Regelefterlevnad – Digitala verktyg och personligt stöd

Visselblåsarärenden varierar stort och hur de ska utredas kan påverkas av många saker. Extern hjälp med utredningar kan aktualiseras av många olika faktorer, exempelvis behov av specialistkompetens, ett tydligare oberoende eller för att kunna peka på en extern part i samband med beslut. I en intervju med Joakim Karlén diskuterar vi hur man kan resonera kring utredningsarbetet och att engagera extern hjälp. Att hantera ett inkommet visselblåsarärende innebär att balansera juridiskt skydd, god ledningskultur och personlig integritet. Utredningens huvudsakliga syfte är att klarlägga fakta: att antingen bekräfta eller avfärda de uppgifter som lämnats, samt att ge organisationen ett välgrundat beslutsunderlag för vidare åtgärder. För att utredningen ska hålla hög kvalitet krävs metodik, konfidentialitet och framför allt oberoende. ## Kärnan i utredningsarbetet: Oberoende och konfidentialitet Oberoende är den enskilt viktigaste faktorn i en visselblåsarutredning. Den som utför granskningen måste vara helt neutral i förhållande till den verksamhet och de personer som berörs. Processen kräver dessutom strikt konfidentialitet. Utredningen får inte avslöja visselblåsarens identitet, men den får inte heller utsätta den utredde för en orättvis eller inkompetent process. Därför inleds de flesta utredningar med en noggrann genomgång av skriftlig dokumentation och faktiska omständigheter innan eventuella intervjuer genomförs. ## När räcker inte de interna resurserna till? Många organisationer har kompetenta interna team som hanterar ärenden väl. Det finns dock tre tydliga situationer där en extern part bör kopplas in: - Jäv och personkopplingar: Om anmälan rör en person i ledande ställning, eller någon som står det interna utredningsteamet nära, uppstår en intressekonflikt. Det är orealistiskt att kräva fullständigt oberoende från medarbetare som ska fortsätta arbeta tillsammans efter att utredningen avslutats. - Behov av specialistkompetens: Vissa ärenden är juridiskt komplexa eller kräver specifik kompetens inom arbetsmiljö och HR. Mindre kommuner eller bolag som saknar egna jurister behöver ofta extern expertis för att säkerställa att utredningsrapporten håller rättsligt. - Behov av en bekräftad opartisk röst: Ibland finns kunskapen internt, men organisationen behöver ett helt oberoende uttalande att luta sig emot. Det ger ledningen ett tryggt och objektivt underlag inför svåra beslut. ## Psykologiska fördelar och signalvärde En extern utredare kliver in utan historik i organisationen. Det minskar ofta den defensivitet som kan uppstå när anställda granskas av sina egna kollegor. Intervjusituationen blir mindre laddad, vilket underlättar insamlandet av fakta. Slutligen bör man vara medveten om signalvärdet i att arbeta med externa, oberoende utredare. Genom att etablera tydliga principer för när externa utredare anlitas visar organisationen – både för anställda och omvärlden – att man tar missförhållanden på största allvar och inte tvekar inför svåra utredningar.

I en intervju med Joakim Karlén diskuterar vi nya krav på AI-genererat material, främst olika typer av märkning. Diskussionen tar avstamp i de nya regler som nyligen har trätt i kraft som en följd av AI-förordningen. ## Nya krav EU:s AI-förordning och dess nya transparenskrav ställer högre krav på hur AI-genererat material ska hanteras och märkas. För många organisationer väcker de nya reglerna frågor kring vilket ansvar man egentligen har – både som utvecklare, arbetsgivare och enskild publicist. Transparensreglerna i EU:s AI-förordning har nu trätt i kraft, två år efter lagstiftningens ursprungliga antagande. Det innebär att alla organisationer som utvecklar eller tillämpar AI-system behöver förhålla sig till tydliga krav på märkning och spårbarhet. ## Typer av märkning Märkning av AI-genererat innehåll kan i huvudsak delas upp i två kategorier: - Öppen märkning: Information som är synlig för betraktaren, exempelvis ett vattenmärke på en bild med texten ”AI-genererad” eller klartext i ett dokuments metadata. - Teknisk (osynlig) märkning: Matematisk eller statistisk förskjutning i materialet, exempelvis SynthID. Den syns inte för det mänskliga ögat vid en första anblick, men kan identifieras av digitala detekteringsverktyg. ## Vem bär ansvaret? Det är viktigt att skilja på var ansvaret ligger i kedjan. Skapare av AI-modeller (såsom OpenAI, Anthropic och Google) är skyldiga att bygga in spårbarhet och märkning direkt i tekniken. För företag som köper in eller driftsätter verktygen för sina anställda gäller inte samma generella krav på automatisk märkning – med viktiga undantag. Vid publicering av manipulativt material, som deepfakes eller helt omodererade texter, inträder en skyldighet att informera mottagaren. Om text eller bild däremot har granskats, redigerats eller bearbetats av en människa före publicering krävs generellt sett inte en explicit varning. I takt med att AI-verktyg blir en naturlig del av det dagliga arbetet – i likhet med tidigare teknologier som stavningskontroll – minskar behovet av större anpassningar. Nyckeln för företag är att sätta upp tydliga interna principer för kommunikation och transparens. Genom att proaktivt klargöra hur AI används i verksamheten undviks oklarheter och förtroendet hos kund och allmänhet upprätthålls. Hela intervjun med Joakim finns här.

