Tillid, tillidsværdighed og Zero Trust: hvorfor fremtidens tillid skal kunne verificeres

Tillid skal ikke maksimeres. Den skal fortjenes, underbygges med evidens og løbende kalibreres.

Næsten alle teknologivirksomheder hævder, at de skaber tillid. Men selve udtrykket „stol på os“ afslører allerede det underliggende problem: Det beder om tillid, før der er givet tilstrækkeligt grundlag for den. En softwareudbyder kan hævde, at kundernes data er sikre. En kunde kan tro på den påstand og beslutte at have tillid til udbyderen. Om udbyderen faktisk er tillidsværdig, er imidlertid et andet spørgsmål. Kun evidens for implementerede sikkerhedskontroller, deres effektivitet, deres scope og deres fortsatte drift kan give et rationelt grundlag for den tillid. Det er her, begreber som tillid, tillidsværdighed, assurance, afhængighed, compliance, digital tillid og Zero Trust ofte blandes sammen. De beskriver imidlertid forskellige aspekter af det samme problem.

At forstå disse forskelle hjælper os med at besvare et langt større spørgsmål:

Hvad bør tillid betyde i en digital verden, hvor systemer, organisationer og risici ændrer sig hele tiden?

Tillid begynder, hvor sikkerheden slutter

På tværs af organisatorisk og psykologisk forskning forbindes tillid almindeligvis med en vilje til at acceptere sårbarhed. Rousseau et al. beskriver tillid som en psykologisk tilstand, der indebærer hensigten om at acceptere sårbarhed på grundlag af positive forventninger til en anden parts hensigter eller adfærd [1]. Mayer, Davis og Schoorman definerer på tilsvarende vis tillid som en vilje til at gøre sig sårbar over for en anden part, selv når denne part ikke fuldt ud kan overvåges eller kontrolleres [2]. (ResearchGate) Tillid kræver derfor mindst to betingelser: Der skal være usikkerhed, og der skal være noget betydningsfuldt på spil.

Når et udfald er fuldstændig sikkert, er tillid unødvendig. Når der ikke findes noget potentielt tab eller nogen afhængighed, kan det, der ligner tillid, blot være bekvemmelighed. Tillid bliver relevant, når vi er afhængige af en anden person, organisation eller et andet system, og når den afhængighed skaber sårbarhed. Det betyder også, at tillid aldrig blot er en universel egenskab ved en enhed. En mere præcis formulering ville være:

A har tillid til B med hensyn til X, under betingelserne Y, på et bestemt tidspunkt.

En virksomhed kan have tillid til, at en cloududbyder opbevarer offentligt markedsføringsmateriale, uden automatisk at have tillid til, at den samme udbyder behandler meget følsomme helbredsoplysninger. Et system kan være tilstrækkeligt pålideligt til ét anvendelsestilfælde og samtidig helt uegnet til et andet. Tillid er derfor relationel, kontekstspecifik og risikoafhængig.

At have andres tillid er ikke det samme som at være tillidsværdig

I daglig tale behandles „betroet“ og „tillidsværdig“ ofte som synonymer. Begrebsmæssigt beskriver de dog to forskellige ting. Betroet betyder, at en enhed faktisk bliver vist tillid. Tillidsværdig betyder, at enheden fortjener den tillid. En overbevisende svindler kan blive betroet uden at være tillidsværdig. Omvendt kan et omhyggeligt konstrueret og velstyret system være tillidsværdigt og alligevel ikke opnå brugernes tillid, fordi dets kapabiliteter, kontroller og begrænsninger forbliver usynlige. Mayer et al. identificerer tre udbredte dimensioner af opfattet tillidsværdighed: evne, integritet og velvilje [2].

