HomeNovice Kibernetska varnostUporaba AI v podjetju z vidika informacijske varnosti

Uporaba AI v podjetju z vidika informacijske varnosti

28/05/2026

Varna uporaba umetne inteligence v podjetju zahteva jasna pravila, zaščito podatkov, nadzor dostopov in obvladovanje tveganj generativne AI.

Podjetja morajo uporabo AI povezati z informacijsko varnostjo, varstvom podatkov, skladnostjo in notranjimi pravili.

Uporaba AI v podjetju – priložnosti in nevarnosti za informacijsko varnost

Uporaba AI v podjetju prinaša produktivnost, a tudi nova varnostna tveganja. Preverite, kako urediti pravila uporabe, zaščito podatkov, nadzor orodij, skladnost z EU AI Act in varno uvajanje generativne umetne inteligence.

Umetna inteligenca je v podjetjih postala vsakodnevno orodje za pripravo dokumentov, analizo podatkov, podporo uporabnikom, programiranje, prodajo, trženje in notranje poslovne procese. Zato uporaba AI podjetju ni več samo vprašanje produktivnosti, temveč tudi vprašanje informacijske varnosti, varstva podatkov, skladnosti in poslovne odgovornosti.

Informacijska varnost: celovit vodnik za podjetja in organizacije

Ključni poudarki

Podjetja morajo umetno inteligenco obravnavati kot del širšega sistema upravljanja tveganj, ne kot ločeno tehnološko rešitev. Največja tveganja nastanejo pri nenadzorovani uporabi javnih AI orodij, vnosu občutljivih podatkov, uporabi nepreverjenih vtičnikov, pomanjkanju pravil in odsotnosti pregleda nad tem, katera orodja zaposleni dejansko uporabljajo.

AI mora biti vključena v pravila informacijske varnosti.
Zaposleni morajo vedeti, katerih podatkov ne smejo vnašati v AI orodja.
Podjetje potrebuje seznam dovoljenih, omejenih in prepovedanih AI rešitev.
Uporaba AI mora biti povezana z varstvom osebnih podatkov, GDPR in EU AI Act.
AI agenti, vtičniki in API povezave zahtevajo dodatne varnostne kontrole.

Zakaj je AI postala varnostno vprašanje za podjetja?

Umetna inteligenca se pogosto uvaja hitreje, kot nastajajo notranja pravila, varnostne presoje in tehnični nadzor. Zaposleni uporabljajo AI orodja za povzemanje pogodb, pripravo ponudb, analizo preglednic, iskanje informacij, pisanje kode in podporo strankam, pri tem pa lahko nehote obdelujejo osebne podatke, poslovne skrivnosti, interne dokumente ali zaupne informacije.

Nenadzorovana uporaba AI se hitro spremeni v shadow AI, kjer podjetje nima pregleda nad orodji, uporabniki, podatki in pogodbenimi pogoji ponudnikov. To je posebej pomembno pri uporabi generativne umetne inteligence, saj lahko AI zakonodaja zahteva jasnejše odgovornosti, dokumentiranje uporabe, varovanje podatkov in oceno tveganj.

Shadow AI zmanjšuje preglednost in otežuje skladnost.
Javna AI orodja niso primerna za vse vrste poslovnih podatkov.
Podjetje mora določiti, kdo odobri novo AI orodje.
AI mora biti vključena v obstoječe politike informacijske varnosti.

Katera tveganja mora podjetje najprej obvladati?

Najpomembnejše tveganje je vnos občutljivih podatkov v AI storitve, ki niso bile preverjene z vidika varnosti, zasebnosti, pogodbenih pogojev in lokacije obdelave. Podjetja morajo zato uporabo AI povezati z obstoječimi pravili za varstvo osebnih podatkov, saj lahko že en napačen vnos dokumenta, pogodbe ali baze podatkov povzroči resne pravne, varnostne in ugledne posledice.

Posebno pozornost zahtevajo javni klepetalniki, AI pomočniki v e-pošti, orodja za prepisovanje sestankov, razširitve za brskalnike, orodja za programiranje in storitve, ki se povezujejo z internimi dokumenti. Pri uporabi takšnih rešitev mora podjetje preveriti, kako se podatki hranijo, ali se uporabljajo za učenje modelov, kdo ima dostop, kako dolgo se hranijo in ali je zagotovljena revizijska sled, kar je neposredno povezano tudi z vprašanjem varstva podatkov.

Ne vnašajte osebnih podatkov v nepreverjena AI orodja.
Ne nalagajte pogodb, ponudb, baz podatkov ali izvorne kode brez dovoljenja.
AI vtičniki in razširitve morajo biti varnostno preverjeni.
Dostopi do AI orodij morajo biti zaščiteni z MFA.

