Dere trenger ikke velge. Android Enterprise og Apple Business Manager er ikke konkurrerende produkter, men to rammeverk som begge forutsetter en MDM- eller EMM-løsning på toppen, og de aller fleste norske bedrifter kjører begge fordi de har begge operativsystemene i huset. Det som faktisk avgjør er kjøpskanalen: både Googles zero-touch og Apples automatiske påmelding krever at telefonene er kjøpt gjennom en godkjent kanal, og enheter kjøpt i vanlig butikk faller utenfor. Spørsmålet stilles ofte som et valg mellom to leire. I praksis er det sjelden det. De aller fleste norske bedrifter har begge operativsystemene i huset, og da handler beslutningen ikke om hvem som vinner, men om hvordan de to rammeverkene skiller seg der det får konsekvenser: hvordan telefonene meldes inn, hvor grensen mellom jobb og privat går, og hva som skjer når en ansatt slutter.
Denne gjennomgangen bygger utelukkende på Googles og Apples egen dokumentasjon, kontrollert 31. august 2026, samt Arbeidstilsynets og Datatilsynets veiledning om kontrolltiltak i norske virksomheter.
Kort fortalt
- Begge rammeverkene forutsetter en MDM- eller EMM-løsning. Android Enterprise og Apple Business Manager er ikke i seg selv produkter dere administrerer telefoner fra.
- Kjøpskanalen avgjør automatikken. Både Googles zero-touch og Apples automatiske påmelding krever at enhetene er kjøpt gjennom riktig kanal. Telefoner kjøpt i vanlig butikk faller utenfor.
- Apple lister seks forhandlere i Norge som er godkjent for automatisk påmelding: Atea, DUSTIN Norway, Elkjøp, Eplehuset, Intility og Techstep.
- Android skiller jobb og privat med en egen arbeidsprofil. Google skriver at brukeren beholder personvernet over egne apper og data.
- Apple har tre påmeldingsmetoder med ulik grad av kontroll — fra BYOD uten tilsyn til full styring fra første oppstart.
- Loven kommer først. Arbeidsmiljøloven krever saklig grunn, drøfting med tillitsvalgte og informasjon til de ansatte før kontrolltiltak innføres.
Skal dere sette opp enhetsforvaltning for første gang, eller rydde opp i et oppsett som har vokst uten plan? Ta kontakt for en behovsvurdering.
Det er ikke et enten–eller
Både Android Enterprise og Apple Business Manager er rammeverk. De definerer hvordan en enhet knyttes til organisasjonen og hvilke innstillinger som kan styres — men selve styringen skjer i en MDM- eller EMM-løsning som dere anskaffer separat.
Google er eksplisitt på dette i kravene til zero-touch: organisasjonen trenger «an enterprise mobility management (EMM) provider supporting company-owned devices». Apples automatiske påmelding forutsetter tilsvarende at enheten tildeles en enhetsadministrasjonstjeneste, og at serienummeret finnes i Apple Business Manager.
Konsekvensen er praktisk: valget mellom Android og iPhone er ett spørsmål, og valget av MDM-leverandør er et annet. De fleste MDM-løsninger i det norske markedet håndterer begge plattformene fra samme konsoll. Har dere femti ansatte fordelt på begge, er det som regel én løsning dere skal velge, ikke to. Skal dere først velge selve verktøyet — Intune eller noe annet — har vi tatt den vurderingen for seg i mobiladministrasjon av firmatelefoner. Denne artikkelen handler om laget under: de to rammeverkene MDM-løsningen faktisk styrer enhetene gjennom.
Hva Android Enterprise faktisk er
Android Enterprise er Googles rammeverk for å administrere Android-enheter i en organisasjon. Det tilbyr tre forvaltningsmodi, og valget mellom dem bestemmer hvor grensen mellom bedriften og den ansatte går.
| Modus | Hvem eier telefonen | Hva bedriften styrer | Typisk bruk |
|---|---|---|---|
| Arbeidsprofil | Den ansatte, eller bedriften | Jobbapper og jobbdata i en egen profil. Google beskriver den som «a self contained profile on an Android device for storing work apps and data» | BYOD, og ansatte som vil ha én telefon |
| Full enhetsstyring | Bedriften | Hele enheten. Google oppgir «granular control over device data and security, and access to Android’s full suite of app management features» | Utleverte jobbtelefoner |
| Dedikert enhet | Bedriften | Enheten låses til én eller flere apper, og brukeren kommer ikke ut til hjemskjermen | Lager, kiosk, digital skilting |
Arbeidsprofilen og personvernet
Dette er den modusen som løser det vanskeligste problemet i norsk arbeidsliv: at den ansatte har jobbapper på sin egen telefon.