Evne handler om, hvorvidt den betroede part er kompetent nok til at udføre den relevante opgave. Integritet handler om, hvorvidt dens udsagn, principper og faktiske adfærd hænger sammen. Velvilje handler om, hvorvidt den forventes at tage hensyn til den tillidsfulde parts interesser i stedet for udelukkende at forfølge sin egen fordel. (JSTOR) For tekniske systemer skal disse dimensioner oversættes. Evne bliver til teknisk kapabilitet, pålidelighed, robusthed og sikkerhed. Integritet bliver til forudsigelig adfærd, konsekvente regler, sporbar behandling og sandfærdig kommunikation om begrænsninger. Velvilje kan ikke blot tilskrives en maskine. Den kan imidlertid vurderes i forhold til den organisation, der udvikler og driver systemet: Beskytter organisationen brugernes interesser? Kommunikerer den ærligt om risici? Stiller den mekanismer til rådighed for ansvarlighed og klageadgang?

NIST anskuer tillidsværdighed fra et systemudviklingsperspektiv. Et tillidsværdigt system er ikke blot et system, som folk tilfældigvis har tillid til. Dets tillidsværdighed skal være forankret i evidens for, at det kan opfylde de kritiske krav, der stilles til det. Afhængigt af konteksten kan disse krav omfatte sikkerhed, personsikkerhed, pålidelighed, robusthed, privatliv eller andre systemegenskaber [3]. Den skelnen er grundlæggende:

Tillid findes i bevidstheden hos den, der viser tillid. Tillidsværdighed findes i egenskaberne og adfærden hos den, der bliver vist tillid.

De to kan stemme overens, men de gør det ikke automatisk.

Tillid, afhængighed og compliance er ikke det samme

En anden vigtig skelnen findes mellem tillid og afhængighed (reliance). Tillid er en holdning, en forventning eller en vurdering. Afhængighed er observerbar adfærd. En person kan mangle tillid til et AI-system og alligevel følge dets anbefaling, fordi der ikke findes noget alternativ, fordi tidspresset er stort, eller fordi den organisatoriske proces kræver det. Omvendt kan en person generelt have tillid til et system, men bevidst se bort fra dets anbefaling i et bestemt tilfælde. Den skelnen betyder noget, fordi spørgeundersøgelser, der spørger brugere, om de har tillid til et system, ikke nødvendigvis forudsiger, hvornår de samme brugere vil forlade sig på det. Nyere forskning i samspillet mellem mennesker og AI adskiller derfor i stigende grad opfattet tillid, adfærdsmæssig afhængighed, systemets ydeevne og hensigtsmæssigheden af den resulterende beslutning [8]–[10]. (ACM Digital Library)

Compliance er heller ikke ensbetydende med tillidsværdighed. Compliance besvarer i første omgang et snævrere spørgsmål:

Er et defineret sæt krav blevet opfyldt inden for et defineret scope?

En certificering, en auditrapport eller en vurdering kan give en vigtig grund til tillid. Den er dog ikke en ubegrænset og permanent erklæring om, at en organisation er sikker. En audit kan bekræfte, at et bestemt ledelsessystem var hensigtsmæssigt implementeret inden for et bestemt scope og i en bestemt periode. Den beviser ikke automatisk, at alle aktuelle konfigurationer er korrekte, at alle nyindførte systemer er omfattet, eller at ingen sikkerhedshændelse kan indtræffe. NIST advarer derfor mod at behandle compliance som det eneste evidensgrundlag for assurance eller tillidsværdighed. Compliance kan bidrage med værdifuld evidens, men en tilgang, der alene bygger på compliance, kan skabe et indtryk af sikkerhed uden i tilstrækkelig grad at påvise, at det underliggende system er effektivt [3]. (NIST-publikationer)

Compliance betyder noget. Men compliance er ét bidrag til begrundet tillid, ikke en fuldstændig erstatning for den.

