feat(ultraplan-local): v1.6.0 — /ultraresearch-local deep research command

Add /ultraresearch-local for structured research combining local codebase analysis with external knowledge via parallel agent swarms. Produces research briefs with triangulation, confidence ratings, and source quality assessment. New command: /ultraresearch-local with modes --quick, --local, --external, --fg. New agents: research-orchestrator (opus), docs-researcher, community-researcher, security-researcher, contrarian-researcher, gemini-bridge (all sonnet). New template: research-brief-template.md. Integration: --research flag in /ultraplan-local accepts pre-built research briefs (up to 3), enriches the interview and exploration phases. Planning orchestrator cross-references brief findings during synthesis. Design principle: Context Engineering — right information to right agent at right time. Research briefs are structured artifacts in the pipeline: ultraresearch → brief → ultraplan --research → plan → ultraexecute. Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>
2026-04-08 08:58:35 +02:00 · 2026-04-08 08:58:35 +02:00 · baa2d0220b
commit baa2d0220b
488 changed files with 213221 additions and 0 deletions
--- a/skills/ms-ai-engineering/references/azure-ai-services/ai-services-governance-compliance.md
+++ b/skills/ms-ai-engineering/references/azure-ai-services/ai-services-governance-compliance.md
@ -0,0 +1,739 @@
+# Azure AI Services - Data Governance and Compliance
+
+**Last updated:** 2026-02
+**Status:** GA
+**Category:** Azure AI Services (Foundry Tools)
+
+---
+
+## Introduksjon
+
+Data governance og compliance for Azure AI Services handler om å etablere tekniske kontroller som oversetter regulatoriske krav og organisasjonspolicyer til konkrete mekanismer for datahåndtering. Dette omfatter styring av dataaksess, prosessering, lagring, residency, retention og auditlogging.
+
+Azure AI Services (tidligere Cognitive Services) tilbyr innebygde kapabiliteter for å møte både regulatoriske krav (GDPR, HIPAA, ISO-sertifiseringer) og interne governance-policyer. Integrasjon med Microsoft Purview, Azure Policy, Azure Monitor og Key Vault gir en helhetlig styringsmodell som dekker hele datalivssyklusen.
+
+**Primære governance-domener:**
+
+- **Data residency og sovereignty** — kontroll over geografisk lagring og prosessering
+- **Data retention og lifecycle** — styring av hvor lenge data lagres
+- **Audit logging** — sporbarhet og etterlevelse av compliance-krav
+- **Consent management** — brukerstyrt tilgang til personopplysninger
+- **Encryption og key management** — sikkerhet for data at rest og in transit
+
+**Verifikasjonsgrad:** Verified (MCP — microsoft-learn januar 2026)
+
+---
+
+## Kjernekomponenter
+
+### 1. Microsoft Purview for AI Governance
+
+Microsoft Purview er den sentrale governance-plattformen for AI-applikasjoner i Azure-økosystemet.
+
+| Kapabilitet | Beskrivelse | AI Services-støtte |
+|-------------|-------------|-------------------|
+| **Compliance Manager** | Oversetter reguleringer (EU AI Act, GDPR) til tekniske kontroller | ✅ Støttet |
+| **Data Security Posture Management (DSPM) for AI** | Oppdager, sikrer og håndhever compliance-kontroller | ✅ Støttet via Foundry |
+| **Data Classification** | Identifiserer og tagget sensitiv data i prompts/responses | ✅ Støttet |
+| **Sensitivity Labels** | Arver og håndhever merking fra Microsoft 365-data | ✅ Støttet |
+| **Data Loss Prevention (DLP)** | Blokkerer deling av sensitiv informasjon til AI-endepunkter | ✅ Støttet (via Entra-registrerte apps) |
+| **Audit Logging** | Fanger prompts, responses og filtilganger | ✅ Unified Audit Log |
+| **Data Lifecycle Management** | Retention policies for AI-interaksjoner | ✅ Støttet |
+| **eDiscovery** | Søk, bevar og eksporter AI-interaksjoner | ✅ Støttet |
+
+**Konfigurering:**
+
+For å aktivere Purview for Azure AI Services (Foundry):
+
+1. **Via Azure AI Foundry Portal** — Aktiver "Microsoft Purview Data Security" i Control Plane
+2. **Via Microsoft Defender for Cloud** — Aktiver "Data Security for Azure AI with Microsoft Purview"
+
+**Viktig:** Krever pay-as-you-go billing i Purview (audit logging er inkludert i Purview-lisensen).
