Fem saker du aldrig ska dela i en publik AI

Era medarbetare använder förmodligen redan AI för att förenkla och effektivisera sin vardag. Men när AI-användning sker via privata konton utan gemensamma riktlinjer uppstår skugg-IT, säkerhetsrisker och kostnader som är svåra att överblicka. Här listar vi fem saker ni aldrig ska dela i en publik AI.

Vad ska jag inte dela i en publik AI?

1. Företagskänslig och affärskritisk information.

Det kan handla om strategidokument, finansiella prognoser, kundlistor eller interna PM. Matas de in i en publik AI-tjänst lämnar informationen ert kontrollområde och kan användas som träningsdata. Tänk, skulle det vara ett problem om detta dök upp i en konkurrents prompt-svar?

2. Era kunders, anställdas eller slutanvändares personuppgifter

Ur ett GDPR-perspektiv är ni personuppgiftsansvariga. Att mata in personnummer, mejladresser, HR-ärenden eller kunddata i en publik AI utan databiträdesavtal och rättslig grund är i princip en dataintrångsanmälan som väntar på att hända.

3. Klient- och leverantörsavtal under sekretess

Bara att klistra in ett avtalsvillkor i en publik AI-tjänst för att ”få hjälp att tolka det” kan vara ett brott på sekretessklausulen i sagda avtal. Det kan leda till juridiska följder som skadeståndskrav. Men framförallt blir det en förtroendeskada som kan vara svåra att reparera.

4. Interna kodsnippets och API-nycklar

Detta är ett vanligt misstag bland utvecklare. Man klistrar in kod för en enkel felsökning. Men med den följer hårdkodade nycklar, tokens eller connection-strings till produktionsmiljöer. En enda exponerad API-nyckel kan låsa upp dörren till hela er molnmiljö.

5. Infrastruktur- och säkerhetsdetaljer

Nätverksarkitektur, brandväggsregler, sårbarhetsscanningar, incidentrapporter är guld för en illasinnad angripare och en publik AI-tjänst är per definition en opålitlig tredje part ur ett säkerhetsperspektiv.

Om du inte skulle ropa det högt på tunnelbanan, skriv det inte i en publik AI

Säker AI-användning med Nordlo AI Hub

AI-mognaden är relativt låg i Sverige. Vi är nyfikna och ivriga att komma igång men kunskapen varierar och ledningen saknar ofta insyn. Därför utvecklade vi på Nordlo vår alldeles egna Nordlo AI Hub som samlar flera AI-modeller i en gemensam och säker plattform. Detta innebär:

En plattform, flera modeller. Nordlo AI Hub ger tillgång till marknadens ledande AI-lösningar, inklusive ChatGPT, Claude och Gemini, via en gemensam plattform. Hela organisationen får tillgång utan separata licenser och abonnemang.
Säker hantering i privat moln. Data och resultat från frågor och promptar lagras i Nordlos privata moln med full spårbarhet. Känslig information stannar inom organisationen och delas inte med externa parter, även om själva bearbetningen sker hos LLM-leverantören.
Bygg och dela AI-agenter. Skapa egna AI-agenter anpassade för sälj, ekonomi eller support och dela dem med hela verksamheten. Det som en medarbetare bygger kan alla dra nytta av.
Insyn och styrning för ledningen. Att få en överblick över hur AI används i organisationen är en förutsättning för att kunna styra, prioritera och säkerställa ansvarsfull användning.

Här kan du läsa mer om Nordlo AI Hub

5 vanliga frågor och svar om vad man kan dela i en publik AI

Varför ska man inte dela känslig information i en publik AI?
Information som matas in i en publik AI-tjänst lämnar organisationens kontrollområde och kan potentiellt användas som träningsdata, lagras på servrar utanför EU eller exponeras i andra användares svar. Det skapar säkerhetsrisker, GDPR-överträdelser och risk för brott mot sekretessavtal.
Vilken typ av data är farligast att dela i en publik AI?
API-nycklar, access-tokens och connection-strings till produktionsmiljöer hör till det farligaste. En enda exponerad nyckel kan ge en angripare tillgång till hela er molninfrastruktur. Men även personuppgifter, strategidokument och sekretess-skyddade avtal kan orsaka allvarlig skada.
Kan man bryta mot GDPR genom att använda ChatGPT eller annan publik AI?
Ja. Om en anställd matar in personuppgifter, som personnummer, mejladresser eller HR-ärenden, i en publik AI utan att det finns ett databiträdesavtal och en rättslig grund är det i princip en personuppgiftsincident som kan behöva anmälas till IMY.
Vad är skugg-IT och hur hänger det ihop med publik AI-användning?
Skugg-IT uppstår när medarbetare använder teknik och AI-tjänster via privata konton utan IT-avdelningens kännedom eller godkännande. Det gör det omöjligt för organisationen att övervaka vilken information som delas, styra kostnader eller säkerställa efterlevnad av policyer och regelverk.
Hur kan företag använda AI utan att riskera att känslig information läcker?
Genom att samla AI-användningen i en gemensam, säker plattform, till exempel Nordlo AI Hub, där all data och alla resultat lagras i ett privat moln med full spårbarhet. Det ger medarbetarna tillgång till flera AI-modeller samtidigt som ledningen får insyn och styrning – utan risk för att känslig information delas med externa parter.