Kunstig intelligens i virksomheder: en udfordring for økonomisk sikkerhed, før det er en teknologisk udfordring

Kunstig intelligens har på få måneder etableret sig som et centralt værktøj til at transformere organisationer. Automatisering af opgaver, hurtigere beslutningsprocesser, hjælp til tekstforfatning, analyse af komplekse data: løfterne er mange og for mange virksomheder allerede konkrete. Denne hurtige udbredelse er dog blevet ledsaget af et mere diskret, men potentielt langt mere strukturerende fænomen: brugen af AI-værktøjer uden et reelt governance-rammeværk, uden klar kontrol over datastrømme og nogle gange uden reel bevidsthed om konsekvenserne for sikkerhed og suverænitet.

Det er i denne sammenhæng, at en nylig note fra Direction générale de la sécurité intérieure (DGSI), viderebragt blandt andet af Le Figaro, har vakt opmærksomhed. Den franske indenlandske efterretningstjeneste, som normalt forbindes med kampen mod terrorisme eller udenlandske indblandinger, har fundet det nødvendigt at advare virksomheder om de risici, som en ukontrolleret brug af AI indebærer. Et stærkt signal. For når DGSI udtaler sig om et emne, er det ikke for at kommentere en teknologisk trend, men for at pege på en problemstilling, der vedrører den nationale økonomiske sikkerhed.

Denne stillingtagen markerer en vigtig udvikling: kunstig intelligens er ikke længere blot et performanceværktøj, den bliver et strategisk emne på linje med beskyttelsen af informationsaktiver, digital suverænitet eller konkurrenceevnen for franske virksomheder.

En institutionel advarsel om tab af kontrol

I sin note anerkender DGSI fuldt ud produktivitetsgevinsterne og de muligheder, som AI tilbyder. Den sætter ikke spørgsmålstegn ved interessen i disse teknologier, men fremhæver de mulige afsporinger, når deres brug undslipper enhver ramme. Blandt de nævnte eksempler er praksisser, der i dag er meget udbredte: medarbejdere, der kopierer og indsætter interne dokumenter i offentligt tilgængelige AI-værktøjer, uden ledelsesmæssig godkendelse, nogle gange uden overhovedet at vurdere følsomheden af de oplysninger, der videregives.

Risikoen er således dobbelt. For det første forlader data virksomhedens sikre miljø for at blive behandlet af eksterne infrastrukturer, ofte placeret uden for Den Europæiske Union. For det andet kan de blive lagret, analyseret og endda genbrugt efter vilkår, som helt unddrager sig organisationens kontrol. Nogle platforme præciserer, at data kan bruges til at forbedre deres modeller, andre forbliver bevidst uklare. Under alle omstændigheder mister virksomheden kontrollen over det, den betror.

DGSI advarer også om en anden afsporing: beslutningsmæssig afhængighed. I et af de omtalte tilfælde støttede en virksomhed sig udelukkende på en AI til at vurdere sine forretningspartnere og styre sine strategiske valg uden at foretage nogen supplerende verifikation. Denne situation illustrerer en gradvis, men bekymrende forskydning, hvor beslutningsstøtteværktøjet bliver en erstatning for menneskelig analyse. Som noten minder om, producerer AI ikke sandheder, men statistisk plausible resultater. Den kan tage fejl, hallucinere, producere falske eller ufuldstændige oplysninger, nogle gange med et højt niveau af tilsyneladende troværdighed.

Endelig nævner DGSI den stigende udbredelse af ondsindede anvendelser af AI, især « deepfakes », som kan efterligne en stemme eller et udseende med en realisme, der gør visse forsøg på svindel næsten umulige at opdage. I denne sammenhæng bliver AI ikke blot et produktivt værktøj, men også en potentiel kanal for manipulation, indblanding og angreb på virksomhedernes integritet.

Den egentlige udfordring: datasuverænitet

Hvad denne advarsel afslører, ud over de konkrete eksempler, er et dybere problem: AI er ved at blive et strategisk lag i virksomhedernes informationssystem, uden at de altid har gentænkt deres datastyring i overensstemmelse hermed.

Historisk set har virksomheder lært at sikre deres servere, deres netværk, deres databaser. De ved, hvor deres oplysninger er lagret, hvem der har adgang til dem, og under hvilke betingelser. AI introducerer derimod en ny type strøm: data bliver ikke længere kun lagret eller udvekslet, de indlæses, analyseres, omformuleres og nogle gange integreres i modeller, hvis interne funktion er uigennemsigtig.

At bruge en offentlig AI indebærer derfor at delegere en del af behandlingen af sine strategiske oplysninger til en tredjepart, uden altid at have et klart overblik over:
• servernes nøjagtige placering,
• opbevaringsperioden for data,
• deres eventuelle genanvendelse,
• gældende lovgivning, herunder især ekstraterritoriale love.

For en virksomhed udgør dette ikke kun en juridisk eller regulatorisk risiko. Det er et spørgsmål om konkurrenceevne. Interne data, kontraktlige dokumenter, kommercielle strategier, svar på udbud eller arbejdsmetoder udgør en immateriel kapital, hvis værdi er betydelig. At eksponere dem, selv utilsigtet, er at svække sin position på markedet.

