AI og datasikkerhed: sådan bruger I AI sikkert med virksomhedens data

Kort svar: I kan godt bruge AI med virksomhedens data uden at give slip på kontrollen, men det kræver at I vælger de rigtige værktøjer og opsætning. Det handler om tre ting: at data ikke forlader jeres kontrol, at det ikke bruges til at træne andres modeller, og at kun de rette personer har adgang. Med en betalt erhvervsløsning (eller jeres egen instans), en databehandleraftale og styr på adgangen kan I få gevinsten uden at bryde GDPR. Nedenfor er risiciene, den sikre opsætning og en tjekliste I kan bruge med det samme.

Hvorfor det haster, og hvorfor de fleste gør det forkert

De fleste medarbejdere bruger allerede AI. Ofte med de gratis, offentlige udgaver, hvor de kopierer kundedata, kontrakter, e-mails eller regneark ind i et tekstfelt uden at tænke over hvor det ender. Det er dér problemet opstår: ikke i selve teknologien, men i hvordan den bruges.

For en virksomhed er spørgsmålet ikke “må vi bruge AI?”: det er “på hvilke betingelser?”. Når først I har svaret på det, bliver AI et af de kraftigste værktøjer I kan give jeres medarbejdere. Uden svaret er det en åben dør til jeres data.

De tre store risici

1. Data forlader huset

Når en medarbejder indsætter tekst i en AI-tjeneste, sendes det som udgangspunkt til en ekstern udbyders servere, ofte uden for EU. I har ikke længere fuld kontrol over hvor data ligger, hvem der kan tilgå det, eller hvornår det slettes. For persondata og forretningshemmeligheder er det den centrale risiko.

2. Jeres data bruges til at træne modeller

Flere gratis AI-tjenester forbeholder sig retten til at bruge det I indtaster til at forbedre og træne deres modeller. Det betyder i praksis at jeres interne dokumenter kan blive en del af et system I ikke ejer, og i værste fald dukke op i svar til andre brugere. Betalte erhvervsaftaler har typisk det modsatte udgangspunkt (træning slået fra som standard), men det skal I aktivt bekræfte, ikke antage.

3. Manglende adgangsstyring

Uden styring ved I ikke hvem der bruger AI til hvad, hvilke data der er sendt ud, eller om en tidligere medarbejder stadig har adgang. Skygge-AI (værktøjer taget i brug uden IT’s viden) er en reel risiko, fordi det fjerner ethvert overblik. Sikkerhed uden logning er i praksis ingen sikkerhed.

Sådan bruger I AI sikkert

Den gode nyhed: alle tre risici kan håndteres. Her er de fem greb, i prioriteret rækkefølge.

Betalte erhvervs-tiers med opt-out af træning

Det første og billigste skridt: skift fra gratis- til erhvervsudgaver. De seriøse udbydere tilbyder business- eller enterprise-planer hvor jeres data som standard ikke bruges til at træne modeller, og hvor I kan indgå en formel databehandleraftale. Bekræft det skriftligt: læs vilkårene, spørg direkte, og få det på papir.

Egen instans eller fair-source, data forbliver jeres

Vil I have kontrollen helt hjem, er en dedikeret instans eller en fair-source-opsætning svaret. Her kører AI’en i et miljø I kontrollerer, og jeres data bliver hos jer i stedet for at flyde ud til en tredjeparts fælles platform. Det er den model vi hos Agent360 tilbyder: I får gevinsten ved moderne AI, men uden at data forlader jeres kontrol. For virksomheder med følsomme data, kunder i regulerede brancher eller strenge interne krav er det ofte forskellen på “det kan vi ikke” og “det kan vi godt”.

Kryptering

Data skal være krypteret både når det ligger lagret og når det sendes over nettet. Det er hygiejne, men det er afgørende, og noget I skal kunne få bekræftet af enhver seriøs leverandør.

Adgangskontrol og roller

Ikke alle skal kunne alt. Sæt roller op, så adgangen matcher jobfunktionen, og sørg for at adgang fjernes når en medarbejder stopper eller skifter rolle. Kombinér med logning, så I kan se hvem der har brugt hvad, både for sikkerheden og for at kunne dokumentere det bagefter.