Kako naj podjetje določi pravila uporabe AI?

Pravila uporabe AI morajo biti kratka, razumljiva in praktična, saj zaposleni potrebujejo jasne odgovore, kaj je dovoljeno, kaj je omejeno in kaj je prepovedano. Dober pravilnik mora vključevati seznam dovoljenih orodij, vrste podatkov, ki jih ni dovoljeno vnašati, postopek odobritve novega orodja in povezavo z obstoječimi pravili za informacijsko varnost.

Pravilnik naj vsebuje tudi konkretne primere, na primer razliko med uporabo AI za jezikovno izboljšavo splošnega besedila in uporabo AI za obdelavo pogodbe, ki vsebuje osebne podatke ali poslovne skrivnosti. Pri tem je smiselno izhajati iz širšega pristopa, ki ga opisujejo vsebine o uvedbi AI, saj AI ne sme ostati spontana izbira posameznih zaposlenih.

Dovoljena AI orodja naj bodo jasno navedena.
Prepovedana uporaba naj bo zapisana s konkretnimi primeri.
Vsako novo AI orodje naj gre skozi varnostno in pravno presojo.
Zaposleni naj imajo jasen kanal za vprašanja in prijavo napak.

Kaj pomeni EU AI Act za podjetja?

EU AI Act prinaša postopno uveljavljanje pravil za umetno inteligenco in podjetjem nalaga večjo odgovornost pri razvrščanju, uporabi in nadzoru AI sistemov. Za večino podjetij bo prvi praktični korak popis AI orodij, namenov uporabe, vrst podatkov in poslovnih procesov, kar je neposredno povezano z razumevanjem AI Act.

Posebno pozornost zahtevajo AI sistemi, ki se uporabljajo pri zaposlovanju, ocenjevanju ljudi, dostopu do storitev, varnosti, kritični infrastrukturi ali drugih občutljivih odločitvah. Podjetja morajo zato AI vključiti v skladnostni in varnostni okvir, saj bo urejena uporaba umetne inteligence vse pomembnejši del poslovnega upravljanja.

Pripravite popis AI orodij in primerov uporabe.
Določite, ali se AI uporablja v občutljivih ali visoko tveganih procesih.
Preverite pogodbe, pogoje uporabe in lokacijo obdelave podatkov.
Dokumentirajte odločitve, nadzor in odgovornosti.

Kako zmanjšati tveganje prompt injection napadov?

Prompt injection je eno pomembnejših tveganj pri aplikacijah, ki uporabljajo velike jezikovne modele, saj lahko napadalec z navodili v dokumentu, spletni strani, e-pošti ali vhodnem besedilu vpliva na vedenje AI sistema. Tveganje je večje pri AI rešitvah, ki imajo dostop do dokumentov, baz podatkov, e-pošte, API povezav ali notranjih orodij.

AI sistemi ne smejo imeti več pravic, kot jih nujno potrebujejo, rezultati pa morajo biti preverjeni, preden sprožijo poslovno pomembno dejanje. To je pomembno tudi pri razvoju AI agentov in avtomatizacij, kjer lahko napredni modeli vplivajo na obrambo in napade, zato mora biti uporaba povezana s širšo kibernetsko zaščito.

AI sistemom omejite dostop po načelu najmanjših pravic.
Ločite branje podatkov od izvajanja dejanj.
Uporabite potrjevanje kritičnih korakov s strani človeka.
Testirajte AI aplikacije tudi z zlonamernimi vhodnimi podatki.

Kako varno uporabljati AI pri programiranju?

AI pomočniki za programiranje lahko pospešijo razvoj, vendar lahko hkrati ustvarijo ranljivo kodo, predlagajo neustrezne knjižnice ali vključijo nevarne vzorce. Kodo, ki jo pripravi AI, je treba obravnavati enako kot kodo zunanjega izvajalca: pregledati jo je treba, testirati in vključiti v proces varnega razvoja.

Razvijalci v AI orodja ne smejo vnašati zaupne izvorne kode, API ključev, gesel, produkcijskih konfiguracij ali podatkov strank. Uporaba AI pri razvoju mora biti povezana z nadzorom odvisnosti, pregledom kode in razumevanjem varnostnih ranljivosti, saj lahko umetna inteligenca pomaga tudi napadalcem pri iskanju in izkoriščanju napak.