Google skriver at «users retain privacy over their personal apps, data, and usage». Jobbappene merkes med et koffertikon, og administratoren kan fjernlåse og slette arbeidsprofilen uten å røre resten av telefonen. Brukeren kan selv styre hvilken kontaktinformasjon som deles fra arbeidsprofilen til den personlige profilen.
Én nyanse er verdt å merke seg: Google skriver at på bedriftseide enheter «organizations can enforce some policies that apply to a device’s personal profile and overall device behavior». Arbeidsprofil på en bedriftseid telefon er altså ikke helt det samme som arbeidsprofil på den ansattes egen telefon.
Full enhetsstyring
Her styrer bedriften alt. Google lister blant annet krav til kodelås, fjernlåsing og sletting, appinstallasjon, rettighetspolicyer, deaktivering av kamera og skjermbilder, Wi-Fi-innstillinger, sertifikater og egen merkevare på grensesnittet.
Muligheten til å slå av kamera og skjermbilder er reell og brukes i praksis — men den er også et kontrolltiltak i arbeidsmiljølovens forstand. Mer om det lenger ned.
Zero-touch: kravene som avgjør om det virker
Zero-touch lar en telefon konfigurere seg selv ved første oppstart. Google beskriver det som «a streamlined process for Android devices to be provisioned for enterprise management». Fire krav må være oppfylt:
- Operativsystem. Google oppgir «Android Pie (9.0) or later, a compatible device running Android Oreo (8.0), or a Pixel phone with Android Nougat (7.0)».
- Kjøpskanal. Enhetene må være «purchased from a reseller partner». Dette er kravet som oftest velter planen.
- EMM-leverandør som støtter bedriftseide enheter.
- Google Mobile Services og Google Play-tjenester må være aktivert, kontinuerlig.
Prosessen er enkel når kravene er på plass: forhandleren legger enhetene inn på organisasjonens konto, dere lager en konfigurasjon og knytter den til enhetene i portalen eller via CSV-opplasting, og telefonen henter policyen selv ved første oppstart.
Hva Apple Business Manager faktisk er
Apple Business Manager er portalen der organisasjonen eier forholdet til sine Apple-enheter, apper og kontoer. Herfra tildeles enheter til en MDM-løsning. Apple beskriver tre påmeldingsmetoder, og de gir svært ulik kontroll.
| Metode | Beregnet på | Under tilsyn | Hva Apple oppgir |
|---|---|---|---|
| Account-Driven User Enrollment | BYOD | Nei | «designed for BYOD—or bring-your-own-device deployments». Person- og jobbdata holdes atskilt |
| Account-Driven Device Enrollment | Bedriftseide enheter som allerede er i bruk | Ja på Mac, nei på iPhone og iPad | «allows users to manually enroll the device without requiring it to be erased» |
| Automated Device Enrollment | Nye eller nullstilte enheter | Ja | «configure and manage devices from the moment the devices are removed from the box» |
Automatisk påmelding og hva «under tilsyn» betyr
Automated Device Enrollment gir høyest kontroll, og det er denne metoden de fleste bedrifter bør sikte mot for utleverte telefoner.
Enheten settes under tilsyn — supervised — og det har en konkret konsekvens: organisasjonen kan «prevent the user from removing the device management service’s enrollment profile». Den ansatte kan altså ikke melde telefonen ut av bedriftens styring på egen hånd. Det er nettopp derfor metoden er riktig for utstyr bedriften eier, og feil for utstyr den ansatte eier.
Apple oppgir videre at organisasjonen kan konfigurere enheten før oppsettsveiviseren er ferdig, bruke «all the available Apple-defined payloads and restrictions», hoppe over valgte trinn i oppsettet, og kreve en minimumsversjon av operativsystemet før enheten tas i bruk. På macOS 14 og nyere kan FileVault aktiveres under oppsettet.
