Sikkerhet i systemer med kunstig intelligens i offentlig sektor og næringsliv

En taksonomi over risikoene, det normative rammeverket og en arkitektur for kontrollert tillit ved troverdig innføring av store språkmodeller i offentlig forvaltning og i virksomheter.

Sammendrag

Denne artikkelen behandler sikkerheten i systemer med kunstig intelligens (KI), særlig anvendelser bygget på store språkmodeller (LLM), slik de innføres i offentlig forvaltning, mellomstore organisasjoner og store virksomheter. Med utgangspunkt i gjeldende trusseltaksonomier og empiriske funn om såkalt skygge-KI (shadow AI) avgrenser den den spesifikke angrepsflaten som følger av de generative modellenes sannsynlighetsbaserte og ugjennomsiktige natur og av at instruksjoner og data ikke skilles fra hverandre. Artikkelen sammenfatter videre det bindende og frivillige normative rammeverket (EUs KI-forordning, NIS2, GDPR, ISO/IEC 42001, NIST AI RMF) og foreslår en arkitektur for kontrollert tillit, forankret i en flernivås heuristisk port og i risikostyring gjennom modellens fulle livsløp. Til slutt formuleres implikasjoner differensiert etter type virksomhet, med argumentet om at sikkerhet innebygd i designet ikke er en hindring, men en forutsetning for bærekraftig innføring av KI.

Nøkkelord: kunstig intelligens; store språkmodeller; cybersikkerhet; risikostyring; prompt injection; skygge-KI; EUs KI-forordning; styring.

1. Innledning og problemstilling

På kort tid har kunstig intelligens gått fra eksperimentstadiet til produksjonsbruk. Generative modeller brukes nå til å behandle offentlige henvendelser, sortere forespørsler, oppsummere avtaler, støtte programvareutvikling og drive kundekanaler. Innføringstakten har imidlertid løpt fra utbyggingen av tilsvarende sikkerhets- og styringsmekanismer, og har skapt en ny angrepsflate og en ny klasse driftsrisiko. Mens den tidligere utviklingsfasen var preget av spørsmålet om modellenes evner, reiser den nåværende fasen spørsmålet om troverdigheten til resultatene deres — altså under hvilke betingelser og i hvilken grad de kan stoles på i beslutninger med rettslig eller økonomisk virkning.

I denne artikkelen behandler vi ikke KI-sikkerhet som en enkel undergruppe av klassisk informasjonssikkerhet. Et tradisjonelt informasjonssystem er i hovedsak deterministisk, og atferden kan revideres på nivå med enkeltoperasjoner. Et system bygget på en LLM er derimot sannsynlighetsbasert, beslutningsprosessen er bare delvis tolkbar, og — avgjørende — instruksjoner og data går inn i modellen gjennom en felles kanal uten noe eksplisitt skille^[1]. Målet med artikkelen er å (i) definere den spesifikke trusseltaksonomien for slike systemer, (ii) oppsummere det relevante normative rammeverket og (iii) foreslå en kontrollarkitektur som kan brukes på tvers av organisasjonstyper.

2. Den spesifikke trusselflaten i LLM-systemer

Referansetaksonomien er OWASP Top 10 for LLM Applications i 2025-utgaven^[1]. For andre år på rad innehas førsteplassen av prompt injection — en klasse angrep der en angriper legger inn i inndataene en instruksjon som modellen tolker som en kommando snarere enn som innhold som skal behandles. Fordi modellen ikke pålitelig kan skille data fra instruksjoner, etterkommer den den injiserte instruksjonen. Angrepet kan være direkte (fra brukeren) eller indirekte, skjult i et dokument, en e-post eller en nettside som modellen behandler som del av gjenfinningsstøttet generering (RAG).

Andreplassen innehas nå av eksponering av sensitiv informasjon. Modeller kan memorere og gjengi fragmenter av treningsdata, inkludert personopplysninger og forretningshemmeligheter; lekkasje skjer også gjennom prompten, et tilkoblet system eller mangelfull tilgangsstyring^[1]. Taksonomien omfatter videre forgiftning av data og modeller, sårbarheter i leverandørkjeden, for vide rettigheter gitt til autonome agenter og generering av feilinformasjon. Et fellestrekk ved disse truslene er at de oppstår i det semantiske laget og som regel ikke fanges av tradisjonelle perimeterverktøy (brannmur, antivirus); de krever derfor et eget kontrollag.

3. Skygge-KI som organisatorisk risiko

Empiriske funn tyder på at en betydelig del av risikoen ikke skapes av eksterne angripere, men av ansatte som handler i god tro. Fenomenet skygge-KI — bruk av ikke-godkjente verktøy utenfor IT-avdelingens oversikt — har blitt en av de raskest voksende vektorene for datalekkasje^[2][3]. Tilgjengelige undersøkelser viser at de fleste ansatte bruker generative verktøy på jobb, at en betydelig andel gjør det gjennom private kontoer utenfor organisasjonens kontroll, og at en ikke ubetydelig andel innrømmer å legge inn sensitive data^[3]. IBMs Cost of a Data Breach Report 2025 oppgir at omtrent en femtedel av de rammede organisasjonene ble kompromittert gjennom skygge-KI, noe som økte den gjennomsnittlige kostnaden ved en hendelse med flere hundre tusen dollar^[2].