+
+### 2. Diagnostic Logging
+
+Azure AI Services genererer rike diagnostikklogger for operasjoner, feilsøking og compliance.
+
+**Log-kategorier:**
+
+| Kategori | Innhold | Bruksområde |
+|----------|---------|------------|
+| **Audit** | Alle API-kall, autentiseringshendelser | Compliance, sikkerhet |
+| **RequestResponse** | Full forespørsel/respons-data (inkl. prompts) | Feilsøking, kostnadsstyring |
+| **AllMetrics** | Latency, throughput, feilrater | Ytelsesovervåking |
+
+**Lagringsdestinasjoner:**
+
+- **Azure Storage** — Langtidslagring for compliance (konfigurerbar retention)
+- **Log Analytics Workspace** — Sanntidsanalyse med Kusto Query Language (KQL)
+- **Event Hub** — Streaming til eksterne SIEM-systemer
+
+**Konfigurasjon:**
+
+```bash
+# Via Azure Portal:
+# Resource → Monitoring → Diagnostic settings → Add diagnostic setting
+# Velg kategorier: Audit, RequestResponse, AllMetrics
+# Destinasjon: Storage Account + Log Analytics
+```
+
+**KQL-eksempel — Siste 10 AI Services-operasjoner:**
+
+```kusto
+AzureDiagnostics
+| where ResourceProvider == "MICROSOFT.COGNITIVESERVICES"
+| take 10
+```
+
+### 3. Data Residency
+
+Azure AI Services lagrer og prosesserer data i den geografiske regionen du velger ved opprettelse av ressursen.
+
+**Residency-garanti:**
+
+- Data lagres **kun i valgt Geography** (eks. Europe, Norway)
+- Azure kan replikere innenfor samme Geography for høy tilgjengelighet
+- Data forlater **aldri** Geography uten eksplisitt konfigurasjon
+
+**Unntak:**
+
+- **Telemetry logs** (objektnavn som indexer, skillsets) lagres globalt i 1,5 år for Microsoft-support
+- **Caching-funksjoner** (Enrichment Cache, Debug Sessions) som bruker Azure Storage i annen region
+
+**Offentlig sektor Norge:**
+
+For norsk offentlig sektor anbefales:
+
+- **Norway East** (primær) + **Norway West** (sekundær) for redundans
+- Unngå geo-redundant storage (GRS) som replikerer til andre land
+- Bruk **Locally Redundant Storage (LRS)** eller **Zone Redundant Storage (ZRS)**
+
+**Konfigurasjon:**
+
+```bash
+# Ved opprettelse av AI Services-ressurs:
+Location: "Norway East"
+Storage redundancy: "LRS" (ikke GRS)
+```
+
+### 4. Data Retention og Lifecycle
+
+**Retention-krav per kategori:**
+
+| Data-type | Standard retention | Justerbar? | Slettemekanisme |
+|-----------|-------------------|------------|-----------------|
+| **Diagnostic logs** | 90 dager (Log Analytics default) | ✅ 30-730 dager | Automatisk purging |
+| **Training data** | Ubegrenset (kundestyrt) | ✅ Ja | Manuell sletting via API |
+| **Custom models** | Ubegrenset | ✅ Ja | DELETE-operasjon |
+| **Request/response logs** | 0 dager (opt-in) | ✅ Ja | Storage lifecycle policy |
+| **Purview-captured interactions** | Definerbart via retention policy | ✅ Ja | Data Lifecycle Management |
+
+**Purview Retention Policy (eksempel):**
+
+```yaml
+Policy: "AI Interactions Retention"
+Location: Enterprise AI apps
+Retention: 7 years (norsk arkivlov)
+Action: Delete automatically after period
+```
+
+**GDPR-støtte:**
+
+- **Right to erasure** — Slett brukerdata via Azure Management API
+- **Right to access** — Eksporter via eDiscovery eller Storage-export
+- **Anonymization** — Fjern PII fra logs før langtidslagring
+
+### 5. Consent Management
+
+Azure AI Services støtter ikke innebygd consent management, men integreres med Entra ID og Microsoft Purview for consent tracking.