Databehandleraftale (DPA)

Bruger I en ekstern udbyder til at behandle persondata, kræver GDPR en databehandleraftale mellem jer (den dataansvarlige) og udbyderen (databehandleren). Uden den mangler I det juridiske grundlag. Det er ikke til forhandling, det er et krav.

GDPR-hensyn I skal have styr på

AI ændrer ikke de grundlæggende GDPR-principper, det gør dem bare mere aktuelle. De vigtigste:

• Lovligt grundlag: I skal have et gyldigt grundlag for at behandle persondata i AI’en, ligesom ved al anden behandling.
• Dataminimering: Send kun de data der reelt er nødvendige. Der er sjældent grund til at fodre en AI med hele kundekartoteket for at løse én opgave.
• Formålsbegrænsning: Data indsamlet til ét formål må ikke frit genbruges til et andet uden videre.
• De registreredes rettigheder: Personer har fortsat ret til indsigt, sletning og indsigelse, også når deres data har været gennem et AI-system.
• Overførsel til tredjelande: Behandles data uden for EU/EØS, skal overførselsgrundlaget være på plads. Hold data i EU hvor I kan.
• Ansvarlighed: I skal kunne dokumentere at I overholder reglerne. Det er her en audit-trail (en log over hvad der er sket) bliver jeres bedste ven.

Bemærk: dette er en generel gennemgang, ikke juridisk rådgivning. Ved tvivl om jeres konkrete situation, inddrag jeres DPO eller en databeskyttelsesjurist.

Hvad I skal spørge en leverandør om

Før I skriver under, så få klare, skriftlige svar på disse spørgsmål. Kan en leverandør ikke svare tydeligt, er det i sig selv et svar.

• Bruger I vores data til at træne jeres modeller? (Svaret skal være nej, bekræft skriftligt.)
• Hvor lagres og behandles vores data geografisk?
• Tilbyder I en databehandleraftale, og hvad står der i den?
• Er data krypteret under lagring og overførsel?
• Kan vi styre adgang på rolle- og brugerniveau?
• Får vi en log/audit-trail over brugen?
• Hvor længe gemmes data, og hvordan slettes de?
• Kan vi få en dedikeret instans, eller deler vi platform med andre kunder?
• Hvem hos jer kan i praksis tilgå vores data, og under hvilke betingelser?
• Hvordan håndterer I sikkerhedshændelser og underretning?

Tjekliste: sikker AI-brug i praksis

• [ ] Skift fra gratis til betalte erhvervs-tiers med træning slået fra
• [ ] Overvej egen instans / fair-source for følsomme data
• [ ] Databehandleraftale (DPA) på plads med hver udbyder der rører persondata
• [ ] Kryptering bekræftet, både lagret og under overførsel
• [ ] Adgangskontrol på rolleniveau, og adgang fjernes ved fratrædelse
• [ ] Audit-trail / logning af hvem der bruger hvad
• [ ] Data holdes i EU hvor muligt
• [ ] Klar intern politik for hvad der må og ikke må indtastes
• [ ] Dataminimering, kun nødvendige data sendes ind
• [ ] Medarbejderne er oplært, så skygge-AI ikke opstår

Sådan hjælper Agent360

Hos Agent360 hjælper vi virksomheder med at tage AI i brug uden at give slip på kontrollen over data. Vi tilbyder fair-source- og egen-instans-opsætninger, hvor jeres data forbliver jeres, kombineret med rådgivning om den rigtige opsætning og en audit-trail, så I kan dokumentere brugen. Vi arbejder efter anerkendte sikkerhedsprincipper og hjælper jer med at få de rette aftaler og adgangsstyring på plads, så AI bliver en fordel, ikke en risiko.

Kom sikkert i gang

AI kan løfte jeres virksomhed markant, når det er sat rigtigt op. Er I i tvivl om hvordan I bruger AI sikkert med jeres egne data, så lad os tage en snak om jeres konkrete situation.

Book en AI-samtale med Agent360, så gennemgår vi jeres behov, jeres data og den opsætning der giver jer gevinsten uden risikoen.