AI ustvarjena koda mora iti skozi varnostni pregled.
V AI orodja ne vnašajte gesel, ključev in produkcijskih konfiguracij.
Preverite licence, knjižnice in zunanje odvisnosti.
Uporabljajte statično analizo kode, testiranje in pregled s strani razvijalcev.

Kako naj podjetje nadzoruje AI orodja?

Podjetje potrebuje tehnični in organizacijski nadzor nad AI orodji, podobno kot pri drugih oblačnih storitvah. To vključuje centralno upravljanje računov, večfaktorsko avtentikacijo, beleženje uporabe, nadzor prenosa podatkov, omejevanje vtičnikov in redno preverjanje nastavitev.

Pri naprednejši uporabi je smiselno vključiti DLP pravila, CASB ali SSE rešitve, nadzor brskalnika, preverjanje API ključev in revizijske sledi. Namen nadzora ni blokirati produktivnosti, temveč zagotoviti, da se AI uporablja na način, ki ne ogroža podatkov, poslovanja in skladnosti, pri čemer ostaja MFA zaščita eden osnovnih varnostnih ukrepov.

Uporabljajte poslovne račune namesto osebnih uporabniških računov.
Vključite MFA, centralno upravljanje in revizijske dnevnike.
Omejite nalaganje občutljivih datotek v nepreverjene storitve.
Redno preverjajte, katera AI orodja se dejansko uporabljajo.

Kako pripraviti zaposlene na varno uporabo AI?

Zaposleni morajo razumeti, da AI ni zaupen sogovornik, temveč digitalna storitev z lastnimi pogoji uporabe, tehničnimi omejitvami in varnostnimi tveganji. Izobraževanje naj vključuje praktične primere, kot so prepoznavanje občutljivih podatkov, anonimizacija informacij, preverjanje rezultatov in razumevanje odgovornosti pri uporabi AI.

Posebej pomembno je opozoriti, da AI lahko ustvari prepričljive, a napačne odgovore, zato rezultatov ni smiselno slepo kopirati v pogodbe, varnostne dokumente, pravne odgovore ali tehnične konfiguracije. Ozaveščanje o AI naj bo del širšega programa usposabljanja, ki vključuje tudi phishing napade in varno ravnanje z informacijami.

Zaposleni naj poznajo dovoljeno in prepovedano uporabo.
AI rezultati morajo biti preverjeni pred uporabo v poslovnih odločitvah.
Občutljive podatke je treba odstraniti ali anonimizirati.
Izobraževanje naj vključuje primere iz dejanskega delovnega okolja.

Kaj mora vsebovati osnovni AI varnostni program?

Osnovni AI varnostni program naj se začne s popisom orodij, pravilnikom uporabe, oceno tveganj in odgovorno osebo oziroma skupino, ki usklajuje pravne, varnostne, IT in poslovne vidike. Podjetja lahko pri tem uporabijo strukturiran pristop, kot ga opisuje ISO 42001, saj standard pomaga vzpostaviti odgovorno upravljanje, preglednost, nadzor tveganj in zaupanje v AI sisteme.

Sledi tehnični nadzor: upravljanje dostopov, spremljanje uporabe, zaščita podatkov, pregled vtičnikov, varnostna presoja ponudnikov in načrt odziva na incident. Pri pomembnejših primerih uporabe je smiselno pripraviti tudi oceno vpliva na zasebnost, model tveganj in testiranje varnosti.

Popišite vsa AI orodja in primere uporabe.
Določite lastnike tveganj in odgovornosti.
Vključite varnostno, pravno, IT in poslovno funkcijo.
Redno posodabljajte pravila, saj se AI orodja hitro spreminjajo.

Povezane vsebine

Za dodatno branje je smiselno spremljati kategorijo AI varnost, kjer so zbrane novice, vodiči in analize o umetni inteligenci, zakonodaji, varnosti in vplivu AI na podjetja. Med posebej relevantnimi vsebinami so članki o AI zakonodaji, ISO/IEC 42001, AI Act in varstvu osebnih podatkov pri uporabi AI.

Zaključek

AI v podjetju ni več eksperiment, temveč del vsakodnevnega poslovanja, zato mora postati tudi del informacijske varnosti. Podjetja, ki bodo umetno inteligenco uvedla brez pravil, nadzora in izobraževanja, bodo težko obvladovala tveganja shadow AI, uhajanja podatkov, napačnih odločitev in neskladnosti.

Varna uporaba AI ne pomeni prepovedi, temveč premišljeno uvedbo dovoljenih orodij, jasnih pravil, tehničnega nadzora in odgovorne uporabe. Ključno je, da podjetje ve, katera AI orodja uporablja, kateri podatki se obdelujejo in kdo je odgovoren za nadzor.