Trg GRC 2026: kaj Forrester, Verdantix in GRC 20/20 pravijo o umetni inteligenci in platformah

Zakaj se leta 2026 splača pogledati analitike

Skoraj vsak ponudnik programske opreme GRC leta 2026 govori o agentih umetne inteligence. Kdor prebere aktualne analize velikih opazovalcev trga, pa najde precej treznejšo bilanco. Forrester, Verdantix in GRC 20/20 Research neodvisno drug od drugega pridejo do podobnega rezultata: platforme GRC se morajo temeljito spremeniti, funkcije umetne inteligence, ki se danes prodajajo, pa tega zaenkrat skoraj ne zmorejo.

Za podjetja, ki prav zdaj izbirajo platformo GRC ali posodabljajo svoj sistem upravljanja informacijske varnosti, je to pomembno vodilo. Ta prispevek povzema javno dostopne ugotovitve treh analiz, prikazuje njihove skupne točke in iz njih izpelje vprašanja za preverjanje pri izbiri.

Tri analize na kratko

Forrester: od System of Record do System of Action

Konec maja 2026 je Forrester objavil Wave za platforme za upravljanje, tveganja in skladnost ter v njem ocenil dvanajst ponudnikov. Analitika Paul McKay in Cody Scott opisujeta trg z veliko protivetra: številne platforme še vedno zahtevajo preveč ročnega vnosa podatkov, ponujajo le preprosto avtomatizacijo delovnih tokov in so za svoj današnji namen preveč zapletene, okorne in drage. Forrester

Hkrati Forrester pričakuje, da se bo namen teh platform v naslednjih 18 do 24 mesecih temeljito spremenil. Doslej so bila orodja GRC predvsem System of Record: beležijo rezultate ocen tveganj, preverjanj skladnosti in notranjih revizij. V prihodnje naj bi postala System of Action, ki delo orkestrira in prinaša rezultate, namesto da bi le shranjevala podatke. Platforma pri tem ostaja kraj merodajnih podatkov, vendar uporablja avtomatizacijo v širšem ekosistemu. Ponudniki zato vse pogosteje sodelujejo s specialisti za podatke o tveganjih in regulativne vsebine, namesto da bi vse gradili sami.

Štiri nadaljnje ugotovitve so za izbiro platforme še posebej pomembne:

• Umetna inteligenca danes prinaša malo dodane vrednosti. Večina funkcij umetne inteligence izboljšuje obstoječe, namesto da bi delo temeljito spremenila. Stranke kot ovire navajajo funkcionalne omejitve in visoke stroške. Najbolj iskano je nekaj zelo konkretnega: precej hitrejše ocene tveganj in preverjanja skladnosti.
• Continuous Controls Monitoring je najšibkejše merilo celotne ocene. Številne platforme ga uporabljajo le za zbiranje dokazil za notranjo revizijo. Prava vrednost je po mnenju Forresterja v tem, da se sproti spremlja, ali kontrole delujejo in ali se politike upoštevajo, ter da se ob odstopanjih sprožijo popravki. Več o tem pristopu preberite v prispevku Neprekinjeno spremljanje kontrol: vedite, kaj signal dokazuje.
• Več podatkov ni samodejno bolje. Forrester potegne vzporednico z varnostno analitiko: tam je resnično korist prinesla šele osredotočenost na jasno opredeljene primere uporabe. Za GRC analitiki priporočajo knjižnice s konkretnimi primeri spremljanja in običajnimi mejnimi vrednostmi, da se zbirajo le podatki, ki so res potrebni.
• Nihče ne ve, kako zaračunavati umetno inteligenco. Modeli segajo od brezplačne vključenosti prek fiksnih dodatnih paketov do obračuna po posameznem upravljanem primeru uporabe umetne inteligence. Stranke pogosto plačajo dvakrat, za umetno inteligenco v platformi in za ločen modul za upravljanje umetne inteligence. Številne referenčne stranke niso znale oceniti protivrednosti svoje naložbe v umetno inteligenco.

Verdantix: funkcije rastejo hitreje kot njihova razložljivost

Verdantix je za Green Quadrant GRC Software 2025 primerjal 15 ponudnikov v desetih kategorijah zmogljivosti in rezultate uskladil s finančnimi podatki in podatki o strankah. Verdantix V spremnem prispevku o umetni inteligenci v GRC je ugotovitev, ob kateri se je vredno ustaviti: vsaka platforma, ki je pri vgrajenih funkcijah umetne inteligence dosegla najvišjo oceno, je pri razložljivosti in upravljanju modelov dobila le eno do dve točki. Blog Verdantix

Klepetalni roboti in avtomatizirani testi kontrol torej prihajajo na trg hitreje kot revizijske sledi, podatki o stopnji zaupanja in poročila o modelskem tveganju, ki jih bodo nadzorni organi v prihodnje zahtevali. Verdantix izrecno opozarja na Akt EU o umetni inteligenci: račun za manjkajočo razložljivost bo kmalu zapadel. Kateri standardi tu pravkar nastajajo, preberite v prispevku ISO/IEC 27090, EN 18286 in IEEE 2863: trije novi standardi za upravljanje UI v letu 2026 na kratko.

