Tekoäly pk-yrityksen tietoturvassa: 5 riskiä ja 5 ratkaisua

Tekoäly ei ole enää suuryritysten etuoikeus. ESET:n SMB Cyber Readiness Index -raportin mukaan yli 70 prosenttia pk-yrityksistä käyttää AI-työkaluja arjessaan. Kyberrikolliset huomasivat saman. Kaspersky raportoi yli 33 000 hyökkäyksestä, jotka naamioituivat AI-työkaluiksi.

Viisi riskiä

Väärennetyt AI-sovellukset ovat tällä hetkellä helpoin tapa saada haittaohjelma yrityksen koneelle. Kaspersky tunnisti vuonna 2026 yli 415 000 huijausta, joissa syöttinä oli "ilmainen AI-generaattori" tai "ChatGPT-klooni ilman rajoituksia". Käyttäjä lataa avustajan, saa haittaohjelman.

Prompt injection on OWASP:n listalla kielimallisovellusten kriittisin riski. Jos otatte chatbotin asiakaspalveluun, joku syöttää sille ohjeita, joilla botti paljastaa sisäisiä tietoja tai tekee jotain mitä sen ei pitäisi tehdä. Ei ehkä, vaan joku kokeilee sitä varmasti.

Varjoäly tarkoittaa työkaluja, joita henkilöstö käyttää ilman IT:n tietoa. Asiakirja menee julkiseen palveluun, tieto lähtee, eikä kenelläkään ole kokonaiskuvaa. ESET arvioi yli 40 prosenttia pk-yritysten AI-käytöstä varjoälyksi.

Moni palvelu käyttää syötteitä mallin kouluttamiseen. Kun työntekijä liittää asiakastiedot kenttään, ne voivat päätyä koulutusdataan. Se on GDPR-ongelma ja NIS2-ongelma samaan aikaan.

Itsenäisesti toimivat AI-agentit ovat viides riski. Väärin konfiguroitu agentti lähettää asiakastietoja ulkoiseen palveluun tai suorittaa maksuja ilman että kukaan katsoo perään.

Viisi ratkaisua

• Tehkää lista hyväksytyistä työkaluista ja kertokaa se henkilöstölle. Ilman listaa jokainen päättää itse.
• Ottakaa DLP-säännöt käyttöön Microsoft 365:ssä tai Google Workspacessa, niin arkaluonteinen tieto ei lähde AI-palveluun.
• Vaatikaa monivaiheinen tunnistautuminen myös AI-palveluihin. Ne ovat nyt yhtä kriittisiä kuin sähköposti.
• Seuratkaa lokeja ja tietoliikennettä. Poikkeama pitää nähdä päivissä, ei kuukausissa.
• Kouluttakaa säännöllisesti. Henkilöstön osaaminen on edelleen se yksittäinen tekijä, joka ratkaisee eniten.

Missä me tulemme mukaan

AITOScan kartoittaa mitä työkaluja verkossanne oikeasti käytetään, myös sen varjoälyn. AITOProtect hoitaa jatkuvan valvonnan, päätelaitesuojauksen ja henkilöstön koulutuksen. AITOStorage pitää kriittisen tiedon Suomessa silloinkin, kun muu maailma ajaa sitä ulkomaisiin malleihin.

Jos haluat tietää mikä oman yrityksenne AI-riski tällä hetkellä on, kartoitus vastaa siihen viidessä minuutissa. Painike on tämän kirjoituksen lopussa, tai laita viestiä osoitteeseen tuki@aitocyber.ai niin jutellaan hetki sitoumuksetta.