Farene for nei til AI

Jeg ringte inn på et potensielt klientselskaps møte forrige uke. Alle sikkerhets- og nettverksfolk var der, samt ledelsen. Forskjellige presentatører dekket aktuelle emner. Så begynte noen å forklare hvordan deres tekniske team bruker AI i deres daglige arbeid.

Presentatøren var spennende. Han hadde funnet en måte å komprimere tre dagers manuelt kopier-og-lim-arbeid ned til noen minutter ved hjelp av AI-verktøy. Super kul, ikke sant? Jeg forstår hva han gjorde – og hvorfor han gjorde det. Dette er løftet til AI!

Men som sikkerhetsperson i rommet, tenker jeg: “Oh my God.” “Hva er verktøyet? Hvem eier verktøyet?” Fordi han setter kundinformasjon inn i disse plattformene – prisinformasjon. Kanskje finansiell informasjon? Uansett hva det måtte være. Alt for å accelerere arbeidsflyten.

Så spurte jeg det åpenbare spørsmålet: “Har du en AI-politikk?” Vi gikk på leting. Funn en kort tekst gjemt på akseptabel bruk. Noe vagt om AI-verktøy. Leser noen det faktisk? Kanskje ikke. Du signerer det under opptak, og du er ferdig.

Dine ansatte bruker allerede AI

Her er hva jeg har lært ved å snakke med selskaper over hele bransjen: AI er allerede overalt, uansett om du erkjenner det eller ikke. Nylig forskning bekrefter denne virkeligheten – 75% av arbeidstakere bruker nå AI på jobb, nærmere dobbelt så mye som for bare seks måneder siden.

Forrige uke i Houston, møtte jeg en fyr hvis selskap borer etter olje. De har en AI-plattform som analyserer jordens sammensetning og værmønster for å optimalisere boringsteder. Han forklarte hvordan de tar hensyn til regndata – “Vi visste det regnet 18 dager mer enn det gjorde i dette området, så oljekapasiteten er sannsynligvis høyere, hvilket tillater at boringene kommer dyptere inn.”

Mens jeg bruker AI til å lage en reiserute for Tyskland. Jeg har snakket med selskaper i helsevesenet som bruker det til telehelseplattformer. Finanslag som kjører risikomodeller. Jeg møtte sogar noen som driver en limonade-forretning som utnytter AI på noen måte.

Poenget er: AI er i hver bransje, hver arbeidsflyt. Det kommer ikke – det er her. Og de fleste av disse organisasjonene er i samme båt som oss. De vet at ansatte bruker det. De vet bare ikke hvordan de skal håndtere det.

Skjult IT blir farlig raskt

Vet du hva som skjer når du forteller folk at de ikke kan bruke AI? Det er akkurat som å fortelle din tenåring at de aldri kan drikke. Gratulerer, nå kommer de til å drikke på de farligste måtene, fordi du har skapt et forbud.

Tallene bekrefter denne virkeligheten: 72% av generativ AI-bruk i bedrifter er skjult IT, med ansatte som bruker personlige kontoer for å få tilgang til AI-applikasjoner.

Folk får en ekstra laptop. De bruker sin personlige telefon som ikke er beskyttet av selskapets sikkerhet. Så bruker de AI likevel. Plutselig mister du oversikten og skaper de eksakte hullene du prøvde å forebygge.

Jeg har sett denne mønsteren før. Sikkerhetsteam som sier “nei” til alt, ender med å drive folk under jorden – og mister all oversikt over hva som faktisk skjer.

Sikkerhet blir fienden

Det er en oppfatning av at sikkerhetsteam er “de vonde guttene i kjelleren”. Folk tenker: “Oh, sikkerhet vil sannsynligvis si nei til alt, så never mind those guys. Jeg kommer til å gjøre det likevel.”

Vi har skapt denne misforståelsen. Og med AI, er folk fordomsfulle til å anta at vi kommer til å stanse dem, så de bryr seg ikke om å spørre. Det dreper kommunikasjonen du faktisk ønsker.

Jeg hadde en utvikler som kom opp til meg etter en konferanse-presentasjon. Han bruker APIer hver eneste dag og hadde prøvd å få sikkerhetsteamets oppmerksomhet om testing og validering. Men han hadde bestemt seg for å ikke spørre, fordi han trodde de bare ville si nei.

Tillitsunderskuddet koster deg alt

Her er samtalen du ønsker: noen fra markedsføring kommer opp til deg og sier: “Hei, jeg vil bruke dette AI-verktøyet. Hva er vår holdning til det? Hvordan kan jeg bruke det trygt?” Det er riktig måte å samarbeide med sikkerhet på.

Vi kommer til å verifisere det. Vi forstår at AI vil være en del av forretningen. Vi kommer ikke til å si nei til det – vi ønsker at folk skal bruke det trygt. Men vi trenger denne samtalen først.

Når folk antar at sikkerhet vil blokkere alt, stopper de med å spørre. De registrerer seg med personlige e-poster, begynner å mata selskapsdata inn i uvurderte plattformer, og du mister all oversikt og kontroll. Resultatet er forutsigbart: 38% av ansatte deler følsomme arbeidsopplysninger med AI-verktøy uten arbeidsgivers tillatelse.

Organisasjoner kommer til å bruke AI uansett hva. Spørsmålet er: hvordan kan vi sikre at ansatte kan utnytte det trygt uten å sette selskapsdata, personvern eller sikkerhet i fare?

Start med smarte ja, ikke blanke nei

Her er hva som faktisk fungerer: proaktiv kommunikasjon. Send nyhetsbrev eller kjør 30-minutters webinare som sier: “Vi tillater AI innen organisasjonen. Her er hvordan du kan bruke det trygt.” Opptak sessionene for folk som glemmer dem.

Vis eksempler på ansatte som har samarbeidet med sikkerhet med hell. Gjør disse samarbeidene synlige i stedet for å være en skyggefigur som folk antar vil stanse dem.

Du må bygge tillit over tid mellom sikkerhet og ansatte. Til slutt er vi alle bruker AI på store og små måter. Jeg brukte det til å planlegge min Tyskland-reise – fortalte det å lage en tre-dagers reiserute og fikk en rockende tur ut av det.

Fra et organisatorisk ståsted, må vi erkjenne hvor AI befinner seg i forretningen. Vil det øke inntekten? Sannsynligvis. Forretningscasen er klar: AI har flyttet fra ‘eksperiment’ til ‘essensielt’, med bedrifts-utgifter som øker med 130%. Så, hva gjør vi? Hvordan kan vi gi beskyttelse samtidig som vi muliggjør produktivitet?

Målet er ikke fullstendig kontroll, det er umulig. Målet er informert AI-tilpasning med retningslinjer som faktisk fungerer i praksis. Den nye risikoen for sikkerhet er å bli isolert fra AI-bruk – bruk som skjer med eller uten deg.

For organisasjoner som er seriøse med å få dette rett, anbefaler eksperter å utvikle klare AI-styringspolitikker som balanserer forretningsbehov med sikkerhetskrav før skjult AI-bruk spirer fullstendig ut av kontroll.