Generativ AI och informationssäkerhet i offentlig sektor: En studie av anställdas hantering av informationsrelaterade risker vid användning av generativa AI-verktyg

Sammanfattning

Användningen av generativa AI-verktyg ökar snabbt inom offentlig sektor och erbjuder betydande effektiviseringsmöjligheter, men ställer samtidigt nya krav på informationssäkerhet. Denna studie undersöker hur anställda inom svensk offentlig sektor uppfattar och hanterar informationssäkerhetsrisker vid användning av generativa AI-verktyg, samt vilken roll policy och riktlinjer spelar i detta. Studien är kvalitativ och bygger på sju semistrukturerade intervjuer med anställda från kommunala, regionala och statliga verksamheter, analyserade utifrån Protection Motivation Theory och avskräckningsteorin. Resultaten visar att dataläckage dominerar riskuppfattningen hos samtliga respondenter, men att dess djup och grund varierar beroende på roll och kunskapsnivå. Respondenter med roller nära AI-implementation eller policyarbete beskrev riskerna mer konkret, medan övriga i högre grad grundade sin riskuppfattning på erfarenhet och intuition. Förekomsten av riktlinjer och medvetenheten om dem varierade mellan verksamheter, och AI-specifik utbildning saknades eller upplevdes som otillräcklig på flera arbetsplatser. Hanteringsstrategierna var till följd av detta i hög grad informella och grundade i egna bedömningar och generell yrkeserfarenhet, där informationsminimering och avidentifiering framstod som de mest framträdande. Sammantaget pekar studien på att säker AI-användning i nuläget till stor del vilar på den enskilda medarbetarens kunskap och omdöme, samt att det finns ett tydligt behov av mer samordnade nationella riktlinjer och AI-specifika utbildningsinsatser.