AI-drevne cyberangreb forkorter dramatisk tiden fra sårbarhed til udnyttelse. Det presser de kontraktlige rammer, der traditionelt har forudsat længere reaktionstider, og skærper behovet for præcise forpligtelser om overvågning, patching og hændelseshåndtering samt klar allokering af ansvar.
AI-drevne cyberangreb og kontraktligt ansvar
Hurtigere og mere autonome angreb ændrer standarden for, hvad der er rimelig sikkerhedsadfærd. Aftaler bør eksplicit adressere, hvem der bærer risikoen, når AI-baserede værktøjer giver fejl, handler uforudsigeligt eller leverer urigtige resultater. Fordelingen mellem kunde, leverandør og underliggende AI-modeludbyder skal fremgå klart, herunder regress og ansvarsbegrænsninger.
Force majeure-klausuler bør genbesøges. Når trusler er forudsigelige og håndterbare gennem kendte kontrolforanstaltninger, vil de sjældnere kunne kvalificere som force majeure. Samtidig skal afhængigheder af eksterne AI-platforme reguleres: hvad gælder, hvis licenser ændres, adgang begrænses, eller udbyderen bliver ramt af tilsynsrestriktioner?
Standardkontrakterne K04 og D17: sikkerhedsforpligtelser under pres
De udbredte danske standardvilkår henviser ofte til "god it-skik" og ajourførte sikkerhedsforanstaltninger, men uden at tage højde for den hastighed og kompleksitet, AI bringer. Det gør retsstillingen om leverandørens pligter uklar ved samtidige krav om høj tilgængelighed og hurtig afhjælpning.
AI-forstærkede trusler hæver de facto-benchmarket for efterlevelse. Uden konkrete mål for sårbarhedsscanning, detektion-til-patch-tider og prioritering af kritiske rettelser øges risikoen for tvister om, hvorvidt leverandøren har udvist tilstrækkelig omhu efter et angreb.
Lær at udarbejde solide databehandleraftaler på praksisnært kursus
Læs mere her →Praktiske kontraktjusteringer for et hurtigere trusselsbillede
Organisationer bør gennemføre et målrettet kontrakt-tjek af både eksisterende og kommende aftaler. Fokus bør være på operationelle og juridiske mekanismer, der kan følge trusselsbilledets tempo og reducere gråzoner mellem parterne.
Følgende emner bør som minimum adresseres eksplicit og målbar i aftalerne:
- AI-relaterede cybersikkerhedsrisici og leverandørens ansvar ved model- og outputfejl.
- Sårbarhedsstyring, herunder scanningsfrekvens og responstider.
- Patch-tidsvinduer, prioriteringsregler og bindende service levels.
- Afhængigheder af eksterne AI-udbydere og konsekvenser ved bortfald.
- Ansvarsallokering, ansvarslofter og regress mellem flere aktører.
- Force majeure-afgrænsning i lyset af forudsigelige cybertrusler.
- Hændelseshåndtering, rapporteringspligt og koordinering på tværs af parter.
De bedst beskyttede aktører vil være dem, der lader kontraktstyring og governance udvikle sig i samme hast som teknologien, der driver truslerne.