S tem se ujemajo tri nadaljnje ugotovitve:

• Visoka ocena umetne inteligence sama po sebi ne prodaja. Napredna umetna inteligenca vzbuja zanimanje, a če so osnovni moduli GRC skromni, potencialne stranke oklevajo. Trajnostna rast je še naprej odvisna od širine pokritosti in od uvedbe po nakupu.
• Moč umetne inteligence ne vodi do višjih stopenj podaljšanja pogodb. Verdantix ni našel zanesljive povezave. Stranke so bolj pozorne na stabilnost platforme, hitro uvedbo in dobro podporo.
• Globina zahteva naložbe. Najjasnejša je bila povezava med razvojnim proračunom in resnično zrelostjo umetne inteligence. Brez trajnih naložb ostane pri površinskih gradnikih umetne inteligence.

Za prihodnja leta Verdantix pričakuje, da bodo preproste funkcije umetne inteligence, kot sta generativno iskanje in povzemanje, postale standard. Konkurenca se s tem premika k preglednosti, nadzoru in regulativni ustreznosti. Za ponudnike z visokim deležem razvoja Verdantix vidi redko priložnost, da prehitijo uveljavljene ponudnike, če zagotovijo globino umetne inteligence, kakovost podatkov in preglednost.

GRC 20/20: orkestracija potrebuje odgovornost

Michael Rasmussen, ustanovitelj GRC 20/20 Research, je oktobra 2026 objavil 143-stransko Market Perspective o „GRC 7.0 – GRC Orchestrate“. GRC 20/20 Njegova teza: umetna inteligenca naredi vidne funkcije programske opreme poceni in zamenljive. Dragocene pa postanejo zanesljive informacije, poslovni kontekst, strokovna metodologija in izvajanje, za katero nekdo prevzema odgovornost.

GRC 7.0 opisuje kot arhitekturo, ki okoli merodajnih Systems of Record postavi tri sisteme: enega, ki prepoznava in umešča spremembe, enega, ki izvaja delo v okviru jasnih pooblastil in preverja njegov rezultat, ter enega, s katerim je mogoče zmogljivosti GRC sledljivo prilagajati. Rasmussen to izrecno razmeji od zgolj kopičenja funkcij umetne inteligence. Kako je ta model videti podrobneje in kaj pomeni za prakso, smo povzeli v prispevku GRC 7.0: kaj GRC Orchestrate Michaela Rasmussena pomeni za podjetja.

Kaj imajo tri analize skupnega

Če tri analize beremo vzporedno, se pokažejo štiri skupne smernice:

Analize si v nobeni bistveni točki ne nasprotujejo. Isto spremembo osvetljujejo iz treh smeri: Forrester z vidika ocen strank, Verdantix s primerjavo funkcij s poslovnimi številkami in GRC 20/20 z vidika arhitekture.

Na kaj naj bodo podjetja pozorna pri izbiri

Za podjetja, ki prav zdaj izbirajo platformo GRC, na primer za NIS2, ISO/IEC 27001 ali Akt EU o umetni inteligenci, iz ugotovitev Forresterja in Verdantixa izhajajo štiri vprašanja za preverjanje:

• Od kod izvira ocena? Ali je mogoče za vsak rezultat agenta umetne inteligence izslediti, na katero zahtevo, katero dokazilo in katero utemeljitev se opira?
• Kaj se spremlja? Ali platforma le zbira dokazila za naslednjo revizijo ali sproti prikazuje, ali ukrepi delujejo?
• Koliko to konkretno prihrani? Koliko hitrejše postanejo ocene tveganj in analize vrzeli? To je po Forresterju korist, ki jo stranke najbolj iščejo.
• Kako se zaračunava umetna inteligenca? Ali je jasno, koliko stanejo funkcije umetne inteligence in kaj zmorejo, ali pa se za upravljanje umetne inteligence doda še en modul?

Celoten katalog meril za izbiro najdete v prispevku Kako izbrati najboljšo programsko opremo GRC.

Kako to vidimo pri Secani

Analize potrjujejo smer, ki ji sledimo s Secani. Agent Secani naj prevzame obsežno pripravljalno delo: odpira dostop do informacij, predlaga povezave, združuje dokazila in pojasnjuje vrzeli. Odločitev ostane pri človeku in mora biti pozneje sledljiva. Kako razmišljamo o povezavi med zahtevo, dokazilom in oceno, opisuje prispevek Umetna inteligenca v GRC: navajanje vira ni preverjanje.

Merilo zato ni, koliko funkcij umetne inteligence ima platforma. Temveč, ali je mogoče za vsako oceno odgovoriti, zakaj velja, kdo zanjo odgovarja in kaj bi se moralo spremeniti, da bi jo znova preverili.

Sklep

Forrester, Verdantix in GRC 20/20 leta 2026 opisujejo isto spremembo: platforme GRC naj opravljajo delo in prinašajo rezultate, namesto da le shranjujejo podatke. Umetna inteligenca je za to pomembno orodje, vendar ni več razlikovalni dejavnik. Razliko naredijo sledljivost, jasna odgovornost in trdne osnove. Kdor izbira platformo GRC, naj sprašuje prav po tem in naj si da odgovore pokazati na lastnem primeru uporabe.

Viri

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29. maj 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27. avgust 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)