Generativ AI og forretningshemmeligheter: Hva teamene deres må vite

En internjurist laster opp et utkast til en konfidensiell oppkjøpsavtale for å få et raskt sammendrag. En R&D-ingeniør limer inn proprietær kildekode for å feilsøke en kritisk algoritme. Et markedsføringsteam mater inn neste kvartals hemmelige lanseringsstrategi for å skape fengende slagord. Hver dag strømmer kritiske data fra norske virksomheter ukontrollert ut til eksterne skytjenester, ofte uten at medarbeiderne er klar over at de begår et alvorlig sikkerhetsbrudd.

Jakten på umiddelbar produktivitet skjuler en reell trussel: den juridiske og tekniske sårbarheten rundt immaterielle verdier. Når prompter inneholder forretningshemmeligheter eller patentsøknader som ennå ikke er publisert, kan tapet av konfidensialitet bli irreversibelt. For en CISO, IT-sikkerhetsansvarlig eller juridisk direktør består utfordringen i å muliggjøre innovasjon uten å svekke virksomhetens vernelinjer.

Hvordan beskytte forretningshemmeligheter og opphavsrett ved bruk av generative AI-verktøy?#

Oppsummert: For å verne forretningshemmeligheter og immaterielle rettigheter må virksomheten skille formelt mellom forbrukerlisenser og isolerte bedriftsmiljøer, etablere faste prinsipper for anonymisering av prompter, og innføre kontinuerlig opplæring for nøkkelroller i R&D, juridisk og markedsføring.

Beskyttelsen starter med en grundig gjennomgang av avtalevilkårene for verktøyene som benyttes. Mange ansatte logger seg på med personlige kontoer eller gratisversjoner for forbrukere. I disse standardvilkårene er det vanligvis eksplisitt angitt at dataene som mates inn, kan brukes til å trene og forbedre leverandørens fremtidige modeller. Dermed kan virksomhetens kjernekompetanse og proprietære metoder ende opp som treningsgrunnlag for en offentlig modell som også konkurrentene har tilgang til.

Dedikerte bedriftsmiljøer gir derimot avtalefestede garantier mot gjenbruk til modelltrening (opt-out), kryptering i transitt og i hvile, samt definerte sletterutiner. Likevel krever god risikostyring, i tråd med NSMs grunnprinsipper for IKT-sikkerhet, at grunnleggende forholdsregler alltid overholdes:

• Dataminimering i praksis: Rådata må aldri lastes inn uten forutgående sensurering. Klientnavn, kjemiske formler eller upubliserte patenter må konsekvent erstattes med fiktive variabler.
• Kartlegging av høyrisiko-prosesser: R&D og juridisk avdeling behandler opplysninger der utilsiktet spredning umiddelbart kan ødelegge rettslig beskyttelse (som tap av nyhetskravet for et patent, eller bortfall av status som forretningshemmelighet).
• Tiltak etter AI Act Artikkel 4: Det europeiske regelverket stiller krav om at virksomheter etablerer tiltak for å fremme AI-kompetanse og nødvendig risikoforståelse blant ansatte som benytter systemer for kunstig intelligens.

Forbrukerkontoer mot isolerte miljøer: Hvor havner bedriftens data egentlig?#

Oppsummert: Gratisversjoner for forbrukere bruker ofte prompter til maskinlæring, med fare for at sensitiv informasjon kan gjenskapes i svar til andre, mens isolerte bedriftsløsninger gir avtalemessig vern mot videre modelltrening på deres forretningshemmeligheter.

For den enkelte ansatte ser brukergrensesnittet i et AI-verktøy ofte helt likt ut, enten det dreier seg om en privat gratiskonto eller et sikkert miljø godkjent av IT-avdelingen. Denne visuelle likheten skaper en falsk trygghetsfølelse.

Modell-remanens og uttrekking av data

Når en modell først har innlemmet konfidensiell informasjon i sine synaptiske vekter under trening, finnes det ingen enkel angreknapp eller slettefunksjon. Avanserte teknikker som prompt extraction eller inverteringsangrep kan provosere modellen til å gjengi faktiske fragmenter av proprietær kildekode eller strategiske planer til eksterne aktører.