Assurance forbinder tillid med tillidsværdighed

Mellem en parts subjektive tillid og et systems faktiske tillidsværdighed ligger endnu et begreb: assurance. NIST beskriver assurance som grundlaget for begrundet tiltro til, at en påstand er blevet eller vil blive opfyldt [3]. Assurance er derfor hverken en følelse eller en garanti. Det er en struktureret begrundelse. En robust assurance-struktur bør synliggøre mindst fem elementer: Påstande: Hvad er det præcist, der hævdes? Argumenter: Hvorfor skulle den tilgængelige information understøtte påstanden? Evidens: Hvilke registreringer, observationer, test eller artefakter påviser implementering og effektivitet?

Antagelser: Under hvilke betingelser forbliver konklusionen gyldig? Scope: Hvilke systemer, processer, data, lokationer og perioder er omfattet? NIST bruger begrebet assurance case til at beskrive en struktureret og gennemgåelig sammenhæng mellem påstande, argumenter, antagelser og understøttende evidens [3]. Betragt følgende sikkerhedspåstand:

Alle produktionsdata er krypteret i hvile.

En virksomhedspolitik for kryptering påviser, at der findes en hensigt og et krav. Den beviser ikke, at alle produktionslagringssystemer faktisk implementerer kravet. Et skærmbillede fra én databasekonfiguration giver evidens om netop den database på et bestemt tidspunkt. Det påviser ikke nødvendigvis fuld dækning. En stærkere assurance case kunne kombinere:

• en fuldstændig fortegnelse over produktionsdatalagre,
• konfigurationsdata fra hvert relevant system,
• krav til nøglehåndtering,
• automatiserede konfigurationskontroller,
• testresultater,
• overvågningsdata,
• ansvarlige ejere,
• registreringer af gennemgange,
• og et klart tidsstempel for hvert stykke evidens.

De forskellige former for evidens tjener forskellige formål. En politik understøtter det tilsigtede design. En konfiguration understøtter den tekniske implementering. En test eller kontinuerlig telemetri understøtter den faktiske drift. En gennemgang understøtter konklusionen om, at evidensen blev evalueret og accepteret af en ansvarlig part. Ingen af disse elementer er nødvendigvis tilstrækkelige alene. Assurance opstår af den sporbare sammenhæng mellem den oprindelige påstand, det omfattede scope, implementeringen og den tilgængelige evidens. Et modent assurance-system skal også kunne nå frem til negative konklusioner. Det bør kunne fastslå, at:

• den tilgængelige evidens er utilstrækkelig,
• evidensen er forældet,
• en del af det relevante scope mangler,
• implementeringen modsiger påstanden,
• en antagelse ikke længere kan understøttes,
• eller den driftsmæssige effektivitet endnu ikke er påvist.

NIST anerkender udtrykkeligt, at en assurance-analyse kan give ugunstige resultater, når evidensen ikke understøtter påstanden [3]. (NIST-publikationer) Et system, der kun kan generere grønne flueben, kan skabe beroligelse. Det skaber ikke nødvendigvis troværdig assurance.

Zero Trust betyder ikke, at man ikke stoler på nogen

Ved første øjekast synes Zero Trust at stride mod målet om at skabe mere tillid. Det gør det ikke. Zero Trust adresserer et andet niveau af problemet. Det er ikke primært en psykologisk eller kulturel filosofi. Det er en arkitektonisk tilgang til adgangsbeslutninger. I en Zero Trust-model tildeles tillid ikke blot, fordi en bruger eller en enhed befinder sig inden for et virksomhedsnetværk, tilhører organisationen eller tidligere er blevet autentificeret. Adgang vurderes i forhold til en specifik ressource, identitet, enhed, kontekst og anmodning. Rettigheder bør være begrænsede, løbende revurderes og tildeles ud fra antagelsen om, at et netværk eller et system allerede kan være kompromitteret [4].

Traditionel perimeterbaseret sikkerhed presser ofte en kompleks tillidsbeslutning sammen til én bred antagelse:

Inden for virksomhedsnetværket betyder tillidsværdig.

