AI‑användningen fortsätter att skjuta i höjden, men insyn och styrning släpar efter. Det framgår av en ny undersökning från cybersäkerhetsföretaget Cato Networks som visar att de flesta organisationer saknar övervakning och tydliga regler för att hantera riskerna med skugg‑AI, det vill säga otillåtna AI‑verktyg.

Undersökningen som innehåller svar från över 600 IT‑chefer blottlägger en tydlig klyfta. Mer än hälften (61 procent) har hittat otillåtna AI‑verktyg i sina miljöer, men bara 26 procent har lösningar på plats för att övervaka AI‑användningen. Nästan hälften (49 procent) spårar inte användningen alls eller hanterar AI reaktivt.

– I många företag sker AI‑adoptionen underifrån. Medarbetare är ofta ute efter att bli mer produktiva och väljer de AI‑verktyg de känner sig bekväma med. Men utan ordentlig insyn och styrning medför detta tyvärr den oönskade effekten att organisationers hotexponering ökar, ofta utan att man inser det, säger Michael Norin, Regional Sales Director på Cato Networks i Sverige.

Säkerhetsberedskapen brister 

Undersökningen visar även en grundläggande brist i hur företag närmar sig AI. För 71 procent av de svarande är ökad produktivitet och effektivitet det främsta användningsområdet. Samtidigt uppger 69 procent att de helt saknar system för att spåra AI‑införandet. Många organisationer vet därför inte vilka verktyg som används, vilken data som delas eller vilka typer av risker de utsätts för. För svenska verksamheter som verkar under GDPR och i takt med den pågående implementeringen av AI‑förordningen innebär skugg‑AI särskilda utmaningar.

Styrningsgapet handlar inte bara om insyn. Endast 13 procent anser att deras hantering av skugg‑AI‑risker är ”mycket effektiv”. Färre än var tionde (9 procent) bedömer att organisationen har ett ”mycket effektivt” försvar mot AI‑genererade cyberhot såsom deepfakes, och prompt‑injektionsattacker.

Skugg‑AI fungerar på många sätt som skugg‑IT, otillåten teknik tas i bruk för att lösa ett omedelbart behov. Men riskerna kopplade till databehandling och modellträning medför säkerhetsproblem. Undersökningen visar att IT‑chefer ser allvaret, en majoritet (53 procent) är i hög eller mycket hög grad oroade över AI‑säkerhetsrisker.

– Frågan är inte om det finns skugg‑AI i en verksamhet, utan om förmågan att upptäcka, styra och säkra användningen innan något händer finns. Vad som blir tydligt utifrån undersökningen är att de flesta behöver agera snabbt för att få insyn och kontroll över sin AI-användning, avslutar Michael Norin.

Bild: Gerd Altmann