Regelefterlevnad – Digitala verktyg och personligt stöd

Att implementera AI i en verksamhet är idag inte bara en teknisk utmaning, utan i allra högsta grad en juridisk och säkerhetsmässig sådan. I ett samtal mellan Lantero och experten Joakim Karlén belyses de komplexa frågor som uppstår när stora språkmodeller (LLM) möter europeisk lagstiftning som GDPR och den nya AI-förordningen. ### Innovation i USA, reglering i EU Teknikutvecklingen drivs till stor del av amerikanska bolag, men för svenska och europeiska organisationer är det den lokala lagstiftningen som sätter ramarna. Joakim Karlén konstaterar att dynamiken är utmanande eftersom innovationstakten är rasande snabb medan regleringen är ny. Det saknas ännu tydlig praxis och domstolsavgöranden, vilket ställer höga krav på organisationers egen förmåga till riskanalys, inte minst inom cybersäkerhetsområdet. ### Krocken mellan GDPR och AI:ns dynamik En av de mest centrala frågorna är hur AI-system, som till sin natur är dynamiska och icke-deterministiska, kan leva upp till GDPR:s krav på korrekthet. Traditionella IT-system är statiska; man vet vad man matar in och vad man får ut. En LLM fungerar annorlunda. Genom att simulera mänskligt beteende med en grad av slumpmässighet blir utdatan inte alltid förutsägbar. Detta skapar en fundamental osäkerhet kring individens rättigheter och korrektheten i den data som behandlas. ### Från chatbotar till autonoma agenter Vi ser en tydlig förflyttning från enkla chatbotar till autonoma agenter som kan utföra arbete självständigt. Detta medför nya riskvektorer. Joakim betonar att en organisation som driftsätter ett AI-system betraktas som en "deployer" enligt AI-förordningen och bär därmed det juridiska ansvaret. Särskilt kritiskt blir det när agenter ges mandat att agera utan mänsklig handpåläggning. Risken för felaktiga beslut eller slumpmässigt beteende gör att spårbarheten – att kunna förklara varför en maskin agerat på ett visst sätt – blir en teknisk och juridisk utmaning. ### Interna risker och "Oversharing" Många fokuserar på externa hackare, men en av de största riskerna är intern. Begreppet "oversharing" beskriver när en AI-agent, på grund av bristande rättighetsstyrning eller klassificering, ger medarbetare tillgång till känslig information de inte har behörighet att se. Att skydda själva "maskinen" och dess tillgång till interna datakällor blir därför lika viktigt som att skydda den råa datan. ### Metodiken vinner i längden För att lyckas föreslår Joakim en metodisk ansats. Istället för att bara testa sig fram bör man börja med en helhetsanalys utifrån AI-förordningen, GDPR och Cybersäkerhetslagen (NIS2). Genom att förstå syftet med tekniken och ha kontroll på sin informationsstruktur kan man bygga rätt från början.

Vi ser nu en tydlig ökning av tillsynsärenden gällande visselblåsning och visselblåsarfunktioner i Sverige. Det beror inte bara på anmälningar, utan på att Arbetsmiljöverket har börjat arbeta mer proaktivt. I en intervju med Joakim Karlén går vi igenom vad myndigheten fokuserar på och hur ni kan förbereda er. ### Vad granskas vid en tillsyn? Många tror att myndigheten går in och granskar specifika utredningar, men så är inte fallet. Fokus ligger istället på strukturen och tillgängligheten. Arbetsmiljöverket tittar främst på: * Tillgänglighet: Är det lätt för anställda att hitta och använda rapporteringskanalerna? Är de ändamålsenliga? * Information: Hur och var informeras medarbetarna om att funktionen finns? Är informationen fullständig? * Dokumentation: Finns de processer och riktlinjer som krävs enligt lag dokumenterade? Överensstämmer de med de faktiska rutinerna och arbetssätten? ### Proaktiv tillsyn blir vanligare Tidigare skedde tillsyn främst på ”förekommen anledning”, det vill säga efter att något brustit i hur kanaler för visselblåsning var uppsatta eller hur ärenden hanterades. Nu ser vi att myndigheten i allt högre grad genomför kontroller proaktivt. Det innebär att alla verksamheter som omfattas av lagen bör se över sin beredskap med avseende på visselblåsning. Har ni fått en förfrågan från Arbetsmiljöverket, eller vill ni säkerställa att ni är rätt rustade inför en framtida granskning? Vi på Lantero har jobbat med visselblåsning sedan 2014 och vi hjälper löpande våra kunder att se över, utveckla och stärka arbetet med kanalerna. Det gäller både kopplat till utvecklingen av den underliggande verksamheten, eventuella strukturella förändringar, företagsaffärer, i anslutning till visselblåsarfall eller andra betydelsefulla händelser, eller när det kommer en konkret förfrågan från en tillsynsmyndighet. Hör av er om det skulle vara aktuellt med en dialog eller översyn av hur ni arbetar. Vi arbetar i första hand som stöd för våra kunder, men tar gärna en dialog även med andra företag och organisationer som inte får det stöd de behöver från sin befintliga leverantör.

Vi beskriver tjänsten Lantero Redact på 40 sekunder. Vilket behov man fyller med tjänsten, det vill säga stöd vid begäran om eller publicering av allmän handling. I filmen visas hur det fungerar och vad som förändras i rutinerna hos en kommun eller myndighet som börjar att använda Lantero Redact. Både vad gäller arbetsprocessen och det stöd man får av AI med att identifiera vad som ska maskeras.