+
+**Implementasjonsmønster:**
+
+1. **User consent flow** — Autentiser via Entra ID med OAuth2-scopes
+2. **Logging av consent** — Lagre consent-hendelser i Application Insights custom events
+3. **Consent withdrawal** — Trigger deletion av user-specific data via Management API
+
+**Eksempel (pseudokode):**
+
+```typescript
+// 1. Innhent consent ved autentisering
+const consentScopes = ["AIService.ReadWrite", "User.Read"];
+const token = await msalClient.acquireToken(consentScopes);
+
+// 2. Logg consent-hendelse
+appInsights.trackEvent({
+  name: "UserConsentGranted",
+  properties: {
+    userId: token.claims.sub,
+    scopes: consentScopes,
+    timestamp: Date.now()
+  }
+});
+
+// 3. Ved withdrawal — slett brukerdata
+await aiServiceClient.deleteUserData(userId);
+```
+
+### 6. Encryption og Key Management
+
+Azure AI Services krypterer **all data at rest** med Microsoft-managed keys som standard.
+
+**Customer-Managed Keys (CMK):**
+
+Organisasjoner kan bruke egne nøkler fra Azure Key Vault for ekstra kontroll:
+
+| Feature | Microsoft-Managed Keys | Customer-Managed Keys |
+|---------|------------------------|----------------------|
+| **Encryption at rest** | ✅ Default | ✅ Valgfritt |
+| **Key rotation** | Automatisk | Kundekontrollert |
+| **Compliance (GDPR, ISO)** | ✅ Ja | ✅ Ja (med ekstra audit trail) |
+| **Tilgjengelige regioner** | Alle | Alle |
+
+**Konfigurasjon via Azure Policy:**
+
+```json
+{
+  "policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/67121cc7-ff39-4ab8-b7e3-95b84dab487d",
+  "displayName": "Azure AI services should enable data encryption with CMK",
+  "effect": "Audit" // eller "Deny"
+}
+```
+
+**Key Vault-integrasjon:**
+
+- AI Services bruker **Managed Identity** for autentisering mot Key Vault
+- Støtter **automatic key rotation** hvis aktivert i Key Vault
+- Keys kan lagres i **HSM-backed** Key Vault for FIPS 140-2 Level 3
+
+---
+
+## Arkitekturmønstre
+
+### Mønster 1: Multi-Region Compliance Architecture
+
+**Scenario:** Global organisasjon med data residency-krav i EU og Norge.
+
+```
+┌─────────────────────────────────────────────────────┐
+│                Azure Front Door                      │
+│          (Global routing med geo-filtering)          │
+└───────────────────┬─────────────────────────────────┘
+                    │
+        ┌───────────┴────────────┐
+        │                        │
+┌───────▼─────────┐    ┌────────▼────────┐
+│  Norway East    │    │  West Europe    │
+│  AI Services    │    │  AI Services    │
+│  (Norge-data)   │    │  (EU-data)      │
+└───────┬─────────┘    └────────┬────────┘
+        │                       │
+┌───────▼─────────┐    ┌────────▼────────┐
+│ Log Analytics   │    │ Log Analytics   │
+│ Norway East     │    │ West Europe     │
+└───────┬─────────┘    └────────┬────────┘
+        │                       │
+        └───────────┬───────────┘
+                    ▼
+        ┌───────────────────────┐
+        │  Microsoft Purview    │
+        │  (Central governance) │
+        └───────────────────────┘
+```
+
+**Implementeringsprinsipper:**
+
+1. **Geo-routing** — Front Door router norske IP-er til Norway East
+2. **Isolerte workspaces** — Separate Log Analytics per region
+3. **Sentralisert policy** — Purview Compliance Manager håndhever samme policy på tvers
+
+### Mønster 2: Zero-Trust Governance Model
+
+**Scenario:** Offentlig sektor med GDPR/Schrems II-krav.
