Opsios nya tjänst ska säkra AI-användningen

Opsio beskriver Vault AI som en säker mellanhand mellan medarbetarna, organisationens applikationer och de stora språkmodellerna. Varje förfrågan passerar automatiska kontroller innan den når modellen, vilket ska minska risken för att känslig information sprids.

Vault AI ger tillgång till fler än 20 modeller från leverantörer som Anthropic, Amazon, Mistral AI, Nvidia och Cohere. Enligt Opsio sker all AI-bearbetning i Frankfurt, och trafiken till regioner utanför EU blockeras i tre separata lager. Skyddet ska därmed inte vara beroende av en enda teknisk spärr.

En central funktion är automatisk maskering av personuppgifter. Namn, personnummer, kontonummer och uppgifter från pass och körkort ersätts med koder innan frågan skickas till modellen. När svaret kommer tillbaka återställs uppgifterna. Enligt Opsio ser modellen därmed aldrig de ursprungliga personuppgifterna.

Opsio uppger dessutom att kontrollerna fångar upp försök att manipulera modellen. Granskningen sker både på väg in till och ut från AI-tjänsten, utan att användaren själv behöver komma ihåg vilka regler som gäller.

Kan jag som kund få insyn i exakt var data behandlas?

– Ja, transparens och spårbarhet är en central del av Vault AI. Plattformen och dess databehandling är förlagd till Frankfurt inom EU, och modellanrop sker endast via godkända inferensvägar inom EU. Modellvägar utanför EU blockeras tekniskt, säger Johan Carlsson som är Sverigechef på Opsio, till Techtidningen.

– Detta är också spårbart för kunden: varje anrop skapar en revisionspost som bland annat visar vilken modell som använts och vilka säkerhetskontroller som aktiverats utan att själva innehållet i prompten loggas.

En viktig del av upplägget är att själva konversationerna inte lagras. Enligt Opsio sparas varken frågor eller svar, och materialet används inte heller för att träna AI-modellerna. Däremot registreras information om användningen. För varje anrop loggas vem som gjorde det, när det skedde, vilken modell som användes och vilka skyddsmekanismer som aktiverades. Innehållet i förfrågningarna ska däremot inte finnas med i loggarna.

Loggarna ska enligt bolaget inte kunna ändras och bevaras i sju år. För it-chefer innebär det att Opsio erbjuder en kombination av spårbarhet och begränsad lagring av själva AI-innehållet. Det ska göra det möjligt att följa användningen utan att samtidigt bygga upp ett arkiv med medarbetarnas frågor och svar.

Opsio lyfter fram regelefterlevnad som en viktig del av erbjudandet. Företaget är personuppgiftsbiträde enligt GDPR, och i tjänsten ingår bland annat personuppgiftsbiträdesavtal, en konsekvensbedömning, DPIA, bedömning av tredjelandsöverföringar och en förteckning över underbiträden.

Tar ni över något juridiskt ansvar från kunderna, eller är jag som CIO fortfarande ytterst ansvarig för att lagar och regler följs?

– Vi tar ansvar för Vault AI som tjänst och för de tekniska och säkerhetsmässiga kontroller som vi åtar oss att tillhandahålla. Opsio är personuppgiftsbiträde och tjänsten levereras under personuppgiftsbiträdesavtal, säger Johan Carlsson.

– Däremot flyttas inte organisationens eget juridiska ansvar för hur AI används över till Opsio. Kunden är fortsatt personuppgiftsansvarig för sina personuppgifter och ansvarar exempelvis för vilka användningsfall som tillåts och vilken information som får behandlas. Vår roll är alltså inte att ta över kundens complianceansvar, utan att göra det betydligt enklare att uppfylla och kunna visa efterlevnad genom att bygga in skydden direkt i tekniken.

För företag som redan har byggt in AI i sina applikationer ska steget till den nya tjänsten vara förhållandevis litet. Enligt Opsio räcker det att ändra adress och API-nyckel för att ansluta befintliga lösningar, utan att skriva om programkoden. Det finns också möjlighet att sätta budgettak per applikation, vilket ska göra det enklare att kontrollera kostnaderna.

Hur stor är kostnaden för att använda tjänsten och hur ser prismodellen ut?

– Prismodellen består av två delar: Bastjänst för 995 kronor per månad för tillgång till och drift av Vault AI-plattformen. AI-användning: Tokenbaserad kostnad enligt faktisk förbrukning och vald AI-modell, vidarefakturerad på passthrough-basis. Det innebär att kunden har en fast kostnad för den säkra plattformen och därefter betalar för den AI-kapacitet som faktiskt används, förklarar Johan Carlsson.