Regelefterlevnad – Digitala verktyg och personligt stöd

I en intervju med Joakim Karlén diskuterar vi nya krav på AI-genererat material, främst olika typer av märkning. Diskussionen tar avstamp i de nya regler som nyligen har trätt i kraft som en följd av AI-förordningen. ## Nya krav EU:s AI-förordning och dess nya transparenskrav ställer högre krav på hur AI-genererat material ska hanteras och märkas. För många organisationer väcker de nya reglerna frågor kring vilket ansvar man egentligen har – både som utvecklare, arbetsgivare och enskild publicist. Transparensreglerna i EU:s AI-förordning har nu trätt i kraft, två år efter lagstiftningens ursprungliga antagande. Det innebär att alla organisationer som utvecklar eller tillämpar AI-system behöver förhålla sig till tydliga krav på märkning och spårbarhet. ## Typer av märkning Märkning av AI-genererat innehåll kan i huvudsak delas upp i två kategorier: - Öppen märkning: Information som är synlig för betraktaren, exempelvis ett vattenmärke på en bild med texten ”AI-genererad” eller klartext i ett dokuments metadata. - Teknisk (osynlig) märkning: Matematisk eller statistisk förskjutning i materialet, exempelvis SynthID. Den syns inte för det mänskliga ögat vid en första anblick, men kan identifieras av digitala detekteringsverktyg. ## Vem bär ansvaret? Det är viktigt att skilja på var ansvaret ligger i kedjan. Skapare av AI-modeller (såsom OpenAI, Anthropic och Google) är skyldiga att bygga in spårbarhet och märkning direkt i tekniken. För företag som köper in eller driftsätter verktygen för sina anställda gäller inte samma generella krav på automatisk märkning – med viktiga undantag. Vid publicering av manipulativt material, som deepfakes eller helt omodererade texter, inträder en skyldighet att informera mottagaren. Om text eller bild däremot har granskats, redigerats eller bearbetats av en människa före publicering krävs generellt sett inte en explicit varning. I takt med att AI-verktyg blir en naturlig del av det dagliga arbetet – i likhet med tidigare teknologier som stavningskontroll – minskar behovet av större anpassningar. Nyckeln för företag är att sätta upp tydliga interna principer för kommunikation och transparens. Genom att proaktivt klargöra hur AI används i verksamheten undviks oklarheter och förtroendet hos kund och allmänhet upprätthålls. Hela intervjun med Joakim finns här.

Den nya cybersäkerhetslagen (som bygger på EU-lagstiftning) har blivit ett hett samtalstema i näringslivet. Lagens huvudsakliga syfte är tydligt: att höja cybersäkerheten och incidentberedskapen i hela samhället samt ge företagsledningar ett tydligare ägarskap över säkerhetsfrågorna. Fokus ligger på samhällskritiska verksamheter, såsom myndigheter, kommuner, energibolag och matförsörjning. Så varför pratas det då så brett om en lag som specifikt riktar sig till kritiska samhällsfunktioner? Svaret stavas leveranskedjan. ### Kraven som ärvs neråt i leden I lagstiftningen finns ett strikt krav på att de organisationer som omfattas måste säkerställa att hela deras leveranskedja är cybersäker. När en myndighet eller ett energibolag upphandlar varor och tjänster måste de kontrollera sina leverantörer. I praktiken innebär det att oavsett om du driver ett stort eller litet bolag, kommer du att mötas av tuffa säkerhetsfrågor i framtida upphandlingar. Kraven ärvs helt enkelt neråt. En svaghet hos en underleverantör flera led bort blir i slutänden en svaghet för den samhällsviktiga verksamheten. ### Compliance-börda eller verklig nytta? Det är lätt att se nya lagar som mest onödig administration. Men mycket av arbetet har en påtaglig nytta och om man tar sig an arbetet på ett klokt sätt så behöver det heller inte vara så betungande. Informationssäkerhet handlar i grunden om struktur och när man har fått strukturerna på plats innebär det säkerhetsförbättringar som är med och skyddar verksamheten varje dag. I en tid med frekventa cyberangrepp och phishingförsök är en god "cyberhygien" direkt avgörande för alla företag. ### Tre steg för att ta sig an projektet För mindre organisationer som saknar en stor IT-budget eller en egen compliance-avdelning handlar det om att vara konkret och avgränsa området. Arbetet kan kokas ner till tre centrala steg: 1. Gör tekniskt rätt: Börja med de lågt hängande frukterna. Inför tvåfaktorsautentisering på alla system, se till att brandväggar är påslagna och gör löpande säkerhetsuppdateringar. Utbilda även personalen kontinuerligt så att de känner igen hot som phishing (falska mejl) och wishing (telefonbedrägerier). 2. Dokumentera: Gör en enkel inventering av era resurser – vilka mjukvaror, hårdvaror och nätverk använder ni? Identifiera riskerna kopplade till dessa och upprätta tydliga policyer. Hur hanterar ni exempelvis "Shadow IT" (när anställda använder privata telefoner eller datorer i arbetet)? Genom att dokumentera era processer har ni färdiga svar när kunderna ställer frågor i en upphandling. 3. Följ upp: Cybersäkerhet är ett rörligt mål. Med jämna mellanrum måste ni utvärdera om era rutiner stämmer överens med verkligheten, göra nya riskanalyser vid inköp av ny teknik och hålla er uppdaterade om nya hot. ### Måste man certifiera sig enligt ISO 27001? Större organisationer driver ofta tunga projekt för att certifiera sig enligt ISO 27001. För ett mindre bolag – kanske runt 50 anställda med en mindre komplicerad verksamhet – är en formell certifiering sällan nödvändig, såvida det inte krävs direkt av era kunder. Det är betydligt viktigare att ni faktiskt gör rätt och har det dokumenterat i ett välfungerande informationssäkerhetssystem som liknar strukturen i ISO 27001, snarare än att ha själva certifikatet på väggen. Här på Lantero har vi utvecklat färdiga, lättbegripliga mallar och ifyllda exempel som hjälper er att inventera era resurser, göra riskanalyser och sätta rätt struktur från början – utan att göra processen tyngre än den behöver vara.

