Når misbruk av AI utløser en korporativ krise

De fleste selskaper mangler politikker for å forebygge omdømmeskatteulykker fra kunstig intelligens-verktøy

Nyere undersøkelser avslører at bare om lag 30 prosent av selskaper har etablert AI-politikker. I mellomtiden deler 77 prosent av ansatte firmahemmeligheter på ChatGPT, ifølge Enterprise AI and SaaS Data Security Report fra 2025 av LayerX. Denne kombinasjonen skaper perfekte forhold for omdømmeskatteulykker.

De fleste AI-politikker som finnes, fokuserer på tekniske og compliance-risikoer. De omhandler datasikkerhetsprotokoller, leverandør vurderinger og regulatoriske krav. Hva disse politikker ofte mangler, er en PR-katastrofe som kan utvikle seg innen få timer på grunn av AI-misbruk. Hos Red Banyan rådgir vi en økende mengde organisasjoner gjennom AI-relaterte kriser, og vi begynner å se et vanlig mønster. Den tekniske bruddet blir vanligvis begrenset raskt, men skaden på omdømme, kunde relasjoner og stakeholder-tillit kan vare i måneder eller år.

Det skjulte AI-problemet

Den største trusselen kommer fra det som sikkerhetsekspertene kaller “Skygge-AI.” Dette er når ansatte bruker ugodkjente, personlige AI-kontoer for arbeidsoppgaver, og omgår firmaets sikkerhetskontroller. Det skjer vanligvis uten at de fullt ut innser risikoene.

Ifølge forskning fra Cyberhaven, er 11 prosent av data som ansatte legger inn i ChatGPT, konfidensielle. Denne tallen bør alarmere hver enkelt CIO og kommunikasjonssjef. Vi snakker om kildekode, kundeavtaler, ikke offentliggjorte produktplaner, finansielle prognoser og ansatteregister som flyter inn i systemer som organisasjonene ikke kontrollerer.

Hvordan dataeksponering skjer

Programvareingeniører kan bruke AI-verktøy som Claude eller ChatGPT til å feilsøke eller optimalisere kode. I 2023 gjorde Samsungs programvareingeniører nettopp det – de lastet opp intern kildekode til ChatGPT mens de forsøkte å feilsøke problemer. Lekkasjen av konfidensiell kode tvang Samsung til å implementere omfattende restriksjoner på AI-bruk i alle ingeniøravdelinger.

Markedsføringsprofesjonelle og HR-personale bruker ofte AI til å polere sin skriving. De laster opp utkast til forslag, interne politidokumenter og noen ganger også kundeavtaler, og ber AI om å forbedre klarskap eller korrigere grammatikfeil. Disse dokumentene inneholder ofte finansielle prognoser, juridiske begreper eller strategiske planer som konkurrenter ville finne verdifulle.

Kundeserviceteam som eksperimenterer med AI-effektivitet, legger noen ganger inn faktiske kundesamtaler og støttesaker. De ønsker at AI skal sammenfatte interaksjoner eller foreslå bedre svar. Når disse innleggene inkluderer kundenavn, kontaktinformasjon, kontoopplysninger eller kjøpehistorikk, har selskapet potensielt brutt mot personvernregler som GDPR eller CCPA.

Produktutviklingsteam som brainstormer nye funksjoner, kan beskrive ikke offentliggjorte funksjoner til ChatGPT, i håp om at AI kan hjelpe med å finpusse ideene eller identifisere potensielle problemer. Disse beskrivelsene kan avsløre konkurransefordeler, teknologiske innovasjoner eller markedstrategier som selskapet ønsker å holde hemmelig til lansering.

Alt denne informasjonen kunne potensielt bli lagret av store språkmodeller og påvirke AI-svar til andre brukere i fremtiden.

For eksempel, etter at produktutviklingsteamet har beskrevet deres kommende produkt til ChatGPT, kan en konkurrent eller journalist spørre AI-verktøyet om det selskapets kommende lanseringer. ChatGPT kan henviser til de konfidensielle opplysningene som ble delt og avsløre en ny produkt eller teknologi som selskapet har brukt betydelige ressurser på å utvikle.