Zero Trust nedbryder den antagelse i mindre beslutninger:

Må denne identitet, med denne enhed, under disse betingelser, tilgå denne ressource nu?

Zero Trust er derfor ikke enden på tillid. Det er enden på implicit, bred og permanent nedarvet tillid. En mere præcis fortolkning ville være:

Nul implicit tillid. Nul ufortjente privilegier.

En organisation kan have en kultur med høj tillid og en Zero Trust-arkitektur på samme tid. Medarbejderne behøver ikke personligt at mistænke hinanden, blot fordi adgangsbeslutninger verificeres teknisk. Faktisk kan veldesignede kontroller gøre den mellemmenneskelige tillid lettere. De mindsker sandsynligheden for, at en individuel fejl, en kompromitteret konto eller en ondsindet anmodning fører til ubegrænset skade. Zero Trust erstatter én stor og vag tillidsantagelse med mange mindre, kontekstuelle, midlertidige og tilbagekaldelige beslutninger. Det er i høj grad foreneligt med en moderne forståelse af tillid.

Digital tillid udvider perspektivet

Tillidsværdighed fokuserer ofte på egenskaberne ved en bestemt organisation, et bestemt system eller en bestemt relation. Digital tillid udvider perspektivet til et helt digitalt økosystem. World Economic Forum beskriver digital tillid som forventningen om, at digitale teknologier og tjenester samt de organisationer, der leverer dem, vil beskytte interessenternes interesser og efterleve relevante samfundsmæssige forventninger og værdier. Dets framework forbinder digital tillid med dimensioner som cybersikkerhed, privatliv, gennemsigtighed, auditerbarhed, retfærdighed, interoperabilitet, sikkerhed for mennesker og mekanismer for klageadgang [5]. (World Economic Forum) ISACA indrammer på lignende vis digital tillid som tiltro til integriteten af relationer, interaktioner og transaktioner på tværs af et digitalt økosystem bestående af mennesker, organisationer, processer, information og teknologier [6]. (ISACA)

Dette økosystemperspektiv betyder noget, fordi et digitalt produkts tillidsværdighed sjældent afhænger af produktet alene. En SaaS-udbyder kan være afhængig af:

• en udbyder af cloudinfrastruktur,
• en identitetsudbyder,
• softwarebiblioteker,
• betalingstjenester,
• overvågningsplatforme,
• eksterne datakilder,
• og muligvis AI-modeller fra tredjeparter.

Det synlige produkts tillidsværdighed afhænger derfor også af kontroller, antagelser og afhængigheder, der i vid udstrækning forbliver usynlige for brugerne. Digital tillid kan forstås som det bredere økonomiske og samfundsmæssige resultat. Tillidsværdighed beskriver de egenskaber, der gør økosystemet fortjent til tillid. Assurance bygger bro mellem disse egenskaber og en interessents beslutning om at vise tillid.

AI viser, hvorfor maksimering af tillid er det forkerte mål

Kunstig intelligens gør forskellen mellem opfattet tillid og faktisk tillidsværdighed særlig synlig. Et AI-system kan kommunikere flydende, selvsikkert og overbevisende uden konsekvent at have ret. En brugerflade kan signalere gennemsigtighed og kompetence, selv når den underliggende model ikke er tilstrækkeligt pålidelig til den tilsigtede opgave. Forklaringer, konfidensscorer eller menneskelignende sprog kan påvirke brugernes opfattelse. De er ikke automatisk evidens for, at et svar er korrekt. NIST definerer derfor ikke tillidsværdig AI gennem én enkelt egenskab. AI Risk Management Framework identificerer flere karakteristika, herunder validitet og pålidelighed, sikkerhed for mennesker, sikkerhed og robusthed, ansvarlighed og gennemsigtighed, forklarlighed og fortolkelighed, privatliv og styring af skadelig bias. NIST understreger også, at disse karakteristika er kontekstuelle og kan indebære afvejninger [7].