En detalj som er nyttig for delte enheter: når en enhet tildeles på serienummer, oppgir Apple at «No Managed Apple Account is required». Det er enheten som administreres, ikke personen. Det passer for nettbrett i en resepsjon eller telefoner som går på skift.
Grunnkravet er at «the computer’s serial number needs to appear in Apple School Manager or Apple Business» — altså at enheten faktisk er registrert i portalen.
Kjøpskanalen er den store fellen
Dette er punktet som oftest gjør at et ellers godt planlagt oppsett stopper opp, og det gjelder begge plattformene.
Både Googles zero-touch og Apples automatiske påmelding forutsetter at enhetene er kjøpt gjennom en kanal som legger dem inn på organisasjonens konto. En telefon kjøpt over disk i en tilfeldig butikk, eller på et privat kort og refundert på reiseregning, kommer ikke automatisk inn i noen av delene.
Apple publiserer en oversikt over godkjente forhandlere for automatisk påmelding. For Norge lister Apple seks, rekontrollert 2. september 2026:
- Atea AS
- DUSTIN Norway
- Elkjøp
- Eplehuset
- Intility AS
- Techstep AS
Google oppgir ikke en tilsvarende offentlig landliste for zero-touch, men stiller samme type krav: enhetene må kjøpes fra en partnerforhandler.
Den praktiske konsekvensen er at innkjøpsrutinen er en del av sikkerhetsoppsettet. Har dere ikke en fast kanal for telefonkjøp, får dere heller ikke automatikken — og da må hver enkelt telefon settes opp manuelt. Det tåler man på fem telefoner. Ikke på hundre.
Skal dere først rydde i innkjøpet, er det også et naturlig tidspunkt å se på hva enhetene faktisk koster over levetiden. Vi har satt opp regnestykket i billig firmatelefon — hva som lønner seg, og gått gjennom forsikringsspørsmålet i mobilforsikring for bedrift.
Sammenligning på det som betyr noe
| Spørsmål | Android Enterprise | Apple Business Manager |
|---|---|---|
| BYOD-løsning | Arbeidsprofil — egen profil på den ansattes telefon | Account-Driven User Enrollment — ikke under tilsyn |
| Bedriftseid, full kontroll | Full enhetsstyring | Automated Device Enrollment, under tilsyn |
| Kiosk / låst enhet | Dedikert enhet | Automatisk påmelding for delte enheter, tildelt på serienummer |
| Automatisk oppsett | Zero-touch, krever partnerforhandler | Automatisk påmelding, krever godkjent forhandler eller registrering i portalen |
| Kan ansatt melde seg ut selv | Arbeidsprofilen kan fjernes av bruker på egen enhet | Nei ved automatisk påmelding — profilen kan låses |
| Skille jobb og privat | Egen arbeidsprofil, jobbapper merket med koffertikon | Data holdes atskilt i brukerpåmelding |
| Påmelding uten å nullstille | Ja, arbeidsprofil kan legges til | Ja, med Account-Driven Device Enrollment |
Verken Google eller Apple publiserer lisenspris for selve rammeverkene på de sidene vi har kontrollert. Kostnaden ligger i MDM-løsningen, og den varierer mellom leverandørene. Be om pris per enhet per måned, og sjekk om prisen er lik for begge plattformer.
Hva norsk lov krever før dere ruller ut
Dette er delen som ofte hoppes over, og den som gjør et ellers godt oppsett angripelig.
Enhetsforvaltning som overvåker eller begrenser ansattes bruk er et kontrolltiltak etter arbeidsmiljøloven kapittel 9. Arbeidstilsynet oppsummerer vilkårene slik: arbeidsgiveren må ha «sakleg grunn», tiltaket må være «eigna til å avdekke dei forholda eller førebygge den risikoen ein ønskjer å fjerne», og arbeidsgiveren skal «velje det kontrolltiltaket som er minst belastande for arbeidstakarane».
Tre plikter følger med:
Drøfting. Tiltaket skal drøftes med de ansattes representanter før det innføres. Arbeidstilsynet presiserer at «drøftinga skal skje så tidleg som mogleg, før avgjerda om kontrolltiltak blir tatt».
