Ledelsen skal fastsætte tre ting, før generativ AI bliver en sikkerhedsrisiko: hvilke typer oplysninger der må bruges i hvilke tjenester, hvem der godkender et nyt AI-værktøj eller en ny AI-funktion, og hvordan reglerne hænger sammen med den informationssikkerhedspolitik, virksomheden allerede har. CISO’en kan lave udkastet og vurdere de enkelte tjenester. Beslutningen om, hvor grænserne går, er ledelsens, fordi den handler om kundeforhold, fortrolighed og forretningshemmeligheder. Reglerne kan stå på en enkelt side og bygge på de fortrolighedsniveauer, virksomheden i forvejen bruger.
Hvorfor AI hører under sikkerhedsarbejdet
Generativ AI er tjenester, som skriver tekst, laver billeder, opsummerer dokumenter og svarer på spørgsmål. Set fra sikkerheden er de først og fremmest et sted, hvor virksomhedens oplysninger kan havne. Når en medarbejder indsætter et tilbud, en kontrakt eller et udtræk fra kundesystemet, forlader oplysningerne virksomheden og behandles efter tjenestens vilkår.
Tre forhold gør det til et ledelsesspørgsmål. Tjenesterne er lette at tage i brug med en privat konto, så IT ser dem ikke. Vilkårene er forskellige, også mellem privatudgaven og erhvervsudgaven af samme tjeneste. Og flere af de systemer, virksomheden allerede bruger, har fået indbyggede assistenter, der kan læse mails, dokumenter og mødeoptagelser. Uden regler træffer den enkelte medarbejder valget hver gang.
Hvilke oplysninger må bruges hvor
Den mest anvendelige regel bygger på de fortrolighedsniveauer, virksomheden allerede har. Har I ikke nogen, er det et godt tidspunkt at indføre dem, og fremgangsmåden står i artiklen om dataklassifikation.
Et enkelt eksempel med tre niveauer kan se sådan ud.
- Offentlige oplysninger. Tekster fra hjemmesiden, offentliggjorte produktbeskrivelser og lignende må bruges i alle tjenester, også dem uden aftale.
- Interne oplysninger. Arbejdsnotater, interne procedurer og udkast må kun bruges i tjenester, som virksomheden har godkendt og har en erhvervsaftale med.
- Fortrolige oplysninger. Personoplysninger, kundeforhold, priser, tegninger, kildekode og alt, der er omfattet af en fortrolighedsaftale, må kun bruges i tjenester, som er godkendt specifikt til formålet, eller slet ikke.
Reglen skal være så enkel, at en medarbejder kan afgøre det på ti sekunder. Er medarbejderen i tvivl, skal svaret være at spørge, og der skal være en person at spørge. Kommer der personoplysninger ind i billedet, bør den, der rådgiver virksomheden om persondata, inddrages, før en tjeneste godkendes til dem.
Godkendelse af nye værktøjer og funktioner
Nogen skal have mandat til at sige ja eller nej til en ny AI-tjeneste. I en mindre virksomhed er det typisk direktøren eller den, der ejer IT, efter en vurdering fra CISO’en. Vurderingen bør besvare få spørgsmål. Hvor behandles oplysningerne? Bruger leverandøren det, der lægges ind, til at træne sine modeller, og kan det slås fra? Kan virksomheden styre brugerne centralt og lukke en konto, når en medarbejder stopper? Hvad sker der med oplysningerne, hvis aftalen opsiges?
Svarene kan samles på en side pr. tjeneste. Den samme fremgangsmåde bruges ved andre nye systemer og er beskrevet i sikkerhedsreview før en ny leverandør. Godkendte tjenester skrives ind i virksomhedens leverandøroverblik, så det er kendt, hvem der har adgang til hvilke oplysninger.
Konti, adgange og indbyggede assistenter
To regler løser mange problemer. Arbejde udføres med virksomhedens konti, aldrig med private. Og de indbyggede assistenter i kontorpakken, CRM-systemet eller mødeværktøjet slås kun til, når nogen har vurderet, hvad de får adgang til.
