AI er her — klar eller ej
AI-værktøjer er blevet en naturlig del af arbejdet for millioner af brugere. ChatGPT, Copilot, Claude og andre har ændret hvordan vi arbejder. Men med mulighederne kommer risici som mange organisationer endnu ikke har adresseret.
Grundspørgsmålet: Ved du hvilke AI-værktøjer der bruges i din organisation, af hvem, og med hvilke data?
AI-risici at håndtere
Medarbejdere indtaster følsomme data — kundeoplysninger, forretningshemmeligheder, kode — i AI-værktøjer. Data kan lagres, bruges til træning eller lække på anden vis.
Medarbejdere bruger AI-værktøjer som IT ikke har godkendt eller endda kender til. Ingen kontrol, intet overblik, ingen risikostyring.
Ondsindede aktører manipulerer AI-systemer gennem specialdesignede prompts. Kan få systemet til at afsløre information eller udføre uønskede handlinger.
AI "opfinder" information som ser troværdig ud men er forkert. Kan føre til fejlagtige beslutninger hvis output ikke verificeres.
AI-modeller kan have indbyggede fordomme som påvirker resultater. Særligt risikabelt ved beslutninger der påvirker individer.
Afhængighed af AI-leverandører skaber nye risici. Hvad sker der hvis tjenesten ændres, lukkes ned eller kompromitteres?
Hvordan AI påvirker NIS2-compliance
Risikostyring (Artikel 21.2a) AI-risici bør inkluderes i jeres risikovurdering. Hvilke AI-værktøjer bruges? Hvilke data eksponeres? Hvilke trusler skaber AI-anvendelse?
Hændelseshåndtering (Artikel 21.2b) AI-relaterede hændelser (data leakage, manipulation) skal håndteres ifølge jeres hændelsesprocesser.
Personaletræning (Artikel 21.2i) Træning skal omfatte sikker AI-anvendelse. Medarbejdere skal forstå risiciene.
Leverandørsikkerhed (Artikel 21.2d) AI-leverandører er leverandører. Samme krav til vurdering og opfølgning gælder.
Byg en AI-politik
- Kortlæg nuværende situation Hvilke AI-værktøjer bruges i dag? Officielt og uofficielt? Hvilke data indtastes? Begynd med at forstå virkeligheden.
- Klassificer anvendelsescases Hvilke anvendelsesområder er acceptable? Kodeassistance, tekstbehandling, dataanalyse? Hvilken type data må bruges?
- Vælg godkendte værktøjer Evaluer og godkend specifikke AI-værktøjer. Prioriter enterprise-versioner med bedre databeskyttelse. Opret en "allowlist".
- Definer dataklassificering Hvilke data må aldrig indtastes i AI? Personoplysninger, forretningshemmeligheder, kundedata, kildekode? Vær tydelig.
- Træn personalet Alle som bruger AI skal forstå risiciene og reglerne. Gør det praktisk og konkret.
- Overvåg og følg op Hvordan ved I at politikken følges? Tekniske kontroller? Stikprøver? Regelmæssig opfølgning?
Tjekliste for ansvarlig AI
Før I bruger et AI-værktøj:
- Findes værktøjet på godkendt liste?
- Indeholder input følsomme data?
- Forstår I hvordan data håndteres af leverandøren?
- Findes enterprise-aftale som beskytter data?
Ved anvendelse:
- Verificer AI-genereret indhold
- Dokumenter ikke følsom information
- Gennemgå output for fejl
- Følg organisationens politik
Kontinuerligt:
- Kortlæg AI-anvendelse regelmæssigt
- Opdater politik ved behov
- Træn nye medarbejdere
- Overvåg for shadow AI
Almindelige fejltagelser
At forbyde al AI-anvendelse virker ikke. Medarbejdere finder veje uden om forbuddet. Kontrolleret anvendelse er bedre.
"Vi bruger ikke AI" er sjældent sandt. Medarbejdere bruger værktøjer som I ikke kender til.
AI-anvendelse er et forretningsspørgsmål. HR, juridisk og ledelse skal involveres.
AI-landskabet ændrer sig hurtigt. Politikker skal opdateres løbende.
Praktiske tips
Start enkelt
I behøver ikke en perfekt politik fra dag ét. Start med grundlæggende retningslinjer og byg på.
Vær pragmatisk
Absolutte forbud skaber shadow AI. Tillad anvendelse under kontrollerede former.
Kommuniker hvorfor
Forklar risiciene så medarbejdere forstår. Engagement øger efterlevelse.
Lær af hændelser
Når noget går galt (og det vil det), lær af det. Opdater processer.
Sådan kan Securapilot hjælpe
Securapilot støtter organisationer i at håndtere AI-risici:
- Risikostyring — Inkluder AI-risici i jeres risikoregister
- Politikhåndtering — Dokumenter og distribuer AI-politik
- Træning — Sporing af gennemført træning
- Hændelseshåndtering — Håndter AI-relaterede hændelser
- Leverandørgranskning — Vurder AI-leverandører
Book en demo og se hvordan vi kan hjælpe jer med at håndtere AI-sikkerhed.
Ofte stillede spørgsmål
Hvad er shadow AI?
Shadow AI er AI-værktøjer som medarbejdere bruger uden IT-afdelingens godkendelse. Det kan være ChatGPT, gratis AI-tjenester eller indbygget AI i andre værktøjer. Risikoen er, at følsom data lækker ud.
Hvordan påvirker AI NIS2-compliance?
AI-risici bør indgå i jeres risikostyring ifølge NIS2-loven. AI-drevne angreb er en trussel at adressere. Og jeres egen AI-anvendelse kan skabe sårbarheder, hvis den ikke kontrolleres.
Skal vi forbyde AI?
Nej, det er hverken praktisk eller ønskværdigt. I stedet: definer acceptabel anvendelse, vælg godkendte værktøjer, træn personale og overvåg. Kontrolleret anvendelse er bedre end forbud.
Hvilke AI-værktøjer er sikre?
Det afhænger af anvendelsesområde og data. Evaluer hvert værktøj: hvor lagres data? Bruges den til træning? Hvilke sikkerhedskontroller findes? Enterprise-versioner er ofte sikrere.
