AI-adoption och mandat för kontinuitet i verksamheten: Vad chefer behöver veta

Artificiell intelligens är nu en integrerad del av europeiska affärsstrategier. För cheferna är utmaningen att utnyttja AI:s förmåga att öka motståndskraften och samtidigt säkerställa full efterlevnad av EU:s strikta regler för driftskontinuitet och katastrofåterställning. Lagen om digital operativ resiliens (DORA), NIS2-direktivet och GDPR kräver alla ansvarsskyldighet, transparens och påvisbar resiliens. AI kan vara en tillgång, men det kan också leda till nya brister i efterlevnaden om det inte hanteras på rätt sätt.

EU:s regelverk ger kontinuitet

• Lagen om digital operativ motståndskraft (DORA): Finansinstitut och leverantörer av kritisk ICT måste visa att de kan motstå och återhämta sig från ICT-störningar. Detta omfattar riskhantering, incidentrapportering, testning av motståndskraft och tillsyn av leverantörer.
• NIS2-direktivet: Breddar kraven på cyberresiliens inom sektorer som energi, hälso- och sjukvård, transport och digital infrastruktur.
• DATASKYDDSFÖRORDNINGEN: Kräver att personuppgifter förblir konfidentiella, integrerade och tillgängliga. Detta kopplar implicit AI-initiativ till robusta kontinuitetsplaner, eftersom AI-modeller ofta behandlar känsliga uppgifter som måste skyddas under störningar.

Hur AI stärker kontinuitet och återställning

AI ger påtagliga förbättringar i planeringen av motståndskraft:

• Snabbare upptäckt av och svar på avvikelser i hela IT- och leverantörsekosystemet.
• Automatiserad återställningsorkestrering, påskyndar återställning av tjänster.
• Scenariosimulering i stor skala, vilket möjliggör stresstester i linje med DORA-kraven.
• AI-förstärkt cyberförsvar, förbättrad intrångsdetektering och incidenthantering.

Som framgår av vår rapport 'Varför motståndskraftig nätverksinfrastruktur är avgörande i AI:s tidsålder' måste nätverken anpassa sig, övervaka sig själva och upptäcka hot. AI stärker dessa förmågor, vilket gör kontinuitetsplanerna mer trovärdiga för tillsynsmyndigheterna.

När AI försvårar efterlevnaden

AI förbättrar motståndskraften på många sätt, men införandet av AI medför också risker som styrelserna inte kan bortse från. Dessa utmaningar är särskilt akuta på reglerade EU-marknader, där transparens, ansvarighet och verifierbarhet är centrala för tillsynsmyndigheternas förväntningar.

Ogenomskinliga AI-beslut

Många AI-system, särskilt de som bygger på maskininlärning, fungerar som "svarta lådor". Om återhämtningsåtgärder utlöses utan en tydlig förklaring till varför, kan revisorerna anse att kontinuitetsplanerna inte uppfyller kraven. Tillsynsmyndigheter som Europeiska bankmyndigheten har redan betonat behovet av förklaringar i automatiserade riskhanteringssystem. Styrelser måste därför insistera på AI-modeller som ger dokumenterade beslutsvägar, vilket säkerställer att AI-drivna åtgärder kan motiveras under inspektioner eller efter en störning.

Modellbräcklighet och kontradiktoriska risker

AI-modeller kan misslyckas på oväntade sätt. Bräcklighet uppstår när modeller som tränats på begränsade data inte kan generaliseras till nya kriser, t.ex. samtidiga cyberstörningar och fysiska störningar. Adversariala risker uppstår när angripare avsiktligt manipulerar indata för att vilseleda system - till exempel genom att dölja en skadlig nätverkshändelse för att undgå upptäckt. I båda fallen kan kontinuitetsantaganden kollapsa om AI-modeller beter sig oförutsägbart under press. För att mildra detta bör styrelserna kräva stresstester av AI under "edge case"-störningsscenarier, inte bara rutinmässiga incidenter.