+
+```
+┌──────────────────────────────────────────────────┐
+│          User (Entra ID + Conditional Access)    │
+└────────────────────┬─────────────────────────────┘
+                     │
+                     │ (User context token)
+                     ▼
+┌──────────────────────────────────────────────────┐
+│      Azure AI Services (Norway East)             │
+│  ┌────────────────────────────────────────────┐  │
+│  │ Microsoft Purview DLP Policy               │  │
+│  │ - Block credit cards, SSN                 │  │
+│  │ - Watermark sensitive outputs              │  │
+│  └────────────────────────────────────────────┘  │
+└────────────────────┬─────────────────────────────┘
+                     │
+         ┌───────────┴───────────┐
+         │                       │
+┌────────▼─────────┐   ┌────────▼──────────┐
+│ Diagnostic Logs  │   │ Purview Audit Log │
+│ (Log Analytics)  │   │ (Unified Audit)   │
+└────────┬─────────┘   └────────┬──────────┘
+         │                      │
+         └──────────┬───────────┘
+                    ▼
+        ┌───────────────────────┐
+        │  Microsoft Sentinel   │
+        │  (SIEM + alerting)    │
+        └───────────────────────┘
+```
+
+**Implementeringsprinsipper:**
+
+1. **User context enforcement** — AI Services arver brukerens Entra ID-tilganger
+2. **Real-time DLP** — Purview blokkerer sensitive prompts før prosessering
+3. **Continuous monitoring** — Sentinel analyserer logs for compliance-brudd
+
+### Mønster 3: Hybrid On-Premises/Cloud Governance
+
+**Scenario:** Skjermingsverdige data som ikke kan forlate Norge.
+
+```
+┌──────────────────────────────────────────┐
+│     On-Premises / Azure Stack HCI        │
+│  ┌────────────────────────────────────┐  │
+│  │  Azure AI Services (Container)     │  │
+│  │  - Text Analytics, OCR, osv.       │  │
+│  │  - Ingen data forlater datacenter  │  │
+│  └────────────────┬───────────────────┘  │
+│                   │                      │
+│  ┌────────────────▼───────────────────┐  │
+│  │  Local Storage (encrypted)         │  │
+│  └────────────────────────────────────┘  │
+└──────────────────────────────────────────┘
+                   │
+                   │ (Metadata only, no content)
+                   ▼
+┌──────────────────────────────────────────┐
+│       Azure (Norway East)                │
+│  ┌────────────────────────────────────┐  │
+│  │  Microsoft Purview                 │  │
+│  │  - Audit metadata                  │  │
+│  │  - Compliance posture              │  │
+│  └────────────────────────────────────┘  │
+└──────────────────────────────────────────┘
+```
+
+**Implementeringsprinsipper:**
+
+1. **Containerized deployment** — Azure AI Services i Docker/Kubernetes on-prem
+2. **Air-gapped content** — Kun metadata (ikke innhold) sendes til Azure
+3. **Hybrid governance** — Purview mottar compliance-telemetri, ikke brukerdata
+
+---
+
+## Beslutningsveiledning
+
+### Når bør du bruke Customer-Managed Keys?
+
+| Scenario | Microsoft-Managed Keys | Customer-Managed Keys |
+|----------|------------------------|----------------------|
+| Offentlig sektor (Norge) | ⚠️ Mulig, men vurder CMK | ✅ Anbefalt (audit trail) |
+| GDPR/HIPAA-regulert | ✅ Tilstrekkelig | ✅ Økt kontroll |
+| Finansielle data | ⚠️ Vurder risikoappetitt | ✅ Anbefalt |
+| Proof-of-Concept | ✅ Enklere oppsett | ❌ Unødvendig kompleksitet |
+
+**Kostnad:** CMK har ingen ekstra Azure AI Services-kostnad, men Key Vault faktureres separat (~$0.03 per 10 000 operasjoner).
+
+### Hvordan velge Diagnostic Log Retention?
+
+```
+┌─────────────────────────────────────────────────┐
+│ Compliance-krav?                                │
+│  → GDPR: 6-7 år                                 │
+│  → Arkivloven (Norge): 7 år                     │
+│  → Helsedata: 10 år                             │
+└───────────────────┬─────────────────────────────┘
+                    │
+        ┌───────────┴────────────┐
+        │                        │
+┌───────▼─────────┐    ┌────────▼──────────┐
+│  Hot tier       │    │  Cool tier        │
+│  Log Analytics  │    │  Azure Storage    │
+│  30-90 dager    │    │  1-10 år          │
+│  $2.30/GB       │    │  $0.01/GB/måned   │
+└─────────────────┘    └───────────────────┘
+```
+
+**Anbefaling:**
+
+- **0-90 dager:** Log Analytics (rask KQL-søk)
+- **90 dager - 7 år:** Azure Storage Cool tier (compliance)
+- **Kostnadskontroll:** Filtrer bort høyfrekvente metrics før lagring
+
+### DLP Policy for AI Services — Hva blokkere?