Eierskap til generert innhold og opphavsrett

Gjeldende immaterialrett, både i Norge og Europa for øvrig, anerkjenner som hovedregel ikke opphavsrettslig enerett for innhold som utelukkende er produsert av en algoritme uten vesentlig menneskelig skapende innsats. Hvis markedsavdelingen utvikler kampanjer eller utviklerne bygger programvaremoduler uten dokumentert menneskelig bidrag, kan virksomheten få store utfordringer med å håndheve rettighetene sine mot plagiat.

Hvordan samle markedsføring, R&D og juridisk om en felles sikkerhetskultur?#

Totalforbud mot generativ AI fungerer sjelden i praksis. Forbud fører som oftest til utstrakt Shadow AI, der medarbeidere tar i bruk private enheter eller egne kontoer for å omgå bedriftens sikkerhetskontroller.

En bærekraftig tilnærming bygger på engasjement, tydelige retningslinjer og praktisk trening. For å omsette juridiske og sikkerhetsmessige rammer til konkrete rutiner i arbeidshverdagen, kan dere engasjere medarbeiderne gjennom interaktive formater. Med Super Challenge kan dere arrangere konkurranser innen IT-sikkerhet og AI med tematiske runder og poenglister. Verktøyet er tilgjengelig som selvbetjening med fem gratis tilganger uten kredittkort, og lar dere teste teamenes evne til trygg prompting på en motiverende måte.

Dette er kjerneprinsippene som må forankres:

• R&D: Strengt forbud mot å lime inn proprietær kildekode som ikke er anonymisert, i verktøy som ikke er eksplisitt godkjent av sikkerhetsansvarlig.
• Juridisk: Behandling av kontrakter og saksdokumenter skal kun foregå i miljøer med tydelige konfidensialitetsavtaler (NDA) med leverandøren.
• Markedsføring og kommunikasjon: Fast kontroll av opphavsrett og dokumentasjon av den menneskelige innsatsen i tekstlig og visuelt materiell.

Ved å etablere klare prosesser og målrettet opplæring kan ledergruppen gjøre generativ AI til et trygt konkurransefortrinn uten å risikere virksomhetens immaterielle verdier.

Ønsker dere å etablere konkrete tiltak for opplæring innen AI og digital sikkerhet i deres virksomhet? Ta kontakt med oss for en gjennomgang av våre pedagogiske løsninger.

BRAIN SECURITY I PRAKSIS · Super Challenge

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Hvorfor CISO, HR og AI-ansvarlig må samle sine kampanjer (AI Literacy & AI Act) : Se hvordan dere forener cybersikkerhet og kunstig intelligens i et engasjerende opplæringsprogram for virksomhetens ansatte.
• Sikker prompting for generativ AI: Unngå datalekkasjer i virksomheten (AI Literacy & AI Act) : Lær hvordan virksomheten bruker generativ AI trygt uten å lekke sensitive data, forretningshemmeligheter eller personopplysninger etter GDPR.
• AI-stemmekloning mot IT-servicedesk: Stopp svindel med MFA-tilbakestilling (AI Literacy & AI Act) : Lær hvordan du sikrer IT-helpdesk mot vishing og AI-stemmekloning ved MFA-tilbakestilling med out-of-band-kontroll og Brain Securitys Deepfake Studio.
• Nasjonal sikkerhetsmåned: Slik samler du 10 eller 50 lokasjoner (Events & Arcade) : Slik lykkes du med sikkerhetsmåneden i en distribuert virksomhet. Live ledertavler, visuelle pakker og engasjerende hybridkonkurranse.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Challenge : Tilpassbar reflekskonkurranse innen cyber og AI: tidsstyrte minispill i arkademodus.
• Oppdag vårt program for AI-kompetanse (AI Spring)
• Se bruksområder etter mål og bransje
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)