Beroende av tredje part och koncentrationsrisk

DORA varnar uttryckligen för överdrivet beroende av leverantörer av kritiska ICT-tjänster. Om en kontinuitetsstrategi är beroende av ett litet antal AI-leverantörer eller hyperscale cloud står organisationen inför en koncentrationsrisk. En störning eller en lagstiftningsåtgärd mot en leverantör kan leda till systematiska avbrott. Styrelser måste därför katalogisera beroenden, utveckla exitstrategier och diversifiera AI-leverantörskedjor, i linje med DORA:s krav på tredjepartstillsyn.

Modellera sårbarheter i säkerheten

AI-modeller är nu själva attackmål. Tekniker som data poisoning (korrumpering av träningsdata), modellstöld eller prompt injection kan äventyra kontinuitetssystem. Om hotaktörerna lyckas kan återställningsverktygen sluta fungera eller ge falska garantier, vilket utökar attackytan. Enligt NIS2, som kräver proportionerliga tekniska och organisatoriska åtgärder, måste styrelserna se till att AI-systemen är härdade genom kontinuerlig övervakning, hotmodellering och tester av motståndskraftens motståndskraft.

Dessa risker återspeglar ett bredare tema: AI är inte i sig självt kompatibelt. Utan styrning på styrelsenivå kan samma teknik som stärker motståndskraften skapa nya felkällor. Detta är anledningen till att vi i vår rapport 'Förutsägelser för 2025 för kommunikation och cybersäkerhet" att införandet av AI måste gå hand i hand med riskhantering för leverantörer, anpassning till regelverk och robusta säkerhetsrutiner.

Åtgärder på ledningsnivå för att anpassa AI till EU:s mandat

1. Integrera AI i ramverk för styrning. Kartlägg AI-användningsfall direkt till DORA-, NIS2- och GDPR-kontroller. Kräv transparens och granskningsbarhet.
2. Upprätthåll hybridresiliens. Behåll mänskligt ledda återställningsprocesser tillsammans med AI-automatisering för att uppfylla redundansförväntningarna.
3. Testa för att validera. Kör krisscenarier med AI i loopen och dokumentera utdata som bevis för tillsynsmyndigheter.
4. Hantera leverantörsberoenden. Katalogisera AI-leverantörer, definiera reservstrategier och övervaka efterlevnaden.
5. Härda AI-modeller. Tillämpa red teaming och övervakning för att skydda AI-pipelines och säkerställa regelanpassning.

Vår 'Vart är den europeiska CCaaS-marknaden på väg 2025blogginlägg förstärker att stora omvandlingar inom offentlig sektor och företag kommer att möta ökad granskning av lagstiftningen. Att integrera AI-resiliens och efterlevnad i leverantörsavtal och arbetsflöden är nu en nödvändighet på styrelsenivå.

Blickar framåt

De europeiska tillsynsmyndigheterna signalerar att AI kommer att granskas lika noggrant som alla andra kritiska IKT-kapaciteter. Frågan för styrelserna är inte om AI förbättrar kontinuiteten, utan om den gör det på ett transparent, granskningsbart och kompatibelt sätt.

Nu är det dags att göra det:

• Beställ en AI-resiliensberedskapsgranskning i linje med DORA, NIS2 och GDPR.
• Utmana din CIO, CISO och CRO att presentera bevis på förklarbarhet, redundans och leverantörstillsyn i kontinuitetsplaneringen för AI.
• Anlita betrodda partners som Damovo för att jämföra ert ramverk för motståndskraft med EU:s bästa praxis och täppa till luckor i efterlevnaden innan tillsynsmyndigheterna upptäcker dem.

Motståndskraftiga ledare kommer inte att behandla AI som en genväg, utan som en strategisk förmåga som stärker både förtroende och konkurrenskraft. Kontakta oss om du vill diskutera hur Damovo kan hjälpa dig att bygga AI-aktiverad motståndskraft som uppfyller lagstadgade krav och skyddar ditt företag.