Lantero samarbetar idag med ett 80-tal av Sveriges kommuner. Genom denna unika insyn ser vi en tydlig utveckling: aktiviteten i de kommunala visselblåsarkanalerna ökar. Men vad är det egentligen som driver på utvecklingen, hur hanterar man bäst de ärenden som kommer in, och vilka nya administrativa utmaningar väntar runt hörnet? Vi sammanfattar några av de viktigaste insikterna utifrån ett samtal med visselblåsarexperten Andreas Wahlström. ### Ökad medvetenhet och turbulenta perioder Att fler anmälningar kommer in beror främst på två saker: ökat förtroende och bättre information. Medarbetare blir alltmer medvetna om att kanalerna finns och litar på att de är säkra. Det är dock ingen helt generell trend; aktiviteten varierar stort från kommun till kommun. Vi ser en tydlig koppling till två specifika faktorer: 1. Fokus på välfärdsbrott: I kommuner som aktivt motarbetar korruption och välfärdsbrott ökar anmälningsbenägenheten. 2. Turbulens och förändring: Organisationer som befinner sig i en fas av omstrukturering eller turbulens upplever ofta ett högre tryck i sina kanaler. Erfarenheten visar också att de kommuner som är engagerade och duktiga på att kontinuerligt utbilda sin personal får in fler och mer relevanta anmälningar. ### Gallring och behovet av utredningsexpertis En av de största utmaningarna för en kommun är att hantera bredden på det som rapporteras. Mindre än hälften av de ärenden som kommer in faller faktiskt under visselblåsarlagens strikta definition. Mycket handlar istället om allmänna klagomål eller personalärenden. Trots detta har en stor del av rapporterna ett betydande värde för arbetsgivaren att få kännedom om och arbeta vidare med. När ett komplext ärende väl har identifierats uppstår nästa utmaning: utredningen. Att driva en utredning internt kan vara juridiskt och personellt komplicerat. En tydlig trend är därför att allt fler kommuner väljer att ta in extern expertis för att kvalitetssäkra utredningsarbetet och garantera en oberoende granskning. ### Den nya administrativa utmaningen: "War of the AI:s” När ett ärende har hanterats stannar det inte alltid där. Kunskapen hos journalister och allmänhet om att dessa kanaler finns har ökat, vilket har lett till en markant ökning av förfrågningar om att få ut dokument ur systemen. Detta drivs i hög grad på av AI-teknik. Eftersom granskare numera kan använda AI för att läsa och sammanfatta enorma textmängder, drar de sig inte för att begära ut omfattande loggar och samtliga ärenden. För de redan hårt belastade handläggarna på kommunen innebär detta en enorm administrativ press, eftersom sekretess- och skadeprövning måste göras skyndsamt och noggrant, då felaktiga röjanden av känslig information kan få stora konsekvenser. För att möta denna AI-drivna våg av förfrågningar har kommunerna själva börjat implementera AI-stöd i sina processer. Genom att låta en AI göra grovarbetet och flagga för potentiell sekretess kan man ofta kapa administrationstiden med omkring 80 %. Det frigör tid så att handläggarna kan fokusera på det som bara en människa kan göra: den slutgiltiga, kvalificerade skadeprövningen.