Den nya cybersäkerhetslagen (som bygger på EU-lagstiftning) har blivit ett hett samtalstema i näringslivet. Lagens huvudsakliga syfte är tydligt: att höja cybersäkerheten och incidentberedskapen i hela samhället samt ge företagsledningar ett tydligare ägarskap över säkerhetsfrågorna. Fokus ligger på samhällskritiska verksamheter, såsom myndigheter, kommuner, energibolag och matförsörjning. Så varför pratas det då så brett om en lag som specifikt riktar sig till kritiska samhällsfunktioner? Svaret stavas leveranskedjan. ### Kraven som ärvs neråt i leden I lagstiftningen finns ett strikt krav på att de organisationer som omfattas måste säkerställa att hela deras leveranskedja är cybersäker. När en myndighet eller ett energibolag upphandlar varor och tjänster måste de kontrollera sina leverantörer. I praktiken innebär det att oavsett om du driver ett stort eller litet bolag, kommer du att mötas av tuffa säkerhetsfrågor i framtida upphandlingar. Kraven ärvs helt enkelt neråt. En svaghet hos en underleverantör flera led bort blir i slutänden en svaghet för den samhällsviktiga verksamheten. ### Compliance-börda eller verklig nytta? Det är lätt att se nya lagar som mest onödig administration. Men mycket av arbetet har en påtaglig nytta och om man tar sig an arbetet på ett klokt sätt så behöver det heller inte vara så betungande. Informationssäkerhet handlar i grunden om struktur och när man har fått strukturerna på plats innebär det säkerhetsförbättringar som är med och skyddar verksamheten varje dag. I en tid med frekventa cyberangrepp och phishingförsök är en god "cyberhygien" direkt avgörande för alla företag. ### Tre steg för att ta sig an projektet För mindre organisationer som saknar en stor IT-budget eller en egen compliance-avdelning handlar det om att vara konkret och avgränsa området. Arbetet kan kokas ner till tre centrala steg: 1. Gör tekniskt rätt: Börja med de lågt hängande frukterna. Inför tvåfaktorsautentisering på alla system, se till att brandväggar är påslagna och gör löpande säkerhetsuppdateringar. Utbilda även personalen kontinuerligt så att de känner igen hot som phishing (falska mejl) och wishing (telefonbedrägerier). 2. Dokumentera: Gör en enkel inventering av era resurser – vilka mjukvaror, hårdvaror och nätverk använder ni? Identifiera riskerna kopplade till dessa och upprätta tydliga policyer. Hur hanterar ni exempelvis "Shadow IT" (när anställda använder privata telefoner eller datorer i arbetet)? Genom att dokumentera era processer har ni färdiga svar när kunderna ställer frågor i en upphandling. 3. Följ upp: Cybersäkerhet är ett rörligt mål. Med jämna mellanrum måste ni utvärdera om era rutiner stämmer överens med verkligheten, göra nya riskanalyser vid inköp av ny teknik och hålla er uppdaterade om nya hot. ### Måste man certifiera sig enligt ISO 27001? Större organisationer driver ofta tunga projekt för att certifiera sig enligt ISO 27001. För ett mindre bolag – kanske runt 50 anställda med en mindre komplicerad verksamhet – är en formell certifiering sällan nödvändig, såvida det inte krävs direkt av era kunder. Det är betydligt viktigare att ni faktiskt gör rätt och har det dokumenterat i ett välfungerande informationssäkerhetssystem som liknar strukturen i ISO 27001, snarare än att ha själva certifikatet på väggen. Här på Lantero har vi utvecklat färdiga, lättbegripliga mallar och ifyllda exempel som hjälper er att inventera era resurser, göra riskanalyser och sätta rätt struktur från början – utan att göra processen tyngre än den behöver vara.