AI med kontroll: Så navigerar IT-chefen AI-förordningen

Generativ AI, Copilot och AI-agenter skapar nya möjligheter att effektivisera arbetssätt och skapa affärsnytta. Men när användningen ökar behöver också kontrollen göra det. För IT-chefen handlar AI därför inte längre bara om vilken teknik organisationen ska använda. Det handlar också om hur AI används, vilken data som hanteras och vilka risker som behöver hanteras.

Natalie Mattsson, Senior Information Security Specialist på Iver, hjälper oss att reda vad AI-förordningen innebär i praktiken och vad IT-chefen behöver ha koll på när AI-användningen ökar.

Vad är AI-förordningen?

AI-förordningen, eller EU AI Act, är EU gemensamma regelverk för artificiell intelligens. Syftet är att skapa tydliga regler för hur AI får utvecklas och användas, samtidigt som innovation främjas och människor skyddas mot integritets-och säkerhetsrisker. 

Reglerna bygger på en riskbaserad modell, där AI-system klassificeras utifrån vilken risk de kan innebära. Kraven blir högre för AI som kan ha stor påverkan på exempelvis individers rättigheter, säkerhet och tillgång till samhällstjänster. 

För företag innebär det bland annat nya krav på AI-kompetens, transparens, dokumentation och styrning - beroende på hur AI används och vilken typ av system det handlar om. 

AI-förordningen handlar också om de AI-system och AI-baserade tjänster ni köper in och använder i verksamheten. Som IT-chef är det därför viktigt att förstå hur AI ingår i de tjänster ni upphandlar och vilka krav som ställs på leverantören. För Iver, som både använder AI och levererar tjänster där AI är en del av lösningen, innebär det att vi behöver ha kontroll på hur AI används i våra tjänster och säkerställa en trygg och ansvarsfull leverans.

AI-förordningen är en IT-fråga

Det är lätt att avfärda AI-förordningen som en rent juridisk fråga. Men i praktiken landar ansvaret på IT-avdelningen. Det är IT som har överblick över infrastruktur, skugg-IT, dataläckage och licenshantering.  

Därför behöver IT kunna svara på frågor som:

• Vilka AI-tjänster använder vi i organisationen idag – officiella såväl som inofficiella? 

• Vilken information får medarbetare dela med AI-tjänster?

• Vilka AI-lösningar används i verksamhetskritiska processer?

• Vem ansvarar för våra olika AI-lösningar?

• Har medarbetarna rätt kunskap för att använda AI på ett säkert sätt? 

Det handlar i grunden om samma sak som IT-avdelningen redan arbetar med inom säkerhet, dataskydd och styrning: att skapa kontroll över tekniken utan att bromsa utvecklingen. 

Börja med att kartlägga AI-användningen 

En av de största utmaningarna är att AI-användningen ofta går snabbare än organisationens styrning. Medarbetare testar nya verktyg på eget initiativ, samtidigt som verksamheten börjar bygga in AI i sina processer.

Börja därför med en enkel fråga: Vilken AI använder vi redan? 

Kartlägg vilka verktyg som används, vilken data som hanteras och vilka användningsområden som finns. Därefter kan ni bedöma risker och prioritera vad som behöver åtgärdas. 

Från policy till praktisk kontroll 

En AI-policy är en bra start, men behöver kompletteras med praktiska arbetssätt. Det kan exempelvis handla om att: 

• Kartlägga AI-tjänster och användningsområden.

• Bedöma risker utifrån data och verksamhet.

• Styr vilka verktyg som är godkända och hur de får användas.

• Säkra data, identiteter och åtkomst.

• Utbilda medarbetare i möjligheter och risker. 

AI-förordningen bygger på ett riskbaserat synsätt, där olika AI-system omfattas av olika krav beroende på hur och var de används. 

Regelverk och innovation ska inte ses som motsatser 

AI-förordningen behöver inte vara ett hinder för innovation. Tydliga ramar kan tvärtom göra det enklare för verksamheten att använda AI på ett tryggt sätt. 

När medarbetarna vet vilka verktyg som får användas, vilken information som kan delas och vilka användningsområden som är godkända blir det lättare att skala AI från experiment till verklig verksamhetsnytta. 

För IT-chefen handlar det därför om att gå från ”får vi använda AI?” till ”hur skapar vi förutsättningar för att använda AI på ett säkert, ansvarsfullt och värdeskapande sätt?” 

Tre frågor att ställa i ledningsgruppen idag: 

• Kartering: Har vi en komplett bild av all AI som faktiskt används i organisationen

• Datasäkerhet: Har vi spärrar på plats som förhindrar att känslig bolagsdata läcker till öppna AI-modeller?

• Styrning: Finns det tydliga spelregler och definierat ägarskap för våra AI-initiativ?  

AI handlar inte bara om vad tekniken kan göra. Det handlar lika mycket om hur vi skapar förutsättningar för att använda den tryggt, ansvarsfullt och med verklig affärsnytta.  

Som leverantör av IT- och AI-tjänster arbetar Iver med AI i praktiken - från infrastruktur och säkerhet till lösningar där AI är en integrerad del. Vi har därför en god förståelse för de tekniska förutsättningarna och krav som behöver beaktas när AI används och levereras. 

Hos Iver hjälper vi er att navigera det snabbt föränderliga AI-landskapet och skapa säkra, robusta och hållbara förutsättningar för att använda AI i verksamheten. Läs mer om våra AI-tjänster här: Data & AI-tjänster