Informasjon. De ansatte skal informeres om «både føremål, praktiske konsekvensar og sannsynleg varigheit av kontrolltiltaket». Denne plikten gjelder alle berørte, uavhengig av om det finnes tillitsvalgte.
Evaluering. Behovet skal evalueres jevnlig sammen med de ansattes representanter. Faller behovet bort, «skal kontrolltiltaket bli avslutta».
Skal dere i tillegg se innhold — e-post, filer, meldinger — gjelder e-postforskriften. Datatilsynet setter tre vilkår for at innsyn skal være lovlig: arbeidsgiveren må ha «en berettiget interesse» som er «lovlig, klart definert på forhånd, reell, og saklig begrunnet», innsynet må være nødvendig for å forfølge den interessen uten at mindre inngripende alternativer finnes, og «arbeidsgiverens interesse må veie tyngre enn personvernulempene et innsyn har for arbeidstakeren».
Datatilsynet oppgir to grunnlag for innsyn: når det er nødvendig for å ivareta driften eller andre berettigede interesser, og ved begrunnet mistanke om at bruken medfører grovt brudd på arbeidstakerens plikter.
Ett punkt er verdt å ta med seg direkte inn i oppsettet: «automatisk videresending av en ansatts e-post er i utgangspunktet ulovlig», skriver Datatilsynet. Det er en innstilling mange setter som rutine når noen slutter.
Dette er informasjon, ikke juridisk rådgivning. Er tiltaket inngripende, eller er dere i tvil om grensen, bør oppsettet kvalitetssikres av noen med arbeidsrettskompetanse før det rulles ut.
Har dere allerede et MDM-oppsett som ble satt opp uten drøfting eller skriftlig informasjon til de ansatte? Det er en ryddesak, ikke en krise — men den bør tas før noen stiller spørsmålet.
Sjekkliste før utrulling
- Bestem hvem som eier enhetene. Alt annet følger av det.
- Velg forvaltningsmodus per gruppe ansatte, ikke én for hele bedriften.
- Lås innkjøpskanalen. Uten godkjent forhandler mister dere automatikken.
- Velg MDM-leverandør som dekker begge plattformene fra én konsoll.
- Drøft tiltaket med tillitsvalgte og dokumenter at det er gjort.
- Skriv en kort, konkret informasjon til de ansatte: formål, konsekvenser og varighet.
- Beskriv skriftlig hva bedriften kan og ikke kan se. Dette fjerner mest støy.
- Bestem hva som skjer ved sluttoppgjør — hva slettes, og av hvem.
- Test hele løpet på tre enheter før dere ruller ut til alle.
- Sett en dato for første evaluering av tiltaket.
Vanlige feil vi ser
Telefoner kjøpt utenfor avtalen. Én telefon kjøpt i butikk på en travel dag, og den enheten står utenfor systemet i tre år.
Full enhetsstyring på ansattes egen telefon. Teknisk mulig i noen oppsett, men feil både juridisk og praktisk. Er telefonen den ansattes, hører arbeidsprofil eller brukerpåmelding hjemme der.
Ingen sluttrutine. Den ansatte slutter, telefonen leveres, og ingen melder den ut av MDM-en. Neste bruker får en enhet med gammel policy.
Drøftingen som aldri ble dokumentert. Arbeidstilsynet er tydelig på at drøftingen skal skje før beslutningen. Et referat på en halv side er nok, men det må finnes.
MDM valgt av IT alene. Løsningen berører HR, personvern og innkjøp. Velges den uten dem, må valget som regel gjøres om.
Blandet oppsett uten oversikt. Noen enheter under tilsyn, noen med arbeidsprofil, noen helt uten. Da vet ingen hva som faktisk er beskyttet.
Ofte stilte spørsmål
Må vi velge én plattform for hele bedriften? Nei. De fleste MDM-løsninger håndterer både Android Enterprise og Apple Business Manager fra samme konsoll. Det er som regel MDM-leverandøren dere skal standardisere på, ikke operativsystemet.
Kan vi bruke Android Enterprise på ansattes egne telefoner? Ja, gjennom arbeidsprofil. Google oppgir at brukeren beholder personvernet over egne apper, data og bruk, og at bedriften kan låse og slette arbeidsprofilen uten å røre resten av telefonen.