Hvordan dette blir en PR-krise

Når disse hendelsene kommer for dagen, blir de sjelden begrenset til IT-problemer. Her er hva som vanligvis skjer:

Bruddet blir oppdaget, ofte ved en tilfeldighet eller gjennom en tredjepartsvarsel. IT begynner å undersøke mens de prøver å vurdere omfanget. I mellomtiden, hvis hendelsen involverer kundedata eller regulerte opplysninger, krever loven at det offentliggjøres. Når det offentliggjøres, begynner mediadekning. Sosiale medier forsterker historien. Kunder begynner å ringe med bekymringer. Ansatte bekymrer seg for jobbsikkerhet og egen ansvar.

Innen 24 til 48 timer har det som startet som et teknisk hendelse, blitt en fullstendig omdømmekrise. Selskapet må forklare til flere målgrupper hvordan dette skjedde, hvorfor kontrollene sviktet og hva som gjøres for å forebygge gjentakelse. Hvis selskapet ikke har forberedt seg på denne scenariet, er responsen ofte langsom, inkonsistent eller defensiv. Hver feilgrep forlenger krisen og dypper skaden.

Bygging av en krisehåndteringramme for AI-hendelser

CIOer må samarbeide med kommunikasjonsteam og juridiske team for å bygge krisehåndteringprotokoller spesifikt for AI-hendelser. Tekniske kontroller og politikker er viktige, men de er utilstrekkelige uten en plan for å håndtere mediareaksjonene når noe går galt.

Her er seks konkrete skritt for å starte denne prosessen:

1. Etabler tydelige eskalasjonsveier. Når en AI-relatert dataeksponering oppdages, hvem blir umiddelbart varslet? IT, Juridisk, Kommunikasjon og ledelsen bør alle bli informert raskt. Opprett en beslutningstre som bestemmer når kriseprotokollene skal aktiveres basert på type og sensitivitet av eksponert data.
2. Utvikle responsmal. Forhåndsskriv holdningsuttalelser og Q&A-dokumenter for vanlige AI-uhellsscenarier. Disse bør omhandle ansattmisbruk, leverandør-sikkerhetsproblemer og utilsiktet dataeksponering. Å ha malene klare tillater raskere og mer konsekvente responser når tiden er kritisk.
3. Trening av talspersoner. Ledere og kommunikasjonspersonale trenger medietrening spesifikt rettet mot hvordan diskutere AI-hendelser. Teknologien er kompleks og full av jargon, som kan være vanskelig å navigere når man skal svare på spørsmål fra interessenter.
4. Overvåk for tidlige varslinger. Sosiale medier overvåking bør inkludere nøkkelord relatert til din organisasjon og AI-verktøy. Noen ganger er den første indikasjonen på et problem en ansatt som poster på LinkedIn eller en kunde som klager på Twitter om et AI-generert svar.
5. Gjennomfør krisesimuleringer. Bord-øvelser som går gjennom en AI-dataeksponeringsscenarie, hjelper teamene å forstå deres roller og identifisere hull i responsplanen. Disse simuleringene bør involvere IT, Juridisk, Kommunikasjon, HR og ledelse.
6. Bygge relasjoner før du trenger dem. Etabler forbindelser med krisekommunikasjonsfirmaer, cybersecurity-eksperter som kan gi tredjepartsvalidering, og juridisk rådgivning med erfaring i AI-relaterte saker. Når en krise inntreffer, ønsker du å ha betrodde rådgivere som kan mobilisere umiddelbart.

Veien fremover

Gapet mellom AI-adoptsjon og AI-styring fortsetter å vokse. Ansatte har lett tilgang til kraftfulle verktøy som kan skape betydelige omdømmesrisikoer. CIOer har tradisjonelt fokusert på teknisk side av AI-risikostyring. Imidlertid krever den reputasjonelle dimensjonen av AI-hendelser like stor oppmerksomhet og forberedelse.

Spørsmålet er ikke om din organisasjon vil møte en AI-relatert krise. Gitt nåværende adopsjonsrater og utbredelsen av Skygge-AI, er spørsmålet når. Selskaper som forbereder seg nå, med politikker som omhandler både tekniske og reputasjonelle risikoer, vil klare disse hendelsene mye bedre enn de som blir tatt på sengen.