+
+| Data-type | Anbefaling | Purview-konfigurasjon |
+|-----------|------------|----------------------|
+| **Norske personnummer (11 siffer)** | ✅ Blokker | Custom SIT: `[0-9]{11}` |
+| **Kredittkortnummer** | ✅ Blokker | Built-in SIT: Credit Card |
+| **E-postadresser** | ⚠️ Vurder context | Built-in SIT: Email Address |
+| **Passordhint** | ✅ Blokker | Custom keyword list |
+| **Sensitive filreferanser** | ✅ Blokker hvis encrypted | Sensitivity Label check |
+
+**Konfigurasjon (PowerShell):**
+
+```powershell
+# Opprett DLP-regel for Entra-registrert AI app
+New-DlpComplianceRule -Name "BlockPIIInAIPrompts" `
+  -Policy "AIServicesDLP" `
+  -BlockAccess $true `
+  -ContentContainsSensitiveInformation @(
+    @{Name="Norway National ID Number"; minCount=1},
+    @{Name="Credit Card Number"; minCount=1}
+  ) `
+  -Workload "ThirdPartyApps" `
+  -AppId "<Entra-app-id-for-AI-service>"
+```
+
+---
+
+## Integrasjon med Microsoft-stakken
+
+### Azure AI Foundry
+
+Azure AI Foundry (tidligere Azure AI Studio) er den moderne plattformen for AI-utvikling, med førsteklasses governance-integrasjon.
+
+**Purview-aktivering:**
+
+1. **Foundry Portal** → Control Plane → Security & Compliance → Enable Microsoft Purview Data Security
+2. **Resultater:**
+   - Prompts/responses fanges i Unified Audit Log
+   - Klassifisering av sensitive data i Activity Explorer
+   - Retention policies håndterer AI-interaksjoner
+
+**Agent Identity Management:**
+
+Foundry støtter Microsoft Entra Agent Identity for unik identifisering av AI-agenter:
+
+```yaml
+Agent Identity:
+  Name: "customer-support-bot-prod"
+  Owner: "platform-team@contoso.no"
+  Version: "2.1.0"
+  Lifecycle: "Production"
+  Entra ID: "a1b2c3d4-..."
+```
+
+**Observability:**
+
+- **Agent 365** — Sentralisert visning av alle AI-agenter i organisasjonen
+- **Dashboards** — Real-time metrics for token-forbruk, latency, feilrater
+- **Cost Management** — Allokering av AI-kostnader per avdeling/prosjekt
+
+### Microsoft 365 Copilot
+
+AI Services kan integreres med M365 Copilot-data ved å respektere sensitivity labels:
+
+**Scenario:** RAG-basert AI-agent som søker i SharePoint-dokumenter.
+
+1. **Sensitivity label enforcement** — Hvis dokument er merket "Confidential", krever AI EXTRACT-rett
+2. **User permission inheritance** — AI arver brukerens SharePoint-tilganger
+3. **Audit trail** — Purview logger hvilke dokumenter AI aksesserte
+
+**Konfigurasjon:**
+
+```yaml
+# Azure AI Search index med Purview-integrasjon
+Index: "sharepoint-docs"
+Data source: SharePoint Online
+Security trimming: Enabled (AAD-based)
+Sensitivity label: Enforced (EXTRACT required)
+```
+
+### Power Platform
+
+Power Platform AI Builder bruker samme Purview-infrastruktur.
