygd i en tid da strømsparing og varme¬gjenvinning ikke var et like aktuelt tema som det er i dag. Samtidig må universitetet benytte vesentlig regnekraft og lagringsressurser til å utvikle kommende arbeidstakeres evne til å løse de store globale utfordringene.
2.6: Brukeropplevelse og brukernes IT-kompetanse og –ferdigheter
Fra brukersiden er det behov for fortsatt arbeid med bedre brukeropplevelse i mange tjenester og at brukeropplevelse prioriteres ved innkjøp, utvikling, tilrettelegging og vedlikehold av IT-løsninger ved universitetet. I alt arbeid med brukeropplevelse og tilrettelegging av brukergrensesnitt skal lovpålagte krav om universell utforming (UU) ligge til grunn.
Standardisering bør gjennomføres der det er mulig og hensiktsmessig og der det er potensiale for gevinster på mange områder. En viktig ledetråd bør være at studenter og ansatte skal kjenne seg igjen i og møte samme studie- og arbeidsomgivelser når de flytter mellom fag og fakulteter eller deltar i tverrfaglige aktiviteter.
Overordnet må det prioriteres tiltak som styrker brukernes muligheter til å ta gode og sikre valg i sin IT-bruk og bruke tilgjengelige tjenester og ressurser formålstjenlig, sikkert og effektivt i sin virksomhet. Dette vil kreve et løft av kurs og opplæringstilbudet i form av korte (lyn-)kurs og lengre kurs, både fysiske og nettbaserte for å styrke både generell og fagnær IT-kompetanse og IT-ferdigheter. Samtidig er det behov for et løft når det gjelder kommunikasjon, informasjon og dokumentasjon og gjøre det mer bruker- og oppgaverettet. I forbindelse med etableringen av en ny IT-avdeling for UiO i 2023, ble det etablert et felles kontaktpunkt for ansatte og studenter som søker informasjon, veiledning og assistanse i sine valg og sin IT-bruk. Etableringen av kontaktpunktet IT-hjelp har vært svært vellykket og bruken er stor og stadig voksende.
Det bør avklares hva som kan kreves av IT-kompetanse og IT-ferdigheter for å være student eller ansatt på universitetet og om det for visse tjenester kan stilles krav til brukerne/brukergrupper om obligatorisk opplæring før de får tilgang. Personvern, tilgang til TSD og IT-sikkerhetsarbeid er eksempler på emner der dette kan være aktuelt. Opplæring innen videregående emner kan ha interessenter også utenfor universitetet og dette kan inngå i universitetets etter- og videreutdanningstilbud.
Det er et stort behov og utbredt ønske om tydeligere retningslinjer, veiledninger og beste praksis fra både universitetsledelsen og fra IT-avdelingen på flere områder. Spesielt etterspurt er anbefalinger av hvilke samarbeids- og samskrivingsløsninger som skal benyttes til ulike formål. Like etterspurt er anbefalinger av hvilke lagringsalternativer som skal benyttes i gitte situasjoner for lovlighet, for oversikt og gjenfinning, samt for å gi universitetets kontroll på egne data. I tilknytning til retningslinjene skal det legges vekt på god beskrivelse av beste praksis. Dette er et område som plager mange bruker og utgjør en tidstyv og potensiell sikkerhetsrisiko.
Etter innføringen av multifaktorautentisering må universitetet også ta i bruk rollebasert tilgangsstyring og mer komplett Single Sign-On (SSO) for å forenkle og effektivisere innlogging og gi brukerne tilgang til riktige ressurser til riktig tid.
Bruken av bærbart og mobilt utstyr øker, og i enkelte miljøer er det tatt grep for å standardisere på en bærbar PC pr ansatt. Det må vurderes hva dette vil kreve av endringer i brukermiljø og arbeidsflate og hva som eventuelt må til for at en slik anbefaling kan gjelde hele universitetet. Universitetet bør innføre en ‘kun en bærbar datamaskin’-policy fra og med 2026 (mobiltelefon og nettbrett er unntatt), men være åpen for unntak som er begrunnet i faglige, HMS-messige eller andre forhold av mer praktisk eller personlig art.
2.7: Nye økonomiske rammebetingelser
Den økonomiske utviklingen er i beste fall usikker og signaler fra offentlig myndigheter tyder på strammere budsjetter og (muligens) sterkere politisk styring av virksom¬heten innen forskning og utdanning.
En bærekraftig finansieringsmodell for IT-virksomheten var et prioritert område i Masterplan (2019) og universitetsstyrets vedtak om dette. Arbeidet med dette er ikke sluttført og må gjenopptas for å etablere en finansieringsmodell som tilrettelegger for videreutvikling av IT-virksomheten i tråd med institusjonens og brukernes behov. Viktige elementer vil være:
- Klargjøring av hva grunntildelingen til IT-avdelingen skal dekke av IT-infra¬struktur og felles IT-tjenester/-løsninger, og hva som må finansieres på andre måter. Dette må konkretiseres i en modell som sikrer fullfinansiering av drift, forvaltning og videre¬utvikling av alt som skal være tilgjengelig for alle brukerne
- En flerårig, rullerende investeringsplan med utgangspunkt i de ulike delenes tekniske og økonomiske levetid og trender i bruksmøn¬ster og omfang
- Ordninger som sørger for fullfinansiering av lovpålagte tiltak, samt føringer gitt av departementet og politiske myndigheter
- Ordninger som plasserer leie- og lisenskostnader slik at alle får tilgang til det de har behov for samtidig som risiko for overlisensiering minimeres
- Tilstrekkelige strategimidler for å sikre at utvikling av IT-virksomheten skjer i tråd med endringer i bruksmønster og utviklingen av universitetets og brukernes behov
IT-virksomheten må innstille seg på en situasjon med innstramminger i universitetets budsjett i årene som kommer. Dette vil kreve tydeligere prioriteringer av ressursene og derigjennom økt innsats når det gjelder planlegging og budsjettering. Den økonomiske situasjonen vil også stille krav til sannsynlig-gjøring av nytteverdien av nye tiltak og aktiviteter som ønskes satt i gang. For større tiltak bør det vurderes innført en rutine med en enkel konsekvensvurdering før oppstart. Denne må omfatte en grundig vurdering av om de nye tiltakene gjør at noen av eksisterende tjenester kan avvikles. Det må også vurderes om det er tjenester som i liten grad brukes og som dermed kan avvikles uten betydelige konsekven¬ser for å frigjøre ressurser og kompetanse.
Strategimidlene har hittil for det meste gått til utviklingsprosjekter, mens finansieringen av drift og forvaltning av de ferdige løsningene har vært mer eller mindre ad hoc. For årene som kommer må bruken av utviklingsmidler dreies i retning av livsløpskostnader slik at også drift og forvaltning dekkes.