AI er her — klar eller ikke
AI-verktøy har blitt en naturlig del av arbeidet for millioner av brukere. ChatGPT, Copilot, Claude og andre har endret hvordan vi arbeider. Men med mulighetene kommer risikoer som mange organisasjoner ennå ikke har adressert.
Grunnspørsmålet: Vet du hvilke AI-verktøy som brukes i din organisasjon, av hvem, og med hvilke data?
AI-risikoer å håndtere
Ansatte mater inn sensitiv data — kundeoplysninger, forretningshemmeligheter, kode — i AI-verktøy. Data kan lagres, brukes til trening, eller lekke på andre måter.
Ansatte bruker AI-verktøy som IT ikke har godkjent eller engang kjenner til. Ingen kontroll, ingen oversikt, ingen risikostyring.
Ondsinnede aktører manipulerer AI-systemer gjennom spesialutformede prompts. Kan få systemet til å avsløre informasjon eller utføre uønskede handlinger.
AI "finner på" informasjon som ser troverdig ut men er feilaktig. Kan føre til feilaktige beslutninger hvis output ikke verifiseres.
AI-modeller kan ha innebygde fordommer som påvirker resultater. Spesielt risikabelt ved beslutninger som påvirker individer.
Avhengighet av AI-leverandører skaper nye risikoer. Hva skjer hvis tjenesten endres, stenges ned, eller kompromitteres?
Hvordan AI påvirker NIS2-compliance
Risikostyring (Artikkel 21.2a) AI-risikoer bør inkluderes i deres risikovurdering. Hvilke AI-verktøy brukes? Hvilke data eksponeres? Hvilke trusler skaper AI-bruk?
Hendelseshåndtering (Artikkel 21.2b) AI-relaterte hendelser (datalekkasje, manipulasjon) skal håndteres i henhold til deres hendelsesprosesser.
Personalopplæring (Artikkel 21.2i) Opplæring skal omfatte sikker AI-bruk. Ansatte må forstå risikoene.
Leverandørsikkerhet (Artikkel 21.2d) AI-leverandører er leverandører. Samme krav til vurdering og oppfølging gjelder.
Bygg en AI-retningslinje
- Kartlegg nåsituasjonen Hvilke AI-verktøy brukes i dag? Offisielt og uoffisielt? Hvilke data mates inn? Begynn med å forstå virkeligheten.
- Klassifiser brukstilfeller Hvilke bruksområder er akseptable? Kodeassistanse, tekstbehandling, dataanalyse? Hvilken type data får brukes?
- Velg godkjente verktøy Evaluer og godkjenn spesifikke AI-verktøy. Prioriter enterprise-versjoner med bedre databeskyttelse. Lag en "allowlist".
- Definer dataklassifisering Hvilke data får aldri mates inn i AI? Personopplysninger, forretningshemmeligheter, kundedata, kildekode? Vær tydelig.
- Utdann personalet Alle som bruker AI må forstå risikoene og reglene. Gjør det praktisk og konkret.
- Overvåk og følg opp Hvordan vet dere at retningslinjen følges? Tekniske kontroller? Stikkprøver? Regelmessig oppfølging?
Sjekkliste for ansvarlig AI
Før dere bruker et AI-verktøy:
- Finnes verktøyet på godkjent liste?
- Inneholder inputen sensitiv data?
- Forstår dere hvordan data håndteres av leverandøren?
- Finnes enterprise-avtale som beskytter data?
Ved bruk:
- Verifiser AI-generert innhold
- Dokumenter ikke sensitiv informasjon
- Gjennomgå output for feil
- Følg organisasjonens retningslinjer
Kontinuerlig:
- Kartlegg AI-bruk regelmessig
- Oppdater retningslinjer ved behov
- Utdann nye ansatte
- Overvåk for shadow AI
Vanlige feil
Å forby all AI-bruk fungerer ikke. Ansatte finner veier rundt forbudet. Kontrollert bruk er bedre.
"Vi bruker ikke AI" er sjelden sant. Ansatte bruker verktøy som dere ikke kjenner til.
AI-bruk er en virksomhetssak. HR, juridisk og ledelsen må involveres.
AI-landskapet endrer seg raskt. Retningslinjer må oppdateres løpende.
Praktiske tips
Begynn enkelt
Dere trenger ikke en perfekt retningslinje fra dag én. Begynn med grunnleggende retningslinjer og bygg på.
Vær pragmatisk
Absolutte forbud skaper shadow AI. Tillat bruk under kontrollerte former.
Kommuniser hvorfor
Forklar risikoene slik at ansatte forstår. Engasjement øker etterlevelse.
Lær av hendelser
Når noe går galt (og det vil det), lær av det. Oppdater prosessene.
Slik kan Securapilot hjelpe
Securapilot støtter organisasjoner i å håndtere AI-risikoer:
- Risikostyring — Inkluder AI-risikoer i deres risikoregister
- Retningslinjehåndtering — Dokumenter og distribuer AI-retningslinjer
- Opplæring — Sporing av gjennomført opplæring
- Hendelseshåndtering — Håndter AI-relaterte hendelser
- Leverandørvurdering — Vurder AI-leverandører
Book en demo og se hvordan vi kan hjelpe dere håndtere AI-sikkerhet.
Ofte stilte spørsmål
Hva er shadow AI?
Shadow AI er AI-verktøy som ansatte bruker uten IT-avdelingens godkjennelse. Det kan være ChatGPT, gratis AI-tjenester eller innebygd AI i andre verktøy. Risikoen er at sensitiv data lekker ut.
Hvordan påvirker AI NIS2-compliance?
AI-risikoer bør inngå i deres risikostyring i henhold til digitalsikkerhetsloven. AI-drevne angrep er en trussel som må adresseres. Og deres egen AI-bruk kan skape sårbarheter hvis den ikke kontrolleres.
Skal vi forby AI?
Nei, det er verken praktisk eller ønskelig. I stedet: definer akseptabel bruk, velg godkjente verktøy, utdann personalet, og overvåk. Kontrollert bruk er bedre enn forbud.
Hvilke AI-verktøy er sikre?
Det avhenger av bruksområde og data. Evaluer hvert verktøy: hvor lagres data? Brukes den til trening? Hvilke sikkerhetskontroller finnes? Enterprise-versjoner er ofte sikrere.