+
+**DLP Policies for Power Platform:**
+
+```yaml
+Environment: "Production"
+Connector: Azure OpenAI
+Policy: "Block high-risk data"
+Rules:
+  - Block if prompt contains Credit Card Number
+  - Warn if response includes Email Address
+```
+
+---
+
+## Offentlig sektor (Norge)
+
+### Juridiske rammeverk
+
+| Lov/regelverk | Relevans for AI Services | Teknisk tiltak |
+|---------------|--------------------------|----------------|
+| **Personopplysningsloven (GDPR)** | Behandling av personopplysninger | Data residency Norway, CMK, DLP |
+| **Arkivloven** | 7 års oppbevaringsplikt | Retention policies, Storage lifecycle |
+| **Sikkerhetsloven** | Sikkerhetsgradert informasjon | Air-gapped deployment (Azure Stack) |
+| **Schrems II** | Dataoverføring til USA | Norway-only regions, no US support access |
+
+### Anbefalt konfigurasjon for offentlig sektor
+
+```yaml
+AI Services Configuration (Norway Public Sector):
+  Region: Norway East
+  Backup region: Norway West
+  Storage redundancy: ZRS (Zone Redundant, ikke GRS)
+  Encryption: Customer-Managed Keys (Azure Key Vault Norway)
+  Diagnostic logs:
+    Destination: Log Analytics (Norway East)
+    Retention: 7 years (Arkivloven)
+    Categories: Audit, RequestResponse
+  Purview:
+    DLP policies: Block personnummer, kredittkortnummer
+    Sensitivity labels: Enforce EXTRACT right
+    Retention: 7 years
+  Network:
+    Public access: Disabled
+    Private endpoint: Enabled (VNet-integration)
+    Firewall: Restrict to public sector IP ranges
+  Support:
+    Microsoft support access: Disabled (Lockbox not approved)
+    Telemetry: Object names only (no content)
+```
+
+### Data Processor Agreement (DPA)
+
+Microsoft tilbyr standard DPA for Azure-tjenester:
+
+- **EU Model Clauses** — Godkjent mekanisme for dataoverføring
+- **ISO 27018** — Sertifisering for personvern i cloud
+- **Compliance Manager** — Dokumentasjon for revisor
+
+**Dokumenter:**
+
+- [Microsoft Products and Services DPA](https://aka.ms/DPA)
+- [Azure Compliance Documentation](https://learn.microsoft.com/en-us/azure/compliance/)
+
+### Risiko og avbøtende tiltak
+
+| Risiko | Sannsynlighet | Konsekvens | Avbøtende tiltak |
+|--------|---------------|------------|------------------|
+| Data leaks til USA | Lav | Høy | Norway-only regions, disable telemetry |
+| Uautorisert tilgang | Medium | Høy | Private endpoints, Entra Conditional Access |
+| Manglende audit trail | Lav | Medium | Purview Unified Audit Log, 7-års retention |
+| Support-tilgang til data | Lav | Høy | Disable Microsoft support access (Customer Lockbox) |
+
+---
+
+## Kostnad og lisensiering
+
+### Azure AI Services Pricing (Compliance-relatert)
+
+| Komponent | Kostnad | Faktureringsmodell |
+|-----------|---------|-------------------|
+| **AI Services (API-kall)** | Varierer per service | Per transaksjon/token |
+| **Diagnostic logs (Log Analytics)** | $2.30/GB | Data ingestion + retention |
+| **Azure Storage (Cool tier)** | $0.01/GB/måned | Lagring + operasjoner |
+| **Key Vault (CMK)** | $0.03 per 10 000 ops | Per nøkkeloperasjon |
+| **Private Endpoint** | $0.01/time | Per endepunkt |
+
+**Purview-kostnader:**
+
+| Feature | Lisens | Pay-as-you-go |
+|---------|--------|---------------|
+| **Audit (Unified Log)** | ✅ Inkludert | — |
+| **DLP Policies** | ❌ Krever E5/F5 | ✅ $2 per user/måned |
+| **Sensitivity Labels** | ❌ Krever E3/E5 | ✅ $1 per user/måned |
+| **DSPM for AI** | ❌ Ikke i standard lisens | ✅ $5 per AI app/måned |
+
+**Kostnadsoptimalisering:**
+
+1. **Filtrer metrics** — Ikke logg høyfrekvente metrics som ikke trengs for compliance
+2. **Cool tier migration** — Flytt logs > 90 dager til Azure Storage Cool tier
+3. **Sampling** — Bruk Application Insights sampling (eks. 10% av requests) for ikke-compliance-logs
+
+### Lisensiering for compliance-features
+
+**Microsoft 365:**
+
+- **E3** — Sensitivity labels, basis DLP
+- **E5** — Avansert DLP, Insider Risk Management, eDiscovery
+- **F5** — Frontline workers med DLP
+
+**Azure:**
+
+- **Azure AI Services** — Ingen ekstra lisens for governance-features (betaler kun for API-bruk)
+- **Microsoft Purview** — Pay-as-you-go eller inkludert i M365 E5
+
+**Anbefaling for offentlig sektor:**
+
+- **Minimum:** Azure AI Services + Purview pay-as-you-go (DLP + Audit)
+- **Anbefalt:** M365 E5 (full compliance-suite) + Azure AI Services
+
+---
+
+## For arkitekten (Cosmo)
+
+### Sentrale beslutningspunkter
+
+**1. Data residency-valg:**
+
+**Spørsmål til kunden:**
+- "Har dere juridiske krav til at data ikke kan forlate Norge?"