Figur 1. Utvalgte indikatorer på omfanget av og konsekvensene ved skygge-KI. Kilde: [2], [3].

Konsekvensen er tosidig. For det første forlater dataene organisasjonens perimeter i det øyeblikket de legges inn i en offentlig tjeneste; for det andre finnes det ingen revisjonsspor over hvilke data som ble delt og med hvem. I offentlig forvaltning er virkningen alvorligere, siden det gjelder innbyggernes opplysninger under et særlig vernregime. En restriktiv tilnærming (et generelt forbud) framstår som mot sin hensikt, siden den skyver bruken enda lenger inn i skyggen; en mer hensiktsmessig løsning er å tilby et sikkert, godkjent og overvåket alternativ.

«KI-sikkerhet begynner ikke med modellen, men med spørsmålet om hvilke data som får gå inn i den, og hvem som får stole på det som kommer ut.»

— prinsippet om dataminimering og styrt tillit

4. Det normative og regulatoriske rammeverket

Rammeverket for innføring av KI utgjøres av et overlappende system av bindende regler og frivillige standarder. I EU består det bindende laget av KI-forordningen, NIS2 og GDPR; det frivillige — men i praksis stadig oftere påkrevde — laget utgjøres av ISO/IEC 42001 og NIST AI RMF, som gir en metodisk validert måte å oppnå og dokumentere etterlevelse på (tabell 1).

Tabell 1. Oversikt over de relevante regulatoriske og normative rammeverkene for innføring av KI.

For store virksomheter får ISO/IEC 42001 en funksjon tilsvarende ISO/IEC 27001 i informasjonssikkerhet — den blir en tillitsstandard og et kriterium ved valg av leverandør^[4]. For offentlig forvaltning er derimot KI-forordningen avgjørende, siden flere av bruksområdene der (sosiale ytelser, grensekontroll, rettspleie, politiarbeid) er plassert i høyrisikokategorien^[6].

5. Arkitektur for kontrollert tillit: den heuristiske porten

Regulatoriske og normative krav må oversettes til en konkret teknisk kontroll. Kjernen i den foreslåtte tilnærmingen er en heuristisk port — et kontrollag som alle inndata (prompter), alle mellomliggende operasjoner og alle utdata går gjennom før de når en autorisert bruker eller et etterfølgende system. I stedet for implisitt tillit til modellen kontrolleres hver interaksjon på seks innbyrdes uavhengige nivåer (figur 2).

Interaksjonsflyt: inndata / modell → 6 kontrollnivåer → autorisert bruker eller system.

1. Nivå 1 — kontroll av inndata. Analyse av prompten, deteksjon av prompt injection, jailbreaks og forbudte forespørsler før innsending til modellen.
2. Nivå 2 — rettighetsstyring. Kontroll av rolle og tilgangsrettigheter; både brukeren og en autonom agent handler bare innenfor de tildelte rettighetene.
3. Nivå 3 — datavern. Deteksjon og maskering av person- og sensitive opplysninger i både inndata og utdata, dataminimering i tråd med GDPR.
4. Nivå 4 — faktisk riktighet. Heuristisk kontroll av resultatet, deteksjon av hallusinasjoner og kryssverifisering av påstander og kilder.
5. Nivå 5 — innholdssikkerhet. Filtrering av skadelig, skjevt og manipulerende innhold og blokkering av uønskede handlinger.
6. Nivå 6 — menneskelig tilsyn. Endelig godkjenning av avgjørelser med rettslig eller vesentlig virkning (GDPR art. 22) — et menneske i beslutningssløyfen.

Figur 2. Modellen med den seksnivås heuristiske porten for kontroll av interaksjoner med en LLM.

For organisasjoner og store virksomheter har porten enda en vesentlig funksjon: hver interaksjon logges, noe som skaper et reviderbart spor over hvem som brukte systemet, til hvilket formål og med hvilket resultat, og hvilke kontroller som slapp resultatet gjennom. Dette håndterer systematisk blindsonen rundt skygge-KI — i stedet for en ukontrollert lekkasje av data til offentlige tjenester får sikkerhetsteamet full innsikt og et forensisk spor.

6. Livsløp og risikostyring

Sikkerhet er ikke en engangsrevisjon før idriftsettelse, men en egenskap ved hele livsløpet, i tråd med funksjonsmodellen i NIST AI RMF (Govern, Map, Measure, Manage)^[5]. I praksis kan den operasjonaliseres i fem gjentakende faser.

6.1 Vurdering og kartlegging

Før implementering fastsettes systemets risikoklasse, det utarbeides en DPIA og en juridisk analyse av bruksområdet, og gruppen av berørte registrerte kartlegges. Uten dette steget er det umulig å dimensjonere kontrollene eller omfanget av menneskelig tilsyn riktig.

