Endast 29% av säkerhetsteamen kan regelbundet rapportera vilka känsliga uppgifter medarbetare skickar till AI-verktyg

Den här artikeln bygger på resultaten i Cloud Security Alliance’s (CSA) undersökningsrapport för 2026, DLP under AI-eran, som Jazz beställde.

I juni och juli frågade CSA 433 IT- och säkerhetsexperter om deras team kunde ta fram en rapport som visade hur många gånger känsliga uppgifter hade skickats till generativa AI-verktyg under de senaste 30 dagarna. Tjugonio procent svarade att de kunde ta fram en sådan rapport regelbundet.

Den siffran skulle vara mindre betydelsefull om de svarande betraktade generativ AI som en mindre viktig kanal. De rankade den i stället som den största risken för dataexfiltrering, och 48 % placerade den bland de tre största riskerna.

Jag leder ingenjörsarbetet på ett företag som utvecklar lösningar för att förhindra dataförlust, och en stor del av mitt arbete handlar om var i ett system bevis på dataöverföring finns och varför risk uppstår. Ur det perspektivet är gapet mellan vad teamen tror att de kan se och vad de kan visa en direkt följd av hur kontroller för generativ AI utformades.

Självförtroendet kring insyn i generativ AI är betydligt större än vad teamen kan visa

Drygt hälften av de svarande skattade sin insyn i generativ AI till 4 eller 5 av 5. Ändå kunde bara 29 % regelbundet styrka den bedömningen med en rapport som helt enkelt räknar hur många gånger känsliga uppgifter skickades till ett AI-verktyg.

Källa: Cloud Security Alliance, DLP in the AI Era (2026), n=433. Återskapad utifrån diagrammen på s. 22 och 23 i rapporten.

Tillämpningen av kontroller följer samma mönster. Endast 22 % av de svarande blockerar strikt känsliga uppgifter i kanalen för generativ AI. Flyttbara medier, som de svarande rankade som den lägsta risken för dataexfiltrering, har den högsta andelen strikt blockering: 31 %. Strikt blockering är vanligast i kanaler med den äldsta tekniken.

Källa: Cloud Security Alliance, DLP in the AI Era (2026), n=433. Återskapad utifrån diagrammen på s. 23 och 26 i rapporten; staplarna har skalats till 100 % där avrundning gjorde att en rad hamnade på 99 % eller 101 %.

Jazz publicerade också telemetridata från kundmiljöer tillsammans med undersökningen. Den genomsnittliga organisationen i dessa data hade 169,5 olika AI-verktyg i bruk, varav 9,8 var godkända. Det innebär att 94,2 % inte fanns med på listan över godkända verktyg.

Varför gapet uppstår: en verktygslista registrerar inga händelser

Standardlösningen på risker med generativ AI är att godkänna en handfull AI-tjänster genom företagsavtal och avråda från eller blockera resten. Siffran 94,2 % visar hur långt den listan i praktiken släpar efter. En ingenjör med en deadline använder det verktyg som löser dagens problem, eftersom det tar flera veckor att upphandla det godkända verktyget.

Även en fullständig lista skulle inte räcka för att ta fram den rapport CSA efterfrågade. Incidentteamet eller en revisor kommer att fråga om en specifik händelse där data lämnade organisationen, och en lista över verktyg innehåller inga händelser.

För att visa vad som hände vid den händelsen behöver du fyra uppgifter: vilka känsliga data det gällde, vilket verktyg som tog emot dem, vilket konto de skickades via och varför personen skickade dem.

Det är på kontonivå som styrningen av verktygen först brister. Samma webbplats används både för företagets företagskonto, med dess inställningar för lagring och avtalsvillkor, och för en medarbetares kostnadsfria personliga konto, som saknar båda delarna. Ett godkänt verktyg som används via en personlig inloggning ger dig ungefär lika lite underlag som ett verktyg som inte är godkänt.

Syftet är svårare att fastställa, men det avgör om något gick fel. En finansanalytiker som klistrar in en intäktsmodell i en chattbot för att rätta en felaktig formel gör sitt jobb. Samma inklistring från någon som sade upp sig i fredags kräver ett helt annat samtal. Det som skiljer situationerna åt är sammanhanget kring personen, något som aldrig framgår av själva innehållet.

De kontroller som används ser bara varsin plats

Undersökningen visade att det inte finns någon dominerande metod för att kontrollera känsliga uppgifter som skickas till AI-verktyg. Nätverksbaserad blockering av AI-domäner, innehållsinspektion i webbläsaren och enbart riktlinjer för godtagbar användning fick vardera mellan 21 % och 23 %. Företagsplattformar för AI med inbyggd DLP fick 10 %.

Var och en av dessa kontroller utformades kring en enda inspektionspunkt. En domänblockering tillåter eller stoppar en anslutning och registrerar vilken webbplats den gick till. Ett webbläsartillägg ser vad som skrivs i webbläsaren, men missar allt som skickas från en datorapp, en kodassistent i en kodredigerare eller ett kommandoradsverktyg. En företagsplattform för AI med inbyggd DLP ser vad som förs in i plattformen. Alla dessa lösningar väljer en enda plats att hålla uppsikt över och hoppas att det är där data skickas.

Den enda inspektionspunkten förklarar också siffrorna för tillämpningen av kontroller. Om en kontroll inte kan skilja ett företagskonto från ett personligt konto, eller en rutinmässig inklistring från en riskfylld, måste den blockera båda eller ingetdera. Strikt blockering hindrar då legitimt arbete tillsammans med det riskfyllda. På frågan om det främsta skälet till att de inte gått över till mer aktiv blockering uppgav 46 % av de svarande en rädsla för att störa arbetsflöden i verksamheten, och 39 % angav bristande tilltro till DLP-lösningarnas träffsäkerhet.

Förbehåll att ha i åtanke

Uppgifterna från enkäten är självrapporterade, och enkäten jämförde inte bedömningarna av synligheten med den faktiska täckningen. De svarande är i hög grad från Amerika (80 %) och från organisationer med färre än 5 000 anställda (67 %), så resultaten kanske inte är lika representativa för stora globala företag. Telemetrin kommer från organisationer som valt att införa den här typen av insyn, vilket kan innebära en överrepresentation av dem som redan oroar sig för den okontrollerade spridningen av AI.

Godkända verktyg och agenter kommer att göra listan ännu mer bristfällig

När godkända SaaS-produkter får AI-assistenter finns det ofta två svar på frågan om vilket verktyg som tog emot data: programmet som den anställda öppnade och AI-modellens leverantör. AI-agenter gör frågan ännu mer komplicerad. När en agent hämtar en fil och skickar den någonstans åt en anställd handlar frågan om vem som gjorde det och varför nu delvis om programvaran. Som en nyligen publicerad artikel från Unite.AI om promptinjektion i agenter i produktion påpekar kan en agent styras av innehåll som den läser, så dess egen redogörelse för vad den gjort kan inte ersätta belägg för syftet.

Ett test du kan göra den här månaden

Utgå från de senaste 30 dagarna och välj den känsligaste information som du tror har nått ett AI-verktyg. Kontrollera sedan om teamet kan ta fram följande utan att sammanställa det manuellt:

• Vilken information det var och varifrån den kom
• Vilket verktyg som tog emot den, även verktyg som inte finns med på er godkända lista
• Om den skickades via ett företagskonto eller ett personligt konto
• Vad personen arbetade med när hen skickade den

Om ni snabbt får svar på de två första frågorna, medan de två sista kräver att ni intervjuar den anställda, omfattar er styrning verktygslistan men väldigt lite av era data.