Kan vi se hva den ansatte gjør privat på jobbtelefonen? Rammeverkene er bygget for å skille jobb og privat, og norsk rett setter i tillegg klare grenser. Overvåking av ansattes bruk av elektronisk utstyr er som hovedregel ulovlig, og innsyn i innhold krever at vilkårene i e-postforskriften er oppfylt.
Hva skjer med en telefon vi kjøpte i vanlig butikk? Den kan fortsatt administreres, men ikke gjennom det automatiske påmeldingsløpet. Den må settes opp manuelt, og på Apple-siden vil den normalt ikke være under tilsyn på samme måte.
Hvilke forhandlere i Norge er godkjent for Apples automatiske påmelding? Apple lister Atea AS, DUSTIN Norway, Elkjøp, Eplehuset, Intility AS og Techstep AS. Listen oppdateres av Apple, så kontroller den før innkjøp.
Trenger hver ansatt en Managed Apple-konto? Ikke ved automatisk påmelding der enheten tildeles på serienummer. Apple oppgir at det da ikke kreves en Managed Apple Account, fordi det er enheten som administreres.
Kan den ansatte melde telefonen ut av styringen? Ved Apples automatiske påmelding kan organisasjonen hindre at påmeldingsprofilen fjernes. På en arbeidsprofil på egen telefon kan brukeren fjerne profilen — og da mister vedkommende samtidig tilgangen til jobbappene.
Hva med eSIM i dette oppsettet? Det er et eget spor, men det henger sammen med utrullingen. Vi har gått gjennom det i eSIM for bedrift og mer grunnleggende i dette må du vite om eSIM.
Hvilket abonnement bør telefonene ha? Det avhenger av databruk og reisemønster. Vi har samlet vurderingen i ubegrenset mobildata, og for selve abonnementsvalget til ansatte finnes en bredere gjennomgang på bedriftsabonnement.no.
Kilder
Alle kilder kontrollert 31. august 2026. Apples forhandlerliste for Norge er rekontrollert 2. september 2026.
- Google, «Zero-touch enrollment for IT admins», Android Enterprise Help — definisjon, krav til Android-versjon, krav om kjøp fra partnerforhandler, EMM-krav, GMS-krav, prosessbeskrivelse.
- Google, «Work Profile and its features», Android Enterprise Help — hva arbeidsprofilen er, hva administrator styrer, personvern for personlige apper og data, kontaktdeling, fjernlåsing og sletting.
- Google, «Full device management», Android Enterprise Help — omfang av kontroll på bedriftseide enheter.
- Google, «Dedicated device management», Android Enterprise Help — låsing til én eller flere apper, kioskbruk.
- Apple, «Enrollment methods for built-in device management», Apple Business Manager-brukerveiledning — de tre påmeldingsmetodene, tilsynsstatus og bruksområde.
- Apple, «Automated Device Enrollment and device management», Apple Platform Deployment — tilsyn, låsing av påmeldingsprofil, krav om serienummer i portalen, konfigurasjon før oppsettsveiviseren, minimumsversjon av operativsystem, FileVault på macOS 14+. Sidens oppgitte publiseringsdato: 12. mai 2026.
- Apple, «Preferred Device Enrollment Resellers for Europe, the Middle East, and Africa» — de seks forhandlerne oppført for Norge. Rekontrollert 2. september 2026, uendret.
- Arbeidstilsynet, «Kontroll og overvåking» — vilkårene i arbeidsmiljøloven kapittel 9, drøftingsplikt, informasjonsplikt og evalueringsplikt.
- Datatilsynet, «Når er innsyn lovlig?» — de tre vilkårene for innsyn, grunnlagene, og at automatisk videresending av ansattes e-post i utgangspunktet er ulovlig.
- Datatilsynet, «Når er overvåkingen forbudt?» — hovedregelen om at overvåking av ansattes bruk av elektronisk utstyr er ulovlig, og hva som regnes som overvåking.
Forbehold: Denne artikkelen er generell informasjon om tekniske rammeverk og gjeldende veiledning fra norske myndigheter. Den er ikke juridisk rådgivning. Google og Apple endrer dokumentasjonen sin løpende, og forhandlerlisten oppdateres av Apple.