Det korte svar
Vælg den undersøgelse, der kan understøtte jeres beslutning om idriftsættelse. En penetrationstest søger efter udnyttelige svagheder i et aftalt teknisk omfang. En AI-sikkerhedsvurdering kan også undersøge informationssøgning, modeladfærd og agentrettigheder. En governance-gennemgang undersøger ansvar og dokumentation. Navnet alene fortæller ikke, hvad der faktisk bliver testet.
Start med beslutningen, ikke scanneren
Beskriv, hvad I skal beslutte: Må en intern assistent tilgå kundedokumenter? Må en agent opdatere CRM? Er en leverandørintegration klar til pilotdrift? Angiv systemer, brugere og handlinger. Et tilbud på en uspecificeret ‘AI-audit’ giver for stort rum for forskellige forventninger.
Vores forslag til en kort opgavebeskrivelse har fem punkter: forretningsformål, data, tilladte handlinger, deadline og beslutningsansvarlig. Vedlæg en arkitekturskitse, og angiv miljøet til autoriseret test. Undlad at sende produktionsdata om kunder i den første kontaktformular.
Sammenlign den dokumentation, I får
Ved penetrationstest af web eller API bør I aftale loginforløb, roller, endpoints og adskillelse mellem kunder. Ved en AI-vurdering tilføjes rettigheder til hentede dokumenter, uønskede værktøjshandlinger, vildledende svar og eksternt indhold, som kan påvirke modellen. Ved governance-arbejde afklares beslutninger, registreringer og kontrolansvar.
OWASP beskriver excessive agency som risiko fra for omfattende funktioner, rettigheder eller autonomi. NIST AI RMF er en frivillig ramme for håndtering af AI-risiko. Ingen af referencerne gør en afgrænset opgave til en fuldstændig compliance-vurdering. [1][2]
Brug en lille matrix med acceptkriterier
Nedenstående er vores illustrative indkøbsskabelon, ikke en kundecase. Aftal opsætning, forventet resultat, dokumentation og den person, der accepterer resultatet. Medtag både tilladte og afviste forespørgsler. Et system, der afviser alt, er heller ikke en brugbar løsning.
Arbejdsark til beslutningen om idriftsættelse
| Det skal afklares | Dokumentation at efterspørge |
|---|---|
| Kan en kunde hente en anden kundes oplysninger? | Tilladte og afviste søgninger, også kildelinks og cachede svar. |
| Kan assistenten foretage en ikke-godkendt ændring? | En kontrolleret test af blokeringen ved værktøjet eller tjenesten. |
| Kan teamet forklare en svigtende kontrol? | Et reproducerbart fund, en ansvarlig og et aftalt kriterium for gentest. |
Gør rapporten nyttig efter mødet
Bed om en oversigt med berørt komponent, forudsætninger, observeret adfærd, forretningskonsekvens, forslag til udbedring og begrænsninger. Dokumentationen skal gøre det muligt at genskabe fund sikkert uden at sprede hemmeligheder eller personoplysninger. Skeln mellem bekræftede fund og hypoteser, som kræver mere adgang eller tid.
Aftal, om hjælp til udbedring og gentest indgår. En vellykket gentest vedrører den undersøgte rettelse i den undersøgte version; den certificerer ikke alle muligheder i et AI-system under forandring. Registrer åbne fund, kompenserende kontroller og hvem der accepterer den resterende risiko, før adgang udvides.
Før I accepterer tilbuddet
- Navngiv applikationer, modelopsætning, integrationer og testmiljø.
- Aftal skriftlig autorisation, datahåndtering og stopbetingelser.
- Angiv testdækning, undtagelser og dokumentationsformat.
- Aftal eskalering af kritiske fund under arbejdet.
- Adskil prisen for vurdering, udbedring og gentest.
Spørgsmål fra købere
Erstatter en AI-vurdering en penetrationstest?
Ikke automatisk. En AI-funktion afhænger også af web-, API- og cloudkontroller. Aftal dækning af både traditionelle angrebsveje og AI-adfærd, eller vælg supplerende opgaver.
Hvordan sammenligner vi tilbud?
Sammenlign miljøer, identiteter, integrationer, manuel test, leverancer og gentest. En lavere pris kan skyldes et smallere omfang. Spørg, hvilken beslutning arbejdet faktisk understøtter.
Skal I finde den rigtige test?
Kom med produktet, datastrømmene og beslutningen, der blokerer idriftsættelsen. Vi kan afgrænse vurderingen og den dokumentation, teamet har brug for.
Se sikkerhedstestLæs videre
Kilder og redaktionel metode
Redaktionel vejledning fra SundAI, udarbejdet med AI-assistance. Kildebaserede udsagn har henvisninger; arbejdsark og scenarier er vores forslag til planlægning, ikke dokumenterede kunderesultater. Artiklen er ikke en certificering eller juridisk vurdering. Kilder kontrolleret 16. oktober 2026.