Vi byggde ett AI-mognadstest som stannar i Sverige

Generativ AI gick från experiment till vardagsverktyg på under två år. Säkerheten hängde inte med. Medarbetare klistrar in känsliga underlag i chattbotar som ingen formellt beslutat att använda, och få ledningsgrupper har överblick över vilka verktyg som faktiskt körs internt.

Det är den obalansen IT-säkerhetsföretaget Conscia Sverige tar tag i. I dag lanserar bolaget en kostnadsfri självskattning, Hur AI-redo är din organisation?, som mäter en organisations AI-mognad inom sex områden. Branschtidningen Aktuell Säkerhet plockade upp lanseringen samma dag, under rubriken att säkerheten halkar efter när AI införs i verksamheten.

Slutsatsen kommer från Conscias rapport Cybersäker AI 2026, där det starkaste budskapet bland säkerhetsexperterna är att säkerhet måste finnas med från början, inte adderas i efterhand.

– AI-säkerhet börjar med insyn och kontext. Många saknar idag en tydlig bild av hur AI används, av vem och med vilken information, säger Octavio Harén, CISO på Conscia Sverige.

Vad testet mäter

Bedömningen består av 20 påståenden och mäter mognaden inom sex områden: databaserad mognad, teknisk infrastruktur, säkerhet, styrning och ägarskap, kompetens och kultur samt strategi och affärsvärde. Svaren placerar organisationen på en mognadstrappa i fem steg, byggd på Gartners AI Maturity Model. Det tar ungefär fem minuter.

Du får ingen poäng att skämmas över, och ingen färdig mall. Varje rapport genereras unikt vid körningen, av en AI-motor som väger in organisationens bransch, storlek och egna svar. Den lyfter styrkor, de viktigaste utvecklingsområdena och konkreta steg att börja med direkt. Säkerhetsråden vilar på Cybersäker AI 2026 och OWASP LLM Top 10, ett etablerat ramverk för riskerna med stora språkmodeller.

– Vi har gjort en komplex fråga gripbar på några minuter. Poängen är inte att sätta betyg, utan att ge organisationer en tydlig utgångspunkt: var står vi, och vad bör vi ta tag i först, säger Magnus Aschan på Teknikministeriet.

Att veta var man står är också en förutsättning för att kunna styra. Vi har tidigare skrivit om vilka riktlinjer och regelverk som gäller för AI på svenska arbetsplatser, och en nulägesbild är ofta det som saknas innan det arbetet ens kan börja.

Byggt säkert i Sverige

Det som inte syns i verktyget är var det körs, och det är just det som är poängen.

Bedömningen är byggd av oss på Teknikministeriet. Produkten heter Valv Insights, och den är ritad från grunden för svenska organisationer. Hela kedjan stannar i landet. Svaren analyseras av en AI-modell som driftas på svensk infrastruktur, och ingen data lämnar Sverige eller EU.

– Det hade varit konstigt att bygga ett verktyg som mäter AI-säkerhet och samtidigt skicka svaren till ett amerikanskt moln, menar Magnus Aschan. Här stannar allt i Sverige. Analysen körs på svensk infrastruktur, och svaren går aldrig utomlands.

Frågan om var AI-datan faktiskt hamnar är inte ny. Vi har bland annat skrivit om hur en lokal modell kan maska persondata innan den skickas vidare, och här löses samma problem på infrastrukturnivå. Hanteringen är byggd för GDPR fullt ut, med konfigurerbar dataretention och radering på begäran. Svaren behandlas konfidentiellt.

Conscia och Teknikministeriet utvecklade testet tillsammans. Conscia stod för säkerhetsexpertisen och rapporten Cybersäker AI 2026, Teknikministeriet byggde plattformen. Conscias bedömning är den första som körs på den.

– Vi bygger den här sortens verktyg själva, in-house, konstaterar Magnus Aschan. Det ger oss kontroll på säkerheten hela vägen. Conscia är först ut, och att det blir ett säkerhetsbolag känns helt rätt.

Plattformen bär mer

Conscias bedömning mäter organisationen som helhet. Samma plattform kan också mäta de enskilda medarbetarna, före och efter en utbildningsinsats, så att en satsning går att följa upp på riktigt i stället för med en nöjdhetsenkät efteråt.

Valv Insights är byggt för att fler ska kunna luta sig mot det. Vill du se hur det känns kan du prova en demo eller läsa produktbladet. Under 2026 söker vi pilotorganisationer.

– När tillräckligt många gör testet får vi något vi faktiskt saknar i Sverige i dag, säger Magnus Aschan. En bild av hur AI-mogna svenska organisationer verkligen är, byggd på data i stället för magkänsla.

AI infördes snabbare än säkerheten hann med. Att mäta var man står är första steget mot att kapa det glappet. Att mätningen i sig är säker, och stannar i Sverige, borde vara en självklarhet. Nu är den det.