Företagshemligheter och AI – så skyddar ni er

Kort svar: behandla AI som en extern mottagare tills motsatsen är bevisad

Det största misstaget med AI och företagshemligheter är att se prompten som “bara intern anteckning”. I praktiken kan en prompt vara en överföring till en extern tjänst, en behandling hos en leverantör, en loggad händelse, en filuppladdning eller ett underlag som delas vidare i organisationen. Därför behöver företaget veta vilka AI-verktyg som används, vilka datatyper som matas in och vilka regler som gäller.

Grundregeln bör vara enkel: information som ger företaget ett konkurrensövertag får inte klistras in i privata, okända eller icke godkända AI-tjänster. Det gäller även om syftet är ofarligt, till exempel “sammanfatta”, “översätt”, “skriv om” eller “gör en tabell”. Själva uppladdningen kan vara problemet.

Det här är särskilt viktigt efter EU:s AI Act, där kravet på AI-kunnighet innebär att organisationer behöver säkerställa att personer som använder AI-system har relevant kunskap om risker och korrekt användning. För företagshemligheter betyder det att utbildningen måste bli konkret: vad får jag prompta, vad får jag aldrig prompta och vad gör jag om jag råkat dela fel material?

Vad räknas som en företagshemlighet i AI-vardagen?

Enligt svensk lag om företagshemligheter handlar det om information om affärs- eller driftförhållanden som företaget håller hemlig, som inte är allmänt känd och där röjande kan skada företaget i konkurrenshänseende. I AI-vardagen är det ofta bredare än många tror. Det kan vara en prislista, en marginalkalkyl, en kundlista, en förhandlingsstrategi, en produktidé, ett internt beslutsunderlag, en ritning, källkod, en säkerhetsbrist eller en detaljerad supportlogg.

Det behöver alltså inte stå “företagshemlighet” i dokumentets sidhuvud. Om informationen är okänd för konkurrenter och har affärsvärde ska den hanteras försiktigt. Det är precis den typen av material som ofta hamnar i AI-verktyg eftersom användaren vill få snabb hjälp med sammanfattning, analys, översättning eller omformulering.

De vanligaste AI-riskerna för företagshemligheter

Riskerna börjar ofta i små vardagshändelser. En säljare klistrar in en kundspecifik offert för att få ett snyggare mejl. En produktchef laddar upp en roadmap för att skapa en presentation. En utvecklare ber AI förklara intern kod. En HR-person sammanfattar ett känsligt ärende. Varje enskilt fall kan verka rimligt, men tillsammans blir det en okontrollerad informationsström.

Det finns också juridiska och avtalsmässiga dimensioner. Om informationen innehåller personuppgifter gäller GDPR:s principer om bland annat ändamålsbegränsning, uppgiftsminimering, integritet och konfidentialitet. Om AI-leverantören behandlar personuppgifter för företagets räkning kan biträdesavtal och säkerhetskrav bli aktuella. Om information lämnas till en tjänst utanför EU/EES kan tredjelandsfrågor behöva bedömas.

EDPB:s yttrande om AI-modeller visar också att dataskyddsprinciperna fortsätter att spela roll i AI-sammanhang. För företag innebär det att AI inte ska bli en genväg runt befintliga krav på kontroll, säkerhet och dokumentation.

Klassning: gör det lätt att veta vad som är grönt, gult och rött

En policy som bara säger “dela inte känslig information” fungerar dåligt i praktiken. Medarbetare behöver konkreta exempel. Därför bör företaget klassificera AI-input i nivåer. Det gör att användaren kan fatta snabbare beslut utan att fråga jurist eller IT varje gång.

Gränsdragningen bör finnas både i AI-policyn och i utbildningen. Den bör också speglas i tekniska kontroller där det är möjligt, till exempel blockerade filuppladdningar, DLP-regler, varningar i webbläsaren eller begränsningar för vilka AI-verktyg som är tillåtna.

Policyregler som faktiskt hjälper medarbetare

En bra AI-policy för företagshemligheter är kort nog att följas och konkret nog att användas i vardagen. Den ska inte bara säga vad som är förbjudet. Den ska också visa säkra alternativ: hur man anonymiserar, när man får använda fiktiva exempel, vilka verktyg som är godkända och vem som kan godkänna undantag.

Lägg gärna till prompt-exempel. “Skriv om den här publika produkttexten” kan vara tillåtet. “Sammanfatta kund X:s prisavtal” är rött. “Föreslå en mall för hur vi kan förklara leveransvillkor” kan vara grönt. “Analysera vår faktiska leverantörsstrategi för nästa kvartal” är sannolikt rött eller gult med godkännande.

Process: från risk till fungerande arbetssätt

Det räcker inte att skriva en policy och hoppas att den följs. Företaget behöver en enkel process för att upptäcka användning, godkänna verktyg, hantera undantag och följa upp incidenter. Börja med att inventera vilka AI-verktyg som redan används. Dokumentera sedan återkommande användningsfall i ert AI-register: verktyg, ägare, datatyper, syfte, risknivå, leverantör och instruktioner.

Här blir AI-registret praktiskt. Det gör skugg-AI synligt, hjälper ledningen att prioritera risker och ger medarbetare en källa till sanning: “vilket verktyg får jag använda för vilken typ av information?”. Det minskar också risken att samma bedömning görs om och om igen i olika delar av organisationen.

Fem kontrollfrågor till varje nytt AI-användningsfall

Checklista: skydda företagshemligheter innan AI blir vardag

Använd checklistan som startpunkt för ledning, IT, juridik och verksamhetsägare. Målet är inte att bromsa AI, utan att använda AI utan att företagets konkurrensfördelar hamnar i fel händer.

Slutsatsen är enkel: företagshemligheter skyddas inte genom att säga “var försiktig”. De skyddas genom tydliga dataklasser, godkända verktyg, praktiska exempel och uppföljning. När ni kombinerar AI-policy med ett levande AI-register får medarbetare både fart och ramar.