Varför företag förblir försiktiga med AI — och hur man distribuerar det på ett säkert sätt

AI har tagit världen med storm. Medan vissa organisationer var tidiga antagare, har många företag tagit en mer försiktig approach — oroade över sekretess, regelefterlevnad och operativa problem som består till denna dag.

Jag har arbetat med hundratals distributioner som involverar AI-drivna säkerhetsverktyg och sett ett välbekant mönster utvecklas. Champions bringar tidig entusiasm. Piloter visar löfte. Sedan kommer interna debatter, juridiska granskningar och slutligen en paus när organisationer sjunker in i analysparalys. Trots den enorma potentialen för AI att omvandla säkerhetsoperationer, är många företag fortfarande ovilliga att fullt ut acceptera det.

I cybersäkerhet är försiktighet ofta den rätta instinkten. Men att fördröja AI-implementeringar kommer inte att stoppa AI-drivna hot som nu växer i skala och frekvens. Den verkliga utmaningen är hur man antar AI på ett säkert, medvetet och utan att kompromissa med förtroendet.

Här är vad jag har lärt mig från frontlinjen — och vad jag rekommenderar för säkerhetsledare som är redo att gå vidare med tillförsikt.

1. Dataförtroendeproblemet

Det första och största hindret är datormshantering. Många företag är rädda för att känsliga data kan läcka, missbrukas eller — värst av allt — användas för att träna en modell som gynnar en konkurrent. Högt uppmärksammade brott och vaga leverantörsförsäkringar förstärker bara dessa farhågor.

Det är inte paranoia. När du hanterar kundens personuppgifter, immateriella rättigheter eller reglerade data, kan det kännas som att förlora kontrollen när du lämnar över det till en tredje part. Och tills leverantörerna gör ett bättre jobb med att förtydliga sina policys kring datasegregering, kvarhållning, fjärdepartsengagemang och modellträning, kommer antagandet att förbli försiktigt.

Här blir styrning avgörande. CISO:er bör utvärdera leverantörer med hjälp av nya ramverk som NIST AI Risk Management Framework eller ISO/IEC 42001, som erbjuder praktisk vägledning om förtroende, transparens och ansvar i AI-system.

2. Du kan inte förbättra det du inte mäter

Ett annat vanligt hinder är bristen på basmätningar. Många företag kan inte kvantifiera den nuvarande prestationen, vilket gör det svårt att bevisa ROI för AI-verktyg. Hur kan du hävda en 40-procentig effektivitetsökning om ingen har spårat hur lång tid uppgiften tog före automatisering?

Oavsett om det är medel tid till upptäckt (MTTD), falska positiva rater, eller SOC-analytiker timmar som sparats, behöver organisationer börja med att mäta nuvarande arbetsflöden. Utan denna data förblir fallet för AI anekdotiskt — och verkställande sponsorer kommer inte att godkänna storskaliga initiativ utan verkliga, försvarbara siffror.

Börja spåra nyckel-KPI:er nu, inklusive:

• Medel tid till upptäckt/svar (MTTD/MTTR)
• Minskning av falska positiva, falska negativa och biljettvolym
• Analysttid sparad per incident
• Förbättringar av täckning (t.ex. sårbarheter som skannats och åtgärdats)
• Incidenter som lösts utan eskalering

Dessa baslinjer kommer att bli ryggraden i din AI-motiveringsstrategi.

3. När verktygen fungerar för bra

Ironiskt nog är en av anledningarna till att AI-antagandet stannar av att vissa verktyg fungerar för bra — exponerar mer risk än organisationen är beredd att hantera.

Avancerade hotintelligensplattformar, mörk webbövervakningsverktyg och LLM-drivna synlighetslösningar avslöjar ofta stulna autentiseringsuppgifter, liknande domäner eller tidigare oupptäckta sårbarheter. Istället för att skapa klarhet genererar denna överväldigande synlighet ett nytt problem: Var ska vi ens börja?

Jag har sett team inaktivera avancerade skanningar eftersom volymen av fynd skapade politisk eller budgetmässig obehag. Bättre synlighet kräver bättre prioritering — och en villighet att konfrontera problemen direkt.

4. Låst i legacykontrakt

Även när bättre verktyg är tillgängliga är många företag låsta i fleråriga avtal med legacyleverantörer. Vissa av dessa kontrakt har finansiella straff som är så höga att att byta mitt i terminen är ett icke-alternativ.

E-postskydd är ett klassiskt fall. Moderna lösningar erbjuder nu AI-driven hotdetektering, beteendemodellering och inbyggd motståndskraft för hybridmiljöer. Men om din nuvarande leverantör inte har hållit jämna steg och du är fast i ett femårsavtal, är du i princip fast i positionen tills kontraktet löper ut.

Det handlar inte bara om teknik. Det handlar om timing, inköp och strategisk planering.

5. Upptåget av skugg-AI

AI-antagandet sker inte bara från toppen och ner — det sker överallt, ofta utan säkerhets medvetande. Vår forskning visar att över 85% av anställda redan använder AI-verktyg som ChatGPT, Copilot och Bard. (för att inte tala om DeepSeek och TikTok!)

