Red Hat-undersökning avslöjar klyfta mellan företagens förtroende för AI och deras faktiska insyn

Red Hat, ledande leverantör av lösningar med öppen källkod, presenterar resultaten från en undersökning om företags användning av artificiell intelligens (AI) och hantering av relaterade risker. Undersökningen omfattar 1 400 IT-chefer i 14 länder, varav 100 i Sverige. Resultaten visar att autonoma AI-agenter snabbt blir en del av företagens produktionsmiljöer. Samtliga tillfrågade svenska företag använder redan AI-agenter i produktion. Samtidigt finns ett tydligt gap mellan företagens upplevda styrning och kontroll och deras faktiska insyn i AI-miljöerna.

Majoriteten av de tillfrågade svenska IT-cheferna (68 procent¹) har stort förtroende för att deras AI-agenter arbetar säkert och i enlighet med gällande regelverk, med stöd av säkerhetsmekanismer och övervakning. Resultaten visar dock att insynen i hur AI-agenterna faktiskt arbetar inte alltid är lika stor som förtroendet för dem:

• 30 procent av de tillfrågade uppger att de har full överblick över organisationens dataflöden och vet var data lagras och behandlas.
• Endast 35 procent har en heltäckande överblick över sin leveranskedja för mjukvara, inklusive direkta och indirekta beroenden.
• Endast 30 procent utvärderar kontinuerligt riskerna med AI-leverantörer även efter den inledande granskningen.

Resultaten tyder på att de tillfrågade företagen anser sig ha tillräckliga mekanismer för säkerhet och digital suveränitet i sina AI-agenter och AI-miljöer. Samtidigt visar undersökningen att de saknar tillräckliga verifierbara underlag för att kunna styrka att dessa kontroller fungerar som avsett. Den snabba AI-utvecklingen och förändringar på marknaden innebär att ett system som har hög säkerhet och uppfyller gällande regelverk vid införandet kan vara helt oskyddat kort därefter.

Bristande insyn i dataflöden kan medföra säkerhetsrisker 
Svenska företag ökar snabbt sin användning av AI. Av de tillfrågade uppger 32 procent att de fullt ut kan förlita sig på testade säkerhetsmekanismer, kontinuerlig övervakning och mekanismer för automatiska ingripanden. Ytterligare 36 procent känner sig relativt trygga med att de har kontroll över säkerhet och regelefterlevnad, men medger att det finns mindre brister i säkerhetsmekanismerna och övervakningen.

Data som överförs mellan företagens plattformar, molntjänster och externa AI-modeller utan tillräcklig övervakning kan dock medföra risker. Nästan hälften av de svenska företagen (47 procent) uppger att de har mindre brister i överblicken över sina dataflöden. Samtidigt har 17 procent redan infört AI-funktioner utan att fullt ut förstå hur data flödar mellan systemen, medan 6 procent har mycket begränsad insyn i var data lagras.

Sammantaget uppger nästan var fjärde tillfrågad svensk IT-chef (23 procent²) att de har begränsad insyn i organisationens AI-relaterade dataflöden. Det belyser de potentiella riskerna med att införa AI-funktioner utan en tydlig bild av hur data hanteras.

Internationellt varierar insynen i dataflöden kraftigt. I Sydafrika uppger 61 procent av de tillfrågade att de har full insyn i dataflödena från början till slut, jämfört med 31 procent i Frankrike. För svenska företag, som behöver förhålla sig till regelverk som GDPR och EU:s AI-förordning (AI Act), är det avgörande att kunna spåra och verifiera hur data hanteras genom hela dess livscykel för att undvika bristande regelefterlevnad och dataläckor.

Indirekta mjukvaruberoenden kan innebära stora risker 
Så många som 70 procent³ av de tillfrågade svenska IT-cheferna uppger att deras organisationer kan åtgärda kritiska sårbarheter i mjukvara inom 24 timmar från det att en säkerhetsuppdatering finns tillgänglig. Ytterligare 28 procent behöver upp till sju dagar, medan två procent behöver mellan en och två veckor.

Samtidigt har många företag inte full överblick över vilka mjukvarukomponenter som ingår i deras IT-miljöer. Endast 35 procent av de tillfrågade svenska IT-cheferna uppger att de har en fullständig och kontinuerligt uppdaterad överblick över alla komponenter med öppen källkod som används, inklusive deras ursprung, versionsnummer samt direkta och indirekta beroenden. Genomsnittet för samtliga undersökta länder ligger på knappt 33 procent.

Bland de svenska företagen uppger 39 procent att de har god överblick över komponenter och versioner, men att det finns brister i kunskapen om deras ursprung och indirekta beroenden. Ytterligare 26 procent saknar en fullständig överblick, bland annat eftersom de främst fokuserar på komponenter från större projekt eller för att insynen varierar mellan olika applikationer och verksamhetsområden. Ingen av de svenska respondenterna uppger att de helt saknar systematisk uppföljning av sin leveranskedja för mjukvara med öppen källkod.

