Din AI ved for meget: Konfidentiel AI er ikke længere et valg

Generative modeller er ved at gå fra forskningslaboratorier til almindelige forretningsprocesser — og en tavs, strukturel svaghed er ved at vokse lige så stærkt.

Tag dette eksempel: Microsoft Copilot fåede adgang til næsten tre millioner følsomme rekorder per organisation i første halvår af 2025. Sådanne tal betyder, at der er et systemisk problem med, hvordan AI håndteres. Virksomheder har bygget kraftfulde motorer til at behandle data, men de har ikke indført tilstrækkelige beskyttelser for de data, de bruger.

Store sprogmodeller og assistentværktøjer beregner ofte dokumenter, meddelelser og databaser uden nogen hardware-baseret beskyttelse. Denne lukning, der afslører “data i brug” under inference, truer nu direkte virksomheder, der prioriterer privatliv, overholdelse og kundetillid.

Her kommer konfidentiel beregning ind i billedet. Processen bruger hardware-understøttede trusted execution environments (TEEs) til at holde kode og data sikre, mens de er i brug. Disse TEEs er isolerede hukommelsesområder, der er beskyttet mod værtsoperativsystemet og hypervisor.

Denne beskyttelse ændrer sikkerhedsmodellen, så hemmeligheder kan behandles uden at blive afsløret for resten af stacken. Microsoft og andre cloud-leverandører tilbyder nu private inference og virtuelle maskiner (VMs), der integrerer inference inden for TEEs.

Hvorfor privatliv er vigtigt for regler og styre

Konventionel kryptering beskytter normalt data, der enten er i ro eller under overførsel, med data, der aktivt behandles, ikke nyder samme beskyttelse, selvom det er, hvor generativ AI interagerer mest med private input.

Tidligere på året afslørede en undersøgelse af Cornell University-forskere om Trusted Compute Units hvordan hardware-baseret isolation og attestation kan hjælpe med at reducere behovet for tillid mellem parter. Desuden estimerede analytikere sidste år, at værdien af privat beregningsinfrastruktur var værd over $13 milliarder, med prognoser, der indikerer endnu hurtigere vækst til $350,04 milliarder i 2032.

Med andre ord, flere mennesker bruger teknologien, hvilket får regulatorer og overholdelseshold til at vise mere interesse for AI-systemer end nogensinde. Som sådan vil en ramme, der sikrer, at følsomme data aldrig forlader beskyttet eksekvering under modelforespørgsler, gøre det lettere at følge spor, og reducere risikoen for juridiske problemer.

Men hvis runtime-beskyttelser ikke bliver normen, kunne denne forskel gøre det sværere for regulatorer at acceptere AI i områder, der er tæt reguleret.

Reelle situationer, hvor privatliv er et must

Der er flere virksomheds-scenarier, der viser, hvorfor konfidentiel AI ikke er en luksus, men noget, som hver organisation må have.

For eksempel i finans, kan dette anvendes på institutioner, der skal køre svindelforebyggelse og risikomodeller mod kundetransaktionshistorik uden at give eksterne modeloperatører adgang til rå rekorder.

I sundhedssektoren kan der være situationer, hvor diagnostiske modeller skal operere på beskyttet klinisk data, mens patientens privatliv og strenge regulatoriske forpligtelser overholdes. Desuden kan regeringer og forsvarsmyndigheder kræve attesteret eksekvering for at køre følsomme arbejdslast på tredjeparts-clouds.

Der er også forskningsrørledninger, der kombinerer datasæt fra flere kilder, især fælles sundhedsforskning, der kun kan fortsætte, hvis hver deltager er sikker på, at deres input forbliver ulæselige under beregning.

Der er også akademisk og industrielt forskning, der dokumenterer privatlivsbeskyttende ML-tilgange for medicinske arbejdsgange, der passer godt med konfidentiel eksekvering.

Hvordan konfidentiel eksekvering beskytter data-i-brug

Konfidentiel eksekvering afhænger af to forbundne systemer: hardware-isolation og attestation. Hardware-isolation forhindrer software uden for den sikre enclave i at læse enclave-hukommelse.

