Sverige riskerar att skapa sitt största säkerhetsproblem själva
AI förändrar just nu samhället i en hastighet få organisationer fullt ut förstår. Samtidigt saknar många svenska verksamheter fortfarande grunderna i ett systematiskt cybersäkerhetsarbete. Kombinationen riskerar att bli Sveriges största säkerhetsproblem under kommande år.
Problemet är nämligen inte främst tekniskt. Problemet är organisatoriskt enligt många officiella granskningar.
Cybersäkerhet behandlas fortfarande i många organisationer som en fråga för IT-avdelningen likväl som den tidigare molnresan många verksamheter har gjort. Nu riskerar samma sak att hända med AI. Frågan hamnar hos teknik- eller digitaliseringsfunktioner och reduceras till ett tekniskt lösning för effektivisering och innovation.
Det kan komma att vara ett ödesdigert misstag.
För samtidigt som AI-utvecklingen accelererar saknar många verksamheter fortfarande svar på grundläggande frågor:
- Vilka informationstillgångar är mest skyddsvärda?
- Vilka verksamhetsprocesser är mest verksamhetskritiska?
- Vilka beroenden finns och vilken ny typ av risker står vi inför?
- Vilka konsekvenser får ett avbrott, ett manipulerat beslut eller en AI-driven incident.
Utan den förståelsen blir både cybersäkerhets- och AI-arbetet fragmenterat och reaktivt. Organisationer inför tekniska säkerhetsåtgärder, skriver policydokument och testar AI-lösningar, men saknar en tydlig verksamhetsdriven målbild för en säker och trygg AI-användning.
Nästa stora paradigmskifte
Samtidigt står vi inför nästa stora paradigmskifte. AI-agenter som fungerar som digitala medarbetare med förmåga att initiera arbetsflöden, analysera information, påverka system och fatta egna beslut. I praktiken börjar många organisationer nu successivt överlåta delar av verksamheten till autonoma system.
Det innebär att många verksamheter nu går in i AI-eran med:
- Låg organisatorisk generell cybersäkerhetsmognad
- Svag governance
- Otydliga mandat för AI-agenter
- Begränsad förståelse för hur AI påverkar verksamhetsriskerna
Grogrund för den perfekta stormen
Och det är här den perfekta stormen uppstår.
Hotaktörer använder redan AI för att:
- automatisera attacker,
- identifiera sårbarheter snabbare,
- skapa trovärdig desinformation,
- genomföra avancerad social engineering,
- och effektivisera cyberkriminalitet i stor skala.
Det som tidigare krävde avancerad kompetens blir nu tillgängligt för betydligt fler aktörer. Men AI kommer sannolikt inte främst exponera tekniska svagheter vilket man kan tro i den allmänna debatten. Utan AI kommer främst exponera organisatoriska svagheter
Organisationer med svagt ledningsengagemang, otydlig ansvarsfördelning och fragmenterad styrning kommer få exponentiellt svårare att hantera utvecklingen. När cybersäkerhetsarbetet redan idag är organisatoriskt svagt riskerar AI att förstärka problemen ytterligare.
Många verksamheter klarar fortfarande bara de första ”lågt hängande frukterna” skriva policydokument och införa vissa tekniska skyddsåtgärder. Men verklig motståndskraft i AI-eran kräver något helt annat nämligen tydlig styrning och ett aktivt ledarskap. Det räcker inte längre att någon eldsjäl ”har koll”.
Frågan framåt blir därför inte bara vem som har åtkomst till ett system. Frågan blir:
- vilka beslut AI får fatta autonomt,
- vilka verksamhetsprocesser AI får påverka,
- när mänsklig kontroll alltid måste finnas kvar,
- och vem som bär ansvaret när något går fel.
Framgångsfaktorer för motståndskraft i AI-eran
Cybersäkerhet och AI måste integreras i verksamhetsstyrningen på samma sätt som ekonomi, juridik och hantering av övriga verksamhetsrisker. Ledningar måste förstå vad som är verksamhetskritiskt, vilka beslut som aldrig fullt ut får överlåtas till autonoma system och hur organisationen ska behålla kontrollen när tempot och komplexiteten ökar.
AI-utvecklingen kommer inte vänta på att svenska verksamheter ska mogna i sin egen takt.
Det är därför hög tid att inse att Sveriges största säkerhetsproblem sannolikt inte blir AI i sig.
Det blir organisationer som använder AI utan att ha den styrning och grundläggande cybersäkerhetsmognad som utvecklingen kräver.
Daniel Reinholdsson
Vd, Cyber Defencely
