Hvordan skal virksomheder håndtere AI-applikations-overbelastning?

Ikke-så-personlig computing

I årevis har teknologisk udvikling været drevet af ønsket om at gøre computing mere tilgængeligt. Fra smartphones til tablets, bærbare computere og wearable tech, er der en generel tendens til at gøre computere og deres funktioner mere personlige. Tænk blot på nomenklaturen af industrikæmpestene: “Personlig Computer”, eller PC; “i”-Pod, Pad, Phone og mere. Hver af disse enheder er designet til at fungere som en personlig ledsager, der hjælper med at strømlinje brugerens digitale oplevelse og, ved udvidelse, deres liv.

Udviklingen af kunstig intelligens (AI) – særligt store sprogmodeller (LLM) og agente løsninger – er hovedsageligt gået i samme retning. Ligesom PC’en og iPhone, har AI-værktøjer som ChatGPT gjort computing-aktiviteter som søgning, redigering og brainstorming mere tilgængelige for det brede publikum. Men som denne tilgængelighed har drevet øget brug, har det også øget risikoen.

Uanset om det er gennem forgiftede connectors eller ufrivillig søgemaskine-indeksering, truslerne mod privat AI-brug bliver mere og mere svære at beskytte imod. Tilføj usikkerheder omkring, hvem der bruger hvilke værktøjer, og virksomheder står over for en perfekt storm af voksende trusler og utilstrækkelig beskyttelse. Givet løftet om AI-værktøjer og usikkerheden om, hvordan man skal sikre dem, hvad skal en teknologi-fremadrettet virksomhed så gøre?

Væksten af ikke-godkendte AI-applikationer

Med over 700 million daglige brugere i 2025, er ChatGPT-brug vokset mere end 4 gange om året. Alligevel er kun fem millioner af disse brugere betalende forretningskunder. Dette gør de andre 695 millioner eller så medlemmer af deres brugerbase enten personlige eller ikke-godkendte forretningsbrugere. Dette tal synes stort, indtil man husker, at ChatGPT ikke er den eneste AI-løsning på markedet. Faktisk er det langt fra det – den samtidige eksplosion af AI og maskinlærings-fremgang har genereret hundredtusinder af nye modeller og løsninger, både offentlige og private.

For virksomheder har den eksponentielle vækst af AI-løsninger givet anledning til en ny dimension af cybertrusselforskningen kendt som “Shadow AI”. Ligesom fænomenet “Shadow IT” er dette begreb baseret på medarbejderbrug af AI-løsninger uden forudgående vurdering og udtrykkelig godkendelse af deres organisation. Dette bypasser helt IT- og sikkerheds-overvågning, hvilket fører til scenarier, hvor medarbejdere kunne bruge potentielt farlige eller usikre løsninger til følsomt arbejde.

Shadow AI-brug er både udbredt og voksende. En rapport fandt, at over 320 ikke-godkendte AI-applikationer bruges i gennemsnit pr. virksomhed. Hver af disse ikke-godkendte applikationer og deres brug af medarbejdere udvider trusselslandskabet yderligere.

De indbyggede risici ved AI-overbelastning

Truslerne forbundet med AI-overbelastning er multifacetterede og, desværre, konstant voksende. Nogle, som dataforgiftning, prompt-injektion, model-manipulation og data-skrapning, er almindelig kendt. Disse direkte forsøg på AI-manipulation og udnyttelse kan give onde aktører adgang til følsom virksomhedsdata og interne systemer. Givet denne risiko, begynder virksomheder at aktivt beskytte sig imod disse angreb.

Men virksomheder kan kun beskytte sig imod de trusler, de kender. Tænk på at sikre en middelalderlig borg. Mure, vagttårne, porte, volde og mere hjælper med at sikre borgen imod ydre fjender og indtrængere. Men hvad hvis køkkenpersonale har en hemmelig passage, der bypasser de ydre mure? Eller en højrøstet vagt er hørt diskutere vagtskift på den lokale kro? Enhver af disse ukendte trusler kunne hjælpe tyve med at bypasser sikkerheden og bryde ind i de indre mure.