AI og udbud: et kritisk anvendelsestilfælde for både indkøbere og tilbudsgivere

Udbud er et af de områder, der er mest følsomme over for brugen af kunstig intelligens, fordi de samler strategiske oplysninger for alle interessenter. Risikoen begrænser sig ikke til de virksomheder, der svarer på udbuddene. Den vedrører i lige så høj grad de offentlige og private ordregivere, der udsteder og evaluerer dem.

Set fra indkøbers side indeholder et udbudsmateriale særligt følsomme elementer:
• operationelle behov, som nogle gange er fortrolige,
• strategiske retningslinjer,
• budgetmæssige begrænsninger,
• interne evalueringskriterier,
• organisatoriske og tekniske afvejninger.

Brugen af en usikret AI til at analysere, omformulere eller strukturere disse dokumenter kan eksponere oplysninger, der direkte vedrører organisationens indkøbsstrategi og industripolitik. I visse sektorer kan disse data have en økonomisk, konkurrencemæssig, ja endda geopolitisk værdi.

På tilbudsgivers side er risiciene lige så høje. Et svar på et udbud afslører:
• omkostningsstrukturen,
• positioneringsstrategien,
• produktions- eller leveringsmetoderne,
• den interne organisering,
• virksomhedens differentierende elementer.

At betro disse data til en offentlig AI svarer til at blotlægge selve essensen af sin konkurrencefordel. Det kan svække virksomhedens konkurrenceevne, men også sætte spørgsmålstegn ved procedurens loyalitet og retfærdighed. I begge tilfælde er udfordringen den samme: AI bliver et samlingspunkt for informationsrisiko. Den behandler ikke kun administrative data, men elementer, der direkte påvirker økonomiske, kontraktlige og strategiske beslutninger.

At anvende AI på udbud uden en sikker arkitektur svarer derfor til at flytte en kritisk proces ind i et miljø, som virksomheden hverken har kontrol over reglerne, infrastrukturen eller de potentielle sekundære anvendelser af. Det er netop det, der gør dette use case særligt følsomt, og som begrunder et højere sikkerhedsniveau end for de fleste andre anvendelser af AI i virksomheder. 

Et teknologisk svar, der er på linje med sikkerhedskravene

Det er netop for at imødekomme disse udfordringer, at visse løsninger fra starten er blevet designet ud fra et krav om suverænitet og kontrol. Hos Specgen er datasikkerhed aldrig blevet tænkt som en valgfri funktion, men som en forudsætning for enhver anvendelse af AI inden for udbud. Der tilbydes to implementeringsmodeller.

Den første bygger på installationer, der udelukkende er on-premises. I dette tilfælde implementeres hele platformen og AI-modellerne på kundens servere. AI'en kører på intranettet uden nogen kommunikation med omverdenen. Dataene forbliver fysisk og logisk under virksomhedens eksklusive kontrol. Denne model opfylder de strengeste krav til fortrolighed, især for organisationer, der er underlagt høje regulatoriske krav eller håndterer yderst følsomme oplysninger.

Den anden model bygger på en stærkt sikret privat cloud. Infrastrukturen er dedikeret, hosting er kontrolleret, data bruges aldrig til at træne modellerne, og arkitekturen er designet til at leve op til de sikkerhedsstandarder, som forventes af institutioner som ANSSI. Der er ikke tale om adgang til en offentlig AI, men om et kontrolleret miljø, kontraktligt reguleret og teknisk isoleret. I begge tilfælde er logikken den samme: ingen afhængighed af AI til massemarkedet, ingen ukontrolleret fællesudnyttelse af data, ingen uigennemsigtighed omkring behandlingen.

Dertil kommer et grundlæggende designprincip: fraværet af « autopilot ». AI handler aldrig autonomt. Den assisterer, analyserer, foreslår, men beslutningen forbliver menneskelig. Denne tilgang sikrer, at værktøjet styrker teams’ ekspertise uden nogensinde at erstatte den.

At ændre perspektiv på kunstig intelligens

DGSI’s advarsel må ikke fortolkes som en underkendelse af AI. Den er tværtimod en opfordring til at gentænke anvendelsen. Kunstig intelligens er hverken i sig selv farlig eller i sig selv dydig. Alt afhænger af den valgte arkitektur, den etablerede governance-ramme og det kontrolniveau, virksomheden bevarer.

På sigt vil den reelle skillelinje ikke gå mellem virksomheder, der bruger AI, og dem, der ikke gør, men mellem dem, der bruger den uden suverænitet, og dem, der integrerer den i en kontrolleret strategi. Den første kategori udsætter sig for stigende risici. Den anden gør AI til en varig konkurrencefordel. Dette perspektivskifte er afgørende. Det gør det muligt at komme væk fra en binær opfattelse, der sætter innovation og sikkerhed op imod hinanden. Udfordringen er ikke at bremse innovationen, men at indskrive den i en ramme, der beskytter de økonomiske interesser, datakonfidentialiteten og den digitale suverænitet for franske virksomheder.

I denne sammenhæng må AI ikke være en afhængighedsfaktor. Den skal blive et strategisk værktøj, valgt, styret og behersket.