+- "Er data klassifisert som sikkerhetsgradert (konfidensielt/hemmelig)?"
+
+**Avgjørelsestre:**
+
+```
+Sikkerhetsgradert data?
+├─ Ja → Azure Stack HCI (on-premises) eller Azure Government
+└─ Nei → Norway East + Norway West
+          ├─ GDPR/Schrems II-bekymringer?
+          │  ├─ Ja → Disable telemetry, CMK, Private endpoints
+          │  └─ Nei → Standard konfigurasjon OK
+          └─ Kostnadsoptimalisering?
+             ├─ Ja → West Europe (billigere, men EU-residency)
+             └─ Nei → Norway East (best latency)
+```
+
+**2. Logging og retention:**
+
+**Spørsmål til kunden:**
+- "Hvor lenge må dere oppbevare audit logs? (Arkivloven sier 7 år)"
+- "Trenger dere real-time alerting på compliance-brudd?"
+
+**Anbefalinger:**
+
+- **Offentlig sektor:** 7 år retention i Azure Storage Cool tier
+- **Privat sektor (GDPR):** 6 år retention (etter oppbevaringsplikt)
+- **Real-time alerting:** Log Analytics + Microsoft Sentinel
+
+**3. DLP-konfigurasjon:**
+
+**Spørsmål til kunden:**
+- "Hvilke datatyper er mest kritiske å beskytte? (Personnummer, helseopplysninger, etc.)"
+- "Skal AI-tjenesten blokkere eller bare advare ved sensitiv data?"
+
+**Konfigurasjonsmønster:**
+
+```yaml
+DLP Strategy:
+  Phase 1 (Audit):
+    Action: Log only
+    Duration: 30 days
+    Goal: Forstå datamønstre
+  Phase 2 (Warn):
+    Action: User warning (can override)
+    Duration: 60 days
+    Goal: Brukeropplæring
+  Phase 3 (Block):
+    Action: Hard block
+    Goal: Håndheve compliance
+```
+
+### Vanlige fallgruver og løsninger
+
+| Fallgruve | Symptom | Løsning |
+|-----------|---------|---------|
+| **Telemetry til USA** | Object names (index names) lagres i USA | Ikke bruk sensitive navn i Azure-ressurser |
+| **GRS replikerer til annet land** | Data kopieres til paired region utenfor Norge | Bruk LRS eller ZRS for Norge-only |
+| **Manglende audit trail** | Ingen logs i Purview | Aktiver Diagnostic Settings + Purview Data Security |
+| **Support får tilgang til data** | Microsoft support kan se data ved tickets | Disable support access via Customer Lockbox |
+| **Høye Log Analytics-kostnader** | $1000+ per måned for small-scale | Filtrer bort verbose metrics, bruk Storage Cool tier |
+
+### Sjekkliste før produksjonsdeploy
+
+**Governance & Compliance Checklist:**
+
+```markdown
+□ Region valgt (Norway East for offentlig sektor)
+□ Storage redundancy satt til LRS/ZRS (ikke GRS)
+□ Customer-Managed Keys konfigurert (hvis påkrevd)
+□ Diagnostic Logging aktivert (Audit + RequestResponse)
+□ Log Analytics Workspace opprettet (Norway East)
+□ Retention policy satt (7 år for Arkivloven)
+□ Microsoft Purview Data Security aktivert
+□ DLP policies opprettet og testet
+□ Sensitivity labels konfigurert (hvis M365-integrasjon)
+□ Private Endpoint aktivert (disable public access)
+□ Network firewall rules konfigurert
+□ Entra Conditional Access policies applied
+□ Audit log-søk testet (verifiser data fanges)
+□ eDiscovery-eksport testet (verifiser GDPR-slettingsevne)
+□ Kostnadsvarsler satt (budsjettmål)
+□ Dokumentasjon for revisor ferdigstilt
+□ Data Processor Agreement signert (DPA)
+```
+
+### Kommunikasjon med interessenter
+
+**For juridisk avdeling:**
+
+"Azure AI Services er GDPR-compliant ut av boksen, men krever konfigurasjon for Norge-spesifikke krav. Vi anbefaler Norway East-region med Customer-Managed Keys og 7 års audit log retention for å møte Arkivloven. Microsoft tilbyr standard Data Processor Agreement (DPA) med EU Model Clauses."