Et system kan være præcist, men uretfærdigt. Det kan være gennemsigtigt, men usikkert. Det kan beskytte privatlivet, men forblive upålideligt til sit tilsigtede formål. Det kan klare sig godt i gennemsnit og samtidig fejle uforudsigeligt i de tilfælde, der betyder mest. Betegnelsen „tillidsværdig AI“ må ikke tilsløre disse forskelle. Forskning i samspillet mellem mennesker og AI drøfter derfor i stigende grad passende tillid, kalibreret tillid og passende afhængighed. Målet er ikke at få brugerne til at have så meget tillid til et system som muligt. Målet er at hjælpe brugerne med at danne sig en præcis forståelse af systemets kapabiliteter og begrænsninger og kun at forlade sig på det, når det er berettiget.

En systematisk gennemgang af Mehrotra et al. viste, at der stadig ikke findes én konsekvent anvendt definition af passende tillid i litteraturen. Forskningsstudier bruger forskellige konstrukter og målinger for tillid, hensigter, afhængighed, opfattet kapabilitet og faktisk systemydeevne [8]. (ACM Digital Library) Visser et al. skelner på tilsvarende vis mellem tillid, mistillid og passende afhængighed. Deres gennemgang viser, at den empiriske sammenhæng mellem forklarlig AI, brugertillid og passende afhængighed fortsat er blandet og i mange sammenhænge uafklaret [9]. (ScienceDirect) Et preprint fra 2026 af Raees og Papangelis argumenterer endnu mere direkte for, at subjektive målinger af tillid ikke automatisk viser, om folk forlader sig hensigtsmæssigt på AI-anbefalinger. Da arbejdet er udgivet som preprint, bør dets konklusioner betragtes som et aktuelt forskningsbidrag snarere end en endelig konsensus [10]. (arXiv)

Mistillid er heller ikke nødvendigvis det modsatte af god systembrug. En vis skepsis kan fremme verifikation og opdagelse af fejl. Men ukritisk mistillid kan også få brugere til at afvise korrekte anbefalinger. Et eksperimentelt studie fra 2026 af Peters, Biermeier og Scharlau undersøgte, om visuel opmærksomhed kunne hjælpe med at identificere „sund mistillid“ i samspillet mellem mennesker og AI. Resultaterne var ikke entydige og illustrerer, hvor vanskeligt det fortsat er at måle, om tillid og mistillid er hensigtsmæssigt kalibreret [11]. (Frontiers) Den ønskede sammenhæng kan illustreres således:

Målet er ikke blot at flytte alle brugere ned i nederste højre hjørne ved at øge tilliden. Målet er at få den opfattede tillid og den adfærdsmæssige afhængighed til at svare så nøje som muligt til systemets faktiske tillidsværdighed, konsekvenserne af fejl og brugskonteksten. I en artikel fra juli 2026 argumenterer Busuioc og Maggetti for et skifte fra tillidsmaksimering til kalibreret tillid. De advarer om, at tillid kan løsrive sig fra den faktiske tillidsværdighed, når organisationer fremstiller tillidssignaler i stedet for at tage hånd om de underliggende forhold, der gør tillid berettiget. Deres analyse fremhæver også sårbarhed, ansvarlighed og den konstruktive rolle, som mistillid kan spille [12]. (OUP Academic)

Den europæiske forordning om kunstig intelligens (AI-forordningen) følger en beslægtet operationel logik. For relevante højrisikosystemer kræver den processer og dokumentation vedrørende risikostyring, datastyring, teknisk dokumentation, logning, gennemsigtighed, menneskeligt tilsyn, nøjagtighed, robusthed og cybersikkerhed [13]. Disse krav beviser ikke, at ethvert reguleret AI-system vil være tillidsværdigt. De forsøger dog at omsætte en abstrakt forventning om tillidsværdighed til konkrete governance-aktiviteter og gennemgåelig evidens. (EUR-Lex) Tillidsværdig AI er derfor ikke en stil for brugerflader eller en markedsføringsbetegnelse. Det er et løbende governance- og assurance-problem.

