Varför företag förblir försiktiga med AI — och hur man distribuerar det på ett säkert sätt

AI har tagit världen med storm. Medan vissa organisationer var tidiga antagare, har många företag tagit en mer försiktig approach — bekymrade över sekretess, regelefterlevnad och operativa problem som består till denna dag.

Jag har arbetat med hundratals distributioner som involverar AI-drivna säkerhetsverktyg och sett ett välbekant mönster utvecklas. Champions bringar tidig entusiasm. Piloter visar löfte. Sedan kommer interna debatter, juridiska granskningar och till slut en paus när organisationer sjunker in i analysparalys. Trots den enorma potentialen hos AI att transformera säkerhetsoperationer, är många företag fortfarande ovilliga att fullt ut anta det.

I cybersäkerhet är försiktighet ofta den rätta instinkten. Men att fördröja AI-implementeringar kommer inte att stoppa de AI-drivna hoten som nu växer i skala och frekvens. Den verkliga utmaningen är hur man kan anta AI på ett säkert, medvetet och utan att kompromissa med förtroendet.

Här är vad jag har lärt mig från frontlinjen — och vad jag rekommenderar för säkerhetsledare som är redo att gå vidare med tillförsikt.

1. Dataförtroendeproblemet

Det första och största hindret är datormshantering. Många företag är rädda för att känsliga data kan läcka, missbrukas eller — värst av allt — användas för att träna en modell som gynnar en konkurrent. Stora dataintrång och otydliga leverantörsförsäkringar förstärker bara dessa farhågor.

Det är inte paranoia. När du hanterar kundens personuppgifter, immateriella rättigheter eller reglerade data, kan det kännas som att förlora kontrollen när du överlämnar dem till en tredje part. Och tills leverantörerna gör ett bättre jobb med att förtydliga sina policys kring datauppdelning, kvarhållning, fjärdepartsengagemang och modellträning, kommer antagandet att förbli försiktigt.

Här är det viktigt att styra och leda. CISO:er bör utvärdera leverantörer med hjälp av nya ramar som NIST AI Risk Management Framework eller ISO/IEC 42001, som erbjuder praktisk vägledning om förtroende, transparens och ansvar i AI-system.

2. Du kan inte förbättra vad du inte mäter

Ett annat vanligt hinder är bristen på basmätningar. Många företag kan inte kvantifiera den nuvarande prestandan, vilket gör det nästan omöjligt att bevisa ROI för AI-verktyg. Hur kan du påstå en 40% effektivitetsförbättring om ingen har spårat hur lång tid uppgiften tog före automatisering?

Antingen är det genomsnittlig tid till upptäckt (MTTD), falska positiva rater, eller SOC-analytiker som sparar tid, organisationer behöver börja med att mäta nuvarande arbetsflöden. Utan denna data, förblir fallet för AI anekdotiskt — och verkställande sponsorer kommer inte att godkänna storskaliga initiativ utan verkliga, försvarbara siffror.

Börja spåra nyckel-KPI:er nu, inklusive:

• Genomsnittlig tid till upptäckt/svar (MTTD/MTTR)
• Minskning av falska positiva, falska negativa och biljettvolym
• Analysttid som sparas per incident
• Förbättringar av täckning (t.ex. sårbarheter som skannats och åtgärdats)
• Incidenter som lösts utan eskalering

Dessa baslinjer kommer att bli ryggraden i din AI-försvarstrategi.

3. När verktygen fungerar för bra

Ironiskt nog är en av anledningarna till att AI-antagandet stannar av att vissa verktyg fungerar för bra — och avslöjar mer risk än organisationen är beredd att hantera.

Avancerade hotintelligensplattformar, mörkwebbövervakningsverktyg och LLM-drivna synlighetslösningar avslöjar ofta stulna autentiseringsuppgifter, liknande domäner eller tidigare oupptäckta sårbarheter. Istället för att skapa tydlighet, kan denna överväldigande synlighet skapa ett nytt problem: Var ska vi ens börja?

Jag har sett team som inaktiverar avancerade skanningar eftersom volymen av fynd skapar politisk eller budgetmässig obehag. Bättre synlighet kräver bättre prioritering — och en villighet att konfrontera problemen direkt.

4. Låsta i legacykontrakt

Även när bättre verktyg är tillgängliga, är många företag låsta i fleråriga avtal med legacy-leverantörer. Vissa av dessa kontrakt har ekonomiska straff som är så höga att att byta mitt i terminen är omöjligt.

E-postskydd är ett klassiskt fall. Moderna lösningar erbjuder nu AI-drivet hotdetektering, beteendemodellering och inbyggd motståndskraft för hybridmiljöer. Men om din nuvarande leverantör inte har hållit jämna steg och du är låst i ett femårsavtal, är du i princip fast i positionen tills kontraktet löper ut.

Det handlar inte bara om teknik. Det handlar om timing, upphandling och strategisk planering.

5. Upptåget av skugg-AI

AI-antagandet sker inte bara från toppen och ned — det sker överallt, ofta utan säkerhets medvetande. Vår forskning visar att över 85% av anställda redan använder AI-verktyg som ChatGPT, Copilot och Bard. (för att inte tala om DeepSeek och TikTok!)