Shadow AI har den samme effekt på virksomhedsdatasikkerhed. Selv det velmente brug af ikke-godkendte LLM’er og copilot’er kan betyde katastrofe for beskyttelse af følsomme data, da enhver usikker løsning kan fungere som en port til onde aktører. Ethvert LLM-brug øger inherent risikoen for problemer som data-opbevaring, prompt-injektion eller model-forvrængning, hver af disse kræver deres egne relevante sikkerhedsforanstaltninger. Dette øger risikoen for data-lækager, overtrædelser af regler og operationelle fejl, som ofte kun opdages efter skaden allerede er sket.

At etablere kontrol over AI-løsninger

Da AI-brug fortsætter med at vokse på både personligt og virksomhedsniveau, er det afgørende, at organisationer etablerer kontrol over disse løsninger, før adoption vokser ud over deres kontrol. At sikre virksomheds-AI og beskytte imod ikke-godkendte AI-risici indebærer:

1. At opnå omfattende oversigt. Som nævnt, kan man ikke sikre sin data imod trusler, man ikke er bekendt med. Sikkerhed begynder med overvågning på tværs af alle AI-løsninger, som medarbejderne bruger – både godkendte og ikke-godkendte. Dette er lettere sagt end gjort, men en cloud access security broker (CASB) løsning kan hjælpe med at etablere kontinuerlig oversigt over medarbejderapplikationsbrug.
2. At udføre grundige risikovurderinger. Holdene skal udføre TPRM-bestræbelser for at sikre, at alle AI-løsninger vurderes for deres sikkerhed og potentielle risici. Disse bestræbelser skal også omfatte fjerdeparts-niveauet, da selv godkendte applikationer som CRM eller produktivitetsplatforme begynder at integrere eksterne LLM-kapaciteter i deres platforme. Disse fjerdeparts-løsninger skal overholde de samme sikkerhedsstandarder som enhver internt godkendt applikation.
3. At etablere styrestrukturer. Med denne overvågning på tværs af og forståelse af deres løsninger kan organisationer udvikle og implementere konsistente AI-styrestrukturer på tværs af deres applikationssystem. Ligesom med dataadgang kan disse styrestrukturer hjælpe med at kontrollere, hvilke AI-løsninger medarbejderne kan få adgang til, hvilken information de kan dele med dem, og gennemsigtigheden af deres daglige brug.
4. At automatisere risikodetektion. Den eksponentielle vækst af AI-adoption gør manuel risikodetektion og respons næsten umulig. At automatisere disse processer baseret på styrestrukturer og forventet brugeradfærd kan hjælpe med at proaktivt identificere afvigelser og begrænse deres bredere sikkerhedsindvirkning.
5. At forklare medarbejderforventninger. Det vigtigste aspekt af sikker AI-adoption og -brug er medarbejderne. At give tilstrækkelig træning og fastlægge klare forventninger vil hjælpe med at forebygge risikabel AI-brug og gennemtvinge den sikre, forretningsdrevne brug af godkendte og beskyttede løsninger.

At opretholde sikker AI-adoption

Ved at etablere disse proaktive sikkerhedsforanstaltninger opnår virksomheder en mere holistisk oversigt over, hvordan de bruger AI-løsninger – både godkendte og i “skyggen”. Dette har en umiddelbar indvirkning på sikkerheden, da holdene kan identificere eksisterende risici og trusselsvektorer og tage handling for at afhjælpe dem.

Men det er endnu vigtigere, at det sætter disse virksomheder op til langsigtede AI-succes. Ved at skabe den tekniske grundlag for sikker AI-adoption og en sikkerheds-først-kultur blandt AI-brugere, hjælper denne flerdelte tilgang med at skabe en bæredygtig model for fremtidige AI-værktøjer. Med teknisk support og tilstrækkelig træning kan medarbejderne nyde AI’s fordele uden at være belastet af dens indbyggede risici.

Virksomheder, der foretager disse ændringer tidligere snarere end senere, vil være bedst forberedt på at møde fremtiden for AI-løsninger, uanset hvad de må bringe. At lægge arbejdet i fronten for at skabe et stærkt grundlag – snarere end blot at skynde sig for at afkrydse AI-adoption – vil sætte holdene i den bedste mulige position for bæredygtigt AI-drevet succes.