Indirekta beroenden är vanliga i projekt med öppen källkod, där bibliotek, ramverk och andra komponenter från andra projekt ofta ingår. Dessa beroenden kan innebära betydande risker för organisationens IT-miljö, särskilt om de inte utvärderas på ett effektivt sätt (65 procent⁴).

Riskbedömning måste vara ett löpande arbete 
När det gäller att bedöma risker kopplade till AI-leverantörer uppger endast 30 procent av de svenska företagen att de är väl förberedda och har mätbara kriterier som följs upp kontinuerligt som en del av den dagliga AI-användningen. Det är en högre andel än i exempelvis Nederländerna, där motsvarande siffra är knappt 22 procent, men betydligt lägre än i Italien (51 procent).

Även om 35 procent av de tillfrågade svenska företagen genomför en riskbedömning innan ny AI-teknik införs, har de svårt att följa upp och utvärdera riskerna efteråt. Samtidigt förlitar sig 21 procent enbart på en inledande bedömning. Det kan vara otillräckligt i en AI-miljö som förändras snabbt, där modeller, data, regelverk och hotbilder utvecklas nästan dagligen.

De tillfrågade företagen är samtidigt medvetna om utmaningen och behovet av att hantera riskerna genom mätbara metoder som de själva har kontroll över. Bara 3 procent av de svenska företagen förlitar sig uteslutande på externa revisioner, certifieringar och avtalsmässiga garantier i sina riskbedömningar. Endast 1 procent förlitar sig på leverantörernas anseende och tidigare erfarenheter eller saknar ett strukturerat arbetssätt för att bedöma leverantörsrisker.

• Svenska företag inför AI i snabb takt, och vår undersökning visar att ledningens förtroende är högt för den egna AI-säkerheten. Detta trots att de saknar full insyn i hur data hanteras, vilka mjukvarukomponenter de är beroende av och hur risker kopplade till externa AI-leverantörer följs upp. När AI blir en allt mer integrerad del av den dagliga verksamheten kan dessa brister göra det svårare att identifiera och hantera säkerhetsrisker. Företagen behöver bättre överblick, förmåga att skapa kontroll och följa upp riskerna i takt med att de förändras, säger Mattias Paulsson, Country Manager, Red Hat Sverige.
  
   
• Även om företagens egna bedömningar varierar något mellan länderna, har de flesta relativt stort förtroende för sin förmåga att övervaka och kontrollera AI-agenter. Men vår undersökning visar att detta förtroende inte alltid är befogat. Många saknar fullständig och kontinuerlig insyn i dataflöden, mjukvaruberoenden och leverantörsrisker. Öppna arkitekturer med centraliserad hantering kan hjälpa företag att behålla kontrollen samtidigt som de är flexibla i valet av AI-modeller och leverantörer, säger Chris McBrayne, Senior Vice President och General Manager för EMEA på Red Hat.

¹ Omfattar svarsalternativen ”Mycket säkra – vi har testade skyddsmekanismer, kontinuerlig övervakning och möjlighet att ingripa eller stoppa AI-agenter vid behov” och ”Ganska säkra – vi har skyddsmekanismer och övervakning på plats, men det finns fortfarande vissa brister”.

²Omfattar svarsalternativen ”Inte alls säkra – vi har begränsad insyn i var data som är kopplad till inbyggda AI-funktioner behandlas, lagras eller delas” och ”Inte särskilt säkra – AI-funktioner införs ibland utan att vi har full insyn i hur tillhörande data flödar mellan olika system”.

³ Omfattar svarsalternativen ”Mindre än en timme, ange antal minuter”, ”1–6 timmar”, ”7–12 timmar” och ”13–24 timmar”.

⁴Omfattar svarsalternativen ”Vi har god insyn i vilka komponenter och versioner som används, men begränsad insyn i deras ursprung eller indirekta beroenden”, ”Vi vet vilka större komponenter med öppen källkod vi använder, men saknar en fullständig överblick över den bredare leveranskedjan för programvara”, ”Vår insyn varierar kraftigt mellan olika applikationer och verksamhetsområden”, ”Vi har begränsad insyn i vilka komponenter med öppen källkod och beroenden som används i våra verksamhetskritiska applikationer” och ”Vi kartlägger inte systematiskt vår leveranskedja för programvara med öppen källkod”.

Metod: Undersökningen genomfördes av Censuswide bland 1 400 CIO:er (25+) i Storbritannien, Frankrike, Italien, Tyskland, Spanien, Förenade Arabemiraten, Sverige, Turkiet, Schweiz, Polen, Sydafrika, Nederländerna, Belgien och Saudiarabien mellan 2026-08-24 och 2026-09-01. Censuswide är medlem i Market Research Society och British Polling Council samt undertecknare av Global Data Quality Pledge.