Utan ordentlig tillsyn, kan anställda mata in känsliga data i offentliga verktyg, förlita sig på hallucinerade utdata eller oavsiktligt bryta mot företagets policys. Det är en regelefterlevnads- och dataskyddsnattmara, och att låtsas att det inte händer, löser inte problemet.

Säkerhetsledare behöver ta en proaktiv inställning genom:

• Att etablera godtagbara användarpolicys
• Att blockera ogodkända AI-appar där det behövs och omdirigera användare till godkända verktyg
• Att rulla ut godkända, säkra AI-plattformar för internt bruk
• Att utbilda anställda om ansvarsfull AI-användning

Fältanteckning: AI-användarpolicys kommer inte att ändra användningen. Du kan inte verkställa vad du inte vet om, så det första steget är att kvantifiera användningen, sedan växla om till verkställighet.

6. Upphandling medför egna risker

Få företag har den infrastruktur som behövs för att bygga och värd large modeller internt. Det betyder att upphandling ofta är den enda möjliga vägen — men det medför tredjeparts- och leverantörsrisker som CISO:er är alltför bekanta med.

Incidenter som SolarWinds, Kaseya och den senaste Snowflake-brottet visar hur förtroende för externa partners utan synlighet kan leda till stora exponeringar. När du upphandlar AI-infrastruktur, ärver du leverantörens säkerhetspostur — bra eller dålig.

Det räcker inte att lita på ett varumärke. Kräv tydlighet om:

• Modelllivscykel och uppdateringsfrekvens
• Incidenthanteringsprotokoll
• Leverantörens säkerhetskontroller och regelefterlevnadshistorik
• Dataisolering och hyresgästkontroll

7. AI-angreppsytan utvidgas

När organisationer antar AI, måste de också förbereda sig för AI-specifika hotvektor. Angripare experimenterar redan med:

• Modellförgiftning (subtilt ändra träningsdata)
• Promptinjektion (manipulera LLM-beteende)
• Adversariala indata (bypassa upptäckt)
• Hallucinationsutnyttjande (lura användare att lita på falska utdata)

Dessa är inte teoretiska. De är verkliga och växer. När försvarare antar AI, måste de också anpassa sina röda team, övervakning och responsstrategier för att ta hänsyn till denna nya och unika angreppsyta.

8. Människor och processer kan vara den verkliga flaskhalsen

En av de mest förbisedda utmaningarna är organisatorisk beredskap. AI-verktyg kräver ofta förändringar i arbetsflöden, kompetenser och attityder.

Analysatörer behöver förstå när de ska lita på AI, när de ska utmana det och hur de ska eskalera effektivt. Ledare behöver integrera AI i beslutsprocesser utan att blint automatisera risk.

Utbildning, handböcker och förändringshantering måste utvecklas tillsammans med tekniken. AI-antagandet är inte bara en teknisk initiativ. Det är ett mänskligt transformationsinitiativ.

Så vad kan vi göra?

Trots utmaningarna, tror jag starkt att fördelarna med AI i säkerhet vida överväger riskerna — om det görs rätt. Här är hur jag råder organisationer att gå vidare:

• Börja smått och testa rigoröst
• Välj ett avgränsat användningsfall med mätbar påverkan. Kör kontrollerade piloter. Validera prestanda. Bygg förtroende med data, inte hype.
• Bringa in juridik, risk och säkerhet tidigt
• Don’t vänta tills kontraktfasen. Bringa in juridik och regelefterlevnad för att granska datahanteringsvillkor, regleringsrisker och leverantörsimplikationer i förväg.

Mät allt

Spåra KPI:er före och efter implementering. Skapa instrumentpaneler som talar både säkerhets- och affärsspråk. Mätvärden gör eller bryter AI-finansiering.

Välj partners med verklig bevis på lyckade projekt

Titta bortom demoer. Kräv referenser. Fråga om efterförsäljningsstöd, distributionskomplexitet och resultat i miljöer som liknar er.

Vad händer härnäst? Nya användningsfall som är värda att titta på

Vi är fortfarande tidigt i AI-säkerhetsresan. Framtidsinriktade CISO:er utforskar redan:

• AI-kopiloter för brandväggshantering, GRC och regelefterlevnadsautomatisering
• Användning av AI-förbättrade hotflöden som accelererar noll-dagars hotrespons och noggrannhet
• Generativ röd teamning och attack simulering
• Självläkande flerleverantörsinfrastruktur
• Riskbaserad identitetskontroll som drivs av beteende-AI

Dessa användningsfall flyttar från innovationslaboratorier till produktion. Organisationer som bygger muskler nu kommer att vara långt bättre förberedda att kapitalisera.

Slutgiltig tanke: Att fördröja är inte försvar

AI är här och så är AI-drivna angripare. Ju längre du väntar, desto mer mark förlorar du. Men detta betyder inte att du ska ruska in blint.

Med omsorgsfull planering, transparent styrning och rätt partners, kan din organisation anta AI på ett säkert sätt — förbättra kapacitet utan att offra kontroll.

Framtiden för säkerhet är förstärkt. Den enda frågan är om du kommer att leda eller ligga efter.