Vores holdning: tillid skal være begrundet og kalibreret

Hos Secani forstår vi ikke tillid som en følelse, der blot skal øges. Vi definerer den heller ikke som absolut sikkerhed. Absolut sikkerhed findes ikke i virkelige digitale systemer. Selv stærk evidens kan ikke garantere, at der aldrig vil ske en fejl eller et angreb. Evidens mindsker usikkerheden og understøtter bedre beslutninger, men den fjerner ikke risikoen. Hvis al usikkerhed kunne fjernes, ville tillid ikke længere være nødvendig. Derfor taler vi bevidst om begrundet tiltro, ikke om vished. Vores definition er:

Tillid er begrundet, kontekstspecifik tiltro til, at en sikkerhedspåstand er sand nu, fordi påstanden, dens implementering og den aktuelle evidens verificerbart stemmer overens.

Den underliggende kæde er:

Påstand → Implementering → Evidens → Assurance → Kalibreret tillid

En organisation fremsætter en påstand om sin sikkerhed. Påstanden omsættes til specifikke kontroller, systemer, ansvarsområder og forventede resultater. Aktuel evidens påviser, om og hvordan disse kontroller er implementeret. En assurance-proces vurderer, om evidensen faktisk understøtter den oprindelige påstand. Først da opstår der et rationelt grundlag for tillid. Denne definition indeholder fem bevidste begrænsninger.

Tillid er påstandsspecifik

„Vi er sikre“ er for bredt til at kunne verificeres meningsfuldt. „Alle produktionsdatalagre bruger godkendte krypteringskonfigurationer“ er snævrere og kan testes. Jo mere generel en påstand bliver, desto sværere bliver det at identificere dens scope, den nødvendige evidens, antagelserne og betingelserne for dens gyldighed.

Tillid er kontekstspecifik

En kontrol kan være effektiv for ét system og ineffektiv for et andet. En AI-model kan være egnet til at opsummere interne dokumenter, men uegnet til selvstændigt at godkende sikkerhedsundtagelser. Tillid kan ikke overføres mellem kontekster uden at vurdere, om de relevante betingelser fortsat er sammenlignelige.

Tillid er tidsafhængig

Organisationer ændrer sig hele tiden. Nye aktiver indføres. Konfigurationer ændres. Medarbejdere skifter roller. Leverandører opdaterer deres tjenester. Sårbarheder opdages. Kontroller, der fungerede korrekt i går, fungerer måske ikke korrekt i dag. Evidens mister derfor værdi over tid. En tillidsværdig konklusion skal ikke kun kommunikere, hvad der blev verificeret, men også hvornår det blev verificeret, og hvor længe konklusionen bør forblive gyldig.

Tillid er evidensbaseret, men ikke absolut

Evidens synliggør usikkerhed og gør beslutninger forsvarlige. Den fjerner ikke usikkerheden helt. Selv stærk evidens har begrænsninger. Den kan dække kun en del af et system, bygge på antagelser, indeholde målefejl eller blive forældet. Troværdig assurance skal kommunikere disse begrænsninger i stedet for at skjule dem bag en binær status.

Tillid skal kunne tilbagekaldes

En tillidsbeslutning skal kunne ændres, når de understøttende betingelser ændrer sig. Når ny evidens modsiger en tidligere sikkerhedspåstand, bør konklusionen opdateres. Når evidens udløber, bør tiltroen falde. Når det omfattede scope udvides, bør der kræves yderligere evidens. Tillid, der ikke kan revideres, er ikke kalibreret tillid. Det er tro, der er løsrevet fra virkeligheden.