Utan ordentlig tillsyn kan anställda mata in känsliga data i offentliga verktyg, lita på hallucinerade utdata eller oavsiktligt bryta mot företagets policys. Det är en regelefterlevnads- och dataskyddsnattmara, och att låtsas att det inte händer löser inte problemet.

Säkerhetsledare måste ta en proaktiv inställning genom att:

• Upprätta godkända användarpolicys
• Blockera ogodkända AI-appar där det behövs och omdirigera användare till godkända verktyg
• Rulla ut godkända, säkra AI-plattformar för internt bruk
• Utbilda anställda om ansvarsfull AI-användning

Fältanteckning: AI-användningspolicys kommer inte att ändra användningen. Du kan inte verkställa det du inte vet om, så det första steget är att kvantifiera användningen, sedan växla om till verkställighet.

6. Outsourcing medför egna risker

Få företag har den infrastruktur som behövs för att bygga och värd large modeller internt. Det betyder att outsourcing ofta är den enda livskraftiga vägen — men det medför tredjeparts- och leverantörsrisker som CISO:er är alltför bekanta med.

Incidenter som SolarWinds, Kaseya och den senaste Snowflake-incidenten belyser hur förtroende för externa partners utan insyn kan leda till stora exponeringar. När du outsourcar AI-infrastruktur, ärver du leverantörens säkerhetspostur — bra eller dålig.

Det räcker inte att lita på ett varumärke. Kräv klarhet om:

• Modelllivscykel och uppdateringsfrekvens
• Incidentresponsprotokoll
• Leverantörs säkerhetskontroller och regelefterlevnadshistorik
• Dataisolerings- och hyresgästkontroller

7. AI-angreppsytan utvidgas

Medan organisationer antar AI, måste de också förbereda sig för AI-specifika hotvektor. Angripare experimenterar redan med:

• Modellförgiftning (subtilt ändring av träningsdata)
• Promptinjektion (manipulering av LLM-beteende)
• Adversariala indata (bypassning av upptäckt)
• Hallucinationsexploatering (lura användare att lita på falska utdata)

Dessa är inte teoretiska. De är verkliga och växer. När försvarare antar AI, måste de också anpassa sin röd teamning, övervakning och responsstrategier för att ta hänsyn till denna nya och unika angreppsyta.

8. Människor och processer kan vara den verkliga flaskhalsen

En av de mest förbisedda utmaningarna är organisationsberedskap. AI-verktyg kräver ofta förändringar i arbetsflöden, kompetenser och attityder.

Analytiker behöver förstå när de ska lita på AI, när de ska utmana det och hur de ska eskalera effektivt. Ledare behöver integrera AI i beslutsprocesser utan att blint automatisera risk.

Utbildning, instruktioner och förändringshantering måste utvecklas parallellt med tekniken. AI-antagandet är inte bara ett tekniskt initiativ. Det är ett mänskligt transformationsinitiativ.

Så vad kan vi göra?

Trots utmaningarna tror jag starkt att fördelarna med AI i säkerhet vida överväger riskerna — om det görs rätt. Här är hur jag råder organisationer att gå vidare:

• Börja smått och testa rigoröst
• Välj ett avgränsat användningsfall med mätbar påverkan. Kör kontrollerade piloter. Validera prestanda. Bygg förtroende med data, inte hype.

<li-Ta med juridik, risk och säkerhet tidigt

• Vänta inte tills kontraktfasen. Ta med juridik och regelefterlevnad för att granska datahanteringsvillkor, regelefterlevnadsrisker och leverantörsimplikationer i förväg.

Mät allt

Spåra KPI:er före och efter implementering. Skapa instrumentpaneler som talar i både säkerhets- och affärstermer. Mätvärden gör eller bryter AI-finansiering.

Välj partners med verkliga bevis på lyckade projekt

Titta bortom demonstrationer. Kräv referenser. Fråga om efterförsäljningsstöd, distributionskomplexitet och resultat i miljöer som er.

Vad kommer härnäst? Nya användningsfall värda att titta på

Vi är fortfarande tidigt i AI-säkerhetsresan. Framåtriktade CISO:er utforskar redan:

• AI-kopiloter för brandväggs hantering, GRC och regelefterlevnadsautomatisering
• Användning av AI-förbättrade hotflöden som accelererar noll-dagars hotrespons och noggrannhet
• Generativ röd teamning och attack simulering
• Självläkande flerleverantörsinfrastruktur
• Riskbaserade identitetskontroller som drivs av beteende-AI

Dessa användningsfall flyttar från innovationslaboratorier till produktion. Organisationer som bygger muskler nu kommer att vara betydligt bättre rustade för att kapitalisera.

Slutliga tankar: Att fördröja är inte försvar

AI är här och så är AI-drivna angripare. Ju längre du väntar, desto mer mark förlorar du. Men detta betyder inte att du ska ruska in blint.

Med omsorgsfull planering, transparent styrning och rätt partners kan din organisation anta AI på ett säkert sätt — öka kapacitet utan att offra kontroll.

Säkerhetens framtid är förstärkt. Den enda frågan är om du kommer att leda eller ligga efter.