+
+**For økonomiavdeling:**
+
+"Compliance-funksjoner som audit logging og encryption er inkludert i Azure AI Services-prisen. Microsoft Purview DLP koster ca. $2 per bruker per måned (pay-as-you-go). Log retention i Azure Storage Cool tier koster ca. $0.01 per GB per måned. Estimert totalkostnad for governance: 5-10% av total AI Services-kostnad."
+
+**For sikkerhetsavdeling:**
+
+"Vi konfigurerer Private Endpoints (ingen public internet access), Customer-Managed Keys (full nøkkelkontroll), og real-time DLP-blokkering av personnummer. All aktivitet logges til Microsoft Purview Unified Audit Log med 7 års retention. Microsoft Sentinel kan alertere ved avvik. Support-tilgang fra Microsoft kan deaktiveres via Customer Lockbox."
+
+### Ytterligere ressurser
+
+**For dypdykk i spesifikke områder:**
+
+- **Data residency-detaljer** → Les `data-residency-sovereignty.md` (når tilgjengelig)
+- **Audit logging-patterns** → Les `audit-logging-patterns.md` (når tilgjengelig)
+- **Encryption og key management** → Les `encryption-key-management.md` (når tilgjengelig)
+
+**Eksterne lenker:**
+
+- [Microsoft Trust Center — Azure Compliance](https://www.microsoft.com/en-us/trust-center/compliance/compliance-overview)
+- [Azure compliance documentation](https://learn.microsoft.com/en-us/azure/compliance/)
+- [Microsoft Purview documentation](https://learn.microsoft.com/en-us/purview/)
+
+---
+
+## Kilder og verifisering
+
+**Verifikasjonsmetode:** Microsoft Learn MCP (microsoft-learn) januar 2026
+
+**Primærkilder (Verified):**
+
+1. **Governance and security for AI agents across the organization**
+   https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ai-agents/governance-security-across-organization
+   *Sist bekreftet: 2026-02*
+
+2. **Use Microsoft Purview to manage data security & compliance for Microsoft Foundry**
+   https://learn.microsoft.com/en-us/purview/ai-azure-services
+   *Sist bekreftet: 2026-02*
+
+3. **Enable diagnostic logging for Azure AI services**
+   https://learn.microsoft.com/en-us/azure/ai-services/diagnostic-logging
+   *Sist bekreftet: 2026-02*
+
+4. **Azure, Dynamics 365, and Power Platform accountability readiness checklist for GDPR**
+   https://learn.microsoft.com/en-us/compliance/regulatory/gdpr-arc-azure-dynamics
+   *Sist bekreftet: 2026-02*
+
+5. **Govern Azure platform services (PaaS) for AI**
+   https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/scenarios/ai/platform/governance
+   *Sist bekreftet: 2026-02 (via search)*
+
+6. **Azure security baseline for Azure AI services**
+   https://learn.microsoft.com/en-us/security/benchmark/azure/baselines/cognitive-services-security-baseline
+   *Sist bekreftet: 2026-02 (via search)*
+
+**Sekundærkilder (Baseline-kunnskap, verifisert mot MCP-søk):**
+
+- Azure Policy for AI Services
+- Microsoft Purview Compliance Manager
+- Azure Monitor og Log Analytics
+- Key Vault integration
+- Data residency commitments (Azure global infrastructure)
+
+**Confidence-gradering:**
+
+- ✅ **Verified** — Bekreftet via MCP microsoft-learn dokumentasjon (januar 2026)
+- ⚠️ **Baseline** — Basert på modellkunnskap, ingen motstridende MCP-data funnet
+
+**Total antall MCP-kall:** 8 (4 docs_search + 4 docs_fetch)
+**Unike kilder:** 6 primærkilder + 4 sekundærkilder fra søk
+**Sist oppdatert:** 2026-02-03