Fra periodiske tillidssignaler til kontinuerlig assurance

Traditionel digital tillid opbygges ofte gennem periodiske signaler: certifikater, spørgeskemaer, auditrapporter, vurderingsdokumenter og sikkerhedspræsentationer. Disse mekanismer er fortsat vigtige. Men de er ikke tilstrækkelige alene i en verden, hvor digitale systemer kan ændre sig hver dag. Fremtidens model bevæger sig i en anden retning:

Kontinuerlig assurance betyder ikke, at alle aktiviteter i en organisation skal overvåges permanent. Den bør være risikobaseret og proportional. En kritisk påstand om privilegeret adgang, produktionsinfrastruktur eller følsomme kundedata kræver mere aktuel og stærkere evidens end en administrativ påstand med lav konsekvens. Den vigtige ændring er, at tilliden ikke længere er knyttet til et enkelt dokument. Krav, implementeringer, evidens, gennemgange, fund, ansvarsområder og afhængigheder bør i stedet udgøre en sammenhængende model. Maskinlæsbare strukturer kan spille en vigtig rolle i denne overgang. De gør det muligt at genbruge evidens på tværs af frameworks og vurderinger uden at fjerne dens oprindelse, oprindelige scope, indsamlingstidspunkt, ansvarlige ejer eller begrænsninger.

Fremtidens tillid er derfor ikke blot kontinuerlig. Den er granulær, sporbar, overførbar og tilbagekaldelig.

Zero Trust og høj tillid er ikke hinandens modsætninger

De forskellige begreber kan nu forbindes. Zero Trust styrer, hvordan individuelle adgangsbeslutninger træffes. Tillidsværdighed beskriver, om et system eller en organisation fortjener tillid. Assurance giver en struktureret begrundelse for den konklusion. Evidens understøtter påstande om implementering og effektivitet. Compliance vurderer overensstemmelse med definerede krav. Afhængighed beskriver, om nogen faktisk forlader sig på eller følger et system. Digital tillid er den bredere tiltro, der kan opstå på tværs af økosystemet. Zero Trust forhindrer, at tillid antages uden tilstrækkeligt grundlag. Assurance påviser, hvor tillid er berettiget.

Compliance bidrager med strukturerede krav og gennemgangsmekanismer. Evidens forbinder udsagn med den observerbare virkelighed. Disse begreber er derfor ikke konkurrerende visioner. De er forskellige dele af én sammenhængende model. Fremtiden er hverken et universelt „stol på alle“ eller et kulturelt „stol ikke på nogen“. Den er verificerbar, kalibreret tillid.

Hvad „Optimize for trust“ betyder hos Secani

„Optimize for trust“ må ikke betyde, at man optimerer for opfattelsen af tillidsværdighed. Det bør ikke betyde at producere så mange grønne flueben, badges, certifikater eller brede sikkerhedspåstande som muligt. Det bør ikke betyde at opfordre folk til at have mere tillid til et system, end dets faktiske egenskaber berettiger. For os betyder det:

Optimér ikke for at blive vist tillid. Optimér for at være værdig til begrundet tillid.

Vi bygger Secani til løbende at forbinde sikkerhedspåstande, krav, implementeringer og evidens. Tillid bør ikke opstå alene af en overbevisende præsentation eller et periodisk compliance-dokument. Den bør opstå af en aktuel, gennemgåelig og sporbar begrundelse. Det mest koncise udtryk for den idé er måske:

Tillid er ikke et løfte. Det er en løbende underbygget konklusion.

Organisationer bør ikke blot fremstå tillidsværdige. De bør kunne påvise, hvorfor de fortjener tillid. Og folk bør ikke blot blive bedt om at have mere tillid. De bør sættes i stand til at have bedre tillid.

Referencer

[1] D. M. Rousseau, S. B. Sitkin, R. S. Burt, and C. Camerer, “Not So Different After All: A