Det sidste er let at overse. En assistent, der kan søge i alle mails og dokumenter, ser det samme, som brugeren har adgang til. Er rettighederne for brede, kan assistenten finde oplysninger frem, som medarbejderen aldrig ville have fundet selv. Derfor hænger AI-reglerne sammen med adgangsstyringen, og en gennemgang af rettighederne bør ske, før funktionen åbnes for alle.
Sammenhængen med informationssikkerhedspolitikken
AI-reglerne bør ikke stå som et selvstændigt dokument uden forbindelse til resten. Politikken fastlægger principperne, og AI-reglerne er en anvendelse af dem. Det giver tre fordele. Reglerne ændres af den samme person og godkendes på samme måde. Undtagelser behandles i den samme proces som andre undtagelser. Og medarbejderne finder AI-reglerne samme sted som de øvrige sikkerhedsregler for medarbejderne.
Hvad selve politikken skal indeholde, står i artiklen om informationssikkerhedspolitik. AI-reglerne bør tages op mindst en gang om året, fordi tjenesterne og deres vilkår ændrer sig hurtigt.
Forordningen om kunstig intelligens
EU’s forordning (EU) 2024/1689 om kunstig intelligens indeholder i art. 4 en bestemmelse om AI-færdigheder hos dem, der arbejder med AI-systemer på virksomhedens vegne. Bestemmelsen er ændret i 2026, og den gældende ordlyd bør læses på EUR-Lex, før virksomheden henviser til den i sine regler. Forordningen har også særlige regler for visse anvendelser, fx ved ansættelser, og de bør vurderes af en jurist, hvis AI skal bruges dertil.
Hvem i virksomheden der bør eje brugen af AI mere bredt, og hvad kravet om færdigheder betyder for ledelsen, er beskrevet på ekstern-it-ledelse.dk under ansvarlig for AI-anvendelse. Her handler det om sikkerhedsreglerne.
Det skal I lade være med
- At lade de første regler bestå af et forbud. Brugen fortsætter med private konti, og I mister overblikket.
- At godkende en tjeneste ud fra navnet. Vilkårene afhænger af udgaven og af aftalen.
- At åbne en indbygget assistent for alle på én gang. Gennemgå rettighederne først.
- At skrive AI-reglerne uden at bruge jeres fortrolighedsniveauer. Så opstår to sæt regler, der siger noget forskelligt.
- At lade reglerne ligge i flere år. Tjenesterne ændrer sig hurtigere end de fleste andre systemer.
Det skal I kræve af den eksterne
Den eksterne CISO skal kunne vurdere tjenesterne uden at have en interesse i, hvilken der vælges. Spørg direkte, om der er partneraftaler eller provision fra AI-leverandører.
- ☐ En opgørelse over AI-tjenester og indbyggede funktioner, der er i brug i dag.
- ☐ Et udkast til regler på én side, bygget på jeres fortrolighedsniveauer.
- ☐ En kort vurdering af hver tjeneste, der foreslås godkendt.
- ☐ En plan for at gennemgå rettigheder, før indbyggede assistenter slås til.
- ☐ En fast dato for, hvornår reglerne tages op igen.
- ☐ Oplysning om bindinger til de leverandører, der indgår i vurderingen.
Første skridt
Spørg afdelingslederne, hvilke AI-tjenester deres medarbejdere bruger, og til hvad. Lad CISO’en vurdere de tre mest brugte og lave et udkast til reglerne. Godkend udkastet på et direktionsmøde, og fortæl medarbejderne om det samme uge. Arbejdets plads i den samlede risikostyring er beskrevet under risikovurdering og sikkerhedsstrategi.
Kilder
- Forordning (EU) 2024/1689 om kunstig intelligens, EUR-Lex: art. 4 om AI-færdigheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsregler for medarbejderne · Informationssikkerhedspolitik
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