Attestation er en verificerbar måde at kontrollere, om koden, der kører inde i enclaven, og om enclaven selv er ægte. Disse funktioner giver en model-ejer mulighed for at vise, at en model vil fungere med input i en verificeret, forseglede omgivelse, og at output kun vil komme ud efter, at enclavens regler er ført.

Resultatet er en kontrakt mellem data-ejere, model-operatører og cloud-leverandører, der gør det mindre sandsynligt, at de behøver at bruge modstridende juridiske løsninger eller tilgå sarte politiske akrobatik.

Realistiske begrænsninger og hindringer

Selvfølgelig medfører overgangen til konfidentiel AI sine egne udfordringer. Attestation og hardware, der kan fungere i enclaver, gør implementering mere kompliceret, da der er et gap i økosystemet mellem traditionel model-servering og enclave-bevidste runtime. Nogle enclave-runtime påligger tungt overhead, koster op til ti gange mere at køre, og der kan også være kompromiser i ydelse afhængigt af arbejdsmængden.

Desuden er omkostningerne højere nu end de var for almindelig cloud-inference, hvilket kan gøre det svært for små virksomheder at forstå tallene. Der er også spørgsmålet om ændring af interoperabilitetsstandarder, der kan efterlade nogle tidlige adopterer i risiko for at blive fanget af deres leverandører.

Men disse problemer er kun midlertidige ingeniørproblemer, der kan løses. Cloud-leverandører og chip-fabrikanter udgiver hele tiden nye produkter, og software-projekter udvikler middleware, der forbinder nuværende ML-stacks og TEEs.

Hvis noget, er virksomheder, der mener, at standard-kryptering og adgangskontrol er nok, i større fare, fordi de vil være sårbare, når modeller behandler store mængder følsomme rekorder.

Et opkald til ændringer i virksomhedspraksis

Risikostyringshold behøver at ændre reglerne for, hvordan man køber og bruger AI. Dataklassificering og styre er stadig vigtigt, men de skal være bakket op af tekniske garantier, når de er i brug.

Kontrakter med tredjeparts-model-leverandører skal kræve, at de viser bevis for attestation. Indkøbshold skal bede om ydelses-baselines og auditerede muligheder for konfidentiel eksekvering. Red-team-øvelser skal inkludere enclave-bevidst testning som en del af deres arbejde. Disse skridt flytter ansvar fra ad hoc-forpligtelser til kontroller, der kan verificeres.

Desuden skal offentlig politik og branchestandarder sætte forventninger. Revisorer, overholdelsesofficerer og regulatorer skal kræve verificerbare runtime-sikkerhedsforanstaltninger for kategorier af arbejdslast, der behandler reguleret data.

Disse regler vil reducere antallet af dataudfald, der sker senere, og give sektoren friheden til at innovere uden at bekymre sig om juridiske problemer. Dette vil give finans, sundhedssektor og offentlig sektor mulighed for at bruge nye modeller uden nogen regulatoriske hindringer.

Fortrolighed som standard

Generativ AI er blevet et nyttigt værktøj for virksomheder, der arbejder med meget private oplysninger. Denne realitet betyder, at konfidentiel eksekvering ikke længere er et niche-valg; det skal være standardpraksis for enhver AI-system, der håndterer reguleret, ejendoms- eller personlige data.

Der er allerede værktøjer til rådighed, som TEEs, attestationstjenester og private VM-tilbud, og økonomien bliver bedre meget hurtigt. Den anden mulighed er at holde følsomme aktiver åbne for inference-tids-lækage, hvilket kan have juridiske, finansielle og reputationsmæssige konsekvenser, som virksomheder ikke længere kan betale. For eksempel nåede den gennemsnitlige globale dataudfaldskost ifølge IBM’s 2025 Cost of Data Breach-rapport næsten $5 millioner, med regler som GDPR pålægger bøder på op til €20 millioner for alvorlige dataudfald.

Virksomheder, der sætter privatliv først i AI-styre, vil have en fordel: de kan køre mere grundige, overholdelses-test og bruge modeller i områder, hvor ekstern innovation tidligere var lukket. Med andre ord, beskyttelse af data, mens modeller kører, er ikke en barriere for adoption; det er grundlaget for ansvarlig, skalerbar AI i forretning og regering.