Breizh Cyber Show 2025, som anordnades på Océanopolis i Brest, lyfte fram en paradox som berör alla små och medelstora företag: AI ökar produktiviteten, men medför också risker när det gäller säkerhet och efterlevnad om den inte hanteras på rätt sätt.
Två rundabordssamtal förmedlade ett tydligt budskap:
Anpassa utan att hindra för att undvika ”shadow AI” och dataläckage.
Införa en robust styrning som är anpassad efter AI Act, ANSSI:s riktlinjer, CLUSIF:s PSSI-IA och CNIL:s rekommendationer.
Utöver regelefterlevnad är detta en konkurrensfördel som bygger på förtroende.
Shadow AI: den osynliga risken som exploderar
I de flesta företag finns AI redan på plats… men ofta utan någon tydlig ram. Marknadsavdelningen testar en innehållsgenerator, HR sammanfattar CV:n och utvecklingsavdelningen använder en kodassistent. Det är så kallad ”shadow AI”: att teamen använder AI-verktyg utan någon tydlig styrning.
Omedelbara risker:
- Läckage av känslig information via inmatningsrutor.
- Förlorad spårbarhet (vem begärde vad?).
- Beroende av ogenomskinliga tredjepartstjänster.
Enligt Gartner kommer 60 % av organisationerna att ha så kallad ”shadow AI” år 2025 om inga åtgärder vidtas.
Varför måste man agera snabbt?
ENISA:s rapport för 2024/2025 visar att nätfiske fortfarande är den vanligaste ingången (≈ 60 % av intrången), och att AI förstärker dessa attacker (förstärkt nätfiske, social automatisering).
AI-lagen: efterlevnad blir en strategisk fråga
AI-lagen har varit i kraft sedan augusti 2024. Kraven i lagen införs stegvis:
- Februari 2025: förbud (förbjudna metoder).
- Augusti 2025: styrning och GPAI.
- Augusti 2026: allmän tillämpning.
- 2027: CE-märkning för AI med hög risk.
Vad det innebär för er:
- Om ni integrerar en extern modell för att tillhandahålla ett AI-system kan ni bli leverantör i den mening som avses i AI-lagen, med skyldigheter avseende kvalitet, loggning, övervakning och CE-märkning i högriskfall.
- Genom att agera i god tid undviker du sanktioner och påskyndar dina AI-projekt.
Snabba åtgärder för att säkra er användning av AI
Experterna på Breizh Cyber Show och de offentliga vägledningarna är eniga om tre omedelbara åtgärder:
- Utbilda utan att hindra: AI-lagen kräver AI-kompetens (art. 4). Informera era team om vad en modell och en prompt är, samt om riskerna för dataläckage.
- Kartlägg era användningsfall: identifiera utsatta data och för register (CNIL + AI-lagen).
- Kontrollera prompter och utdata: filtrering av indata, sanering av utdata, loggning (ANSSI, OWASP LLM Top 10).
Varför det är en konkurrensfördel
Företag som skapar förutsättningar för mod (kulturförändring, sandlåda, godkända modeller) och institutionaliserar försiktighet (PSSI-IA, ANSSI/NIST-kontroller, efterlevnad av AI Act/CNIL) tar ett försprång.
Eftersom förtroende blir valutan i AI-omvandlingen.
AI innebär möjligheter, men också ansvar.
För att få ut det bästa av den måste man utbilda, öka medvetenheten och stödja teamen, samtidigt som man utnyttjar de resurser som redan finns tillgängliga: ANSSI:s riktlinjer, CLUSIF:s PSSI-IA och CNIL:s rekommendationer.
Hoel LE PENNEC
Konsult och analytiker inom informationssäkerhet
Philippe MAHE
Konsult inom cybersäkerhet
Alan POSTOLLEC
Samordnande konsult inom cybersäkerhet
Tom KERANDEL
Konsult och analytiker inom informationssäkerhet