6.2 Design og validering

Sikkerhetskontroller, dataminimering og tilsynspunkter bygges inn i designet. Før idriftsettelse testes systemet for skjevhet, nøyaktighet og robusthet, inkludert målrettet red teaming som forsøker å omgå porten og manipulere modellen.

6.3 Idriftsettelse og overvåking

Idriftsettelsen er en kontrollert prosess, med menneskelig tilsyn og full logging. Deretter følger løpende måling: overvåking av modelldrift, resultatkvalitet og avvik, med hendelseshåndtering på plass og 24-timers rapportering etter NIS2^[7]. Et system som slutter å oppfylle de fastsatte kriteriene, tas ut av bruk eller trenes opp på nytt på en kontrollert måte.

Merknad om rekkefølgen av stegene. Ut fra kostnadseffektivitet er det avgjørende at kontrollene er en del av designet og ikke en påbygning i etterkant. Kostnaden ved utbedring vokser ikke-lineært med livsløpsfasen — en hendelse i drift er størrelsesordener dyrere enn en kontroll bygget inn i arkitekturen, og da er ikke omdømmemessige og regulatoriske følger engang regnet med.

7. Implikasjoner etter type virksomhet

7.1 Offentlig forvaltning

Offentlige virksomheter behandler innbyggernes opplysninger, og flere av deres KI-anvendelser er høyrisiko etter loven. Prioriteten er etterlevelse av KI-forordningen, obligatorisk menneskelig tilsyn i avgjørelser om rettigheter og ytelser, datasuverenitet (drift innenfor EU) og beredskap til å legge fram dokumentasjon for tilsynsmyndighetene. Gitt lengden på anskaffelsesprosessene er det tilrådelig å begynne forberedelsene i god tid før fristene i 2026–2030.

7.2 Mellomstore organisasjoner

I dette segmentet er skygge-KI og mangelen på en brukspolicy det mest akutte problemet. Det mest effektive førstetiltaket er å gi de ansatte et godkjent og overvåket verktøy utstyrt med en heuristisk port, supplert med tydelige regler og opplæring, og dermed fjerne lekkasjen av data til offentlige tjenester og skape grunnleggende revisjonsinnsikt.

7.3 Store virksomheter

For store virksomheter blir KI-sikkerhet et spørsmål om helhetlig styring: et register over KI-systemer, sertifisering etter ISO/IEC 42001, styring av leverandørkjeden for modeller, kontroll med autonome agenter og integrering av KI i den eksisterende cybersikkerhetsstrategien og hendelseshåndteringen. Sertifisering og en reviderbar arkitektur blir også et konkurransefortrinn i kampen om kunder og offentlige kontrakter.

8. Drøfting og konklusjon

Analysen som er lagt fram, tyder på at KI-sikkerhet i sin natur er et tverrgående problem som ikke lar seg redusere til et rent teknisk eller et rent regulatorisk tiltak. Den foreslåtte arkitekturen for kontrollert tillit — en kombinasjon av en flernivås heuristisk port og risikostyring gjennom livsløpet — utgjør et praktisk rammeverk som oversetter krav i regler og standarder til etterprøvbare kontroller. En begrensning ved tilnærmingen er at effektiviteten til de enkelte portnivåene avhenger av kvaliteten på deteksjonsheuristikkene og av at de oppdateres løpende mot nye angrep; framtidig forskning bør derfor rette seg mot kvantitative mål på effektiviteten til de enkelte kontrollene og mot standardisering av dem.

Det kan konkluderes med at kunstig intelligens bare gir verdi når resultatene kan stoles på, mens tillit ikke kan forutsettes — den må bygges og løpende dokumenteres. Organisasjoner som behandler KI-sikkerhet som en integrert del av arkitekturen, regeletterlevelsen og risikostyringskulturen, får ikke bare beskyttelse mot angrep og sanksjoner, men også evnen til å ta KI i bruk raskere og i større omfang, fordi hvert scenario er reviderbart og forsvarbart fra første stund. Sikkerhet er dermed ikke en brems på innovasjon, men en forutsetning for at den kan vokse bærekraftig.

Referanser

1. OWASP. OWASP Top 10 for LLM Applications 2025. OWASP GenAI Security Project, 2025.
2. IBM Security. Cost of a Data Breach Report 2025. IBM / Ponemon Institute, 2025.
3. Menlo Security m.fl. State of Shadow AI / undersøkelser om bruk av generativ KI i virksomheter, 2025–2026.
4. ISO/IEC. ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system. Genève, 2023.
5. NIST. Artificial Intelligence Risk Management Framework (AI RMF 1.0). National Institute of Standards and Technology, 2023.
6. Europaparlamentet og Rådet. Forordning (EU) 2024/1689 (KI-forordningen). Den europeiske unions tidende, 2024.
7. Europaparlamentet og Rådet. Direktiv (EU) 2022/2555 (NIS2). Den europeiske unions tidende, 2022.
8. Europaparlamentet og Rådet. Forordning (EU) 2016/679 (GDPR), art. 22 og 35. Den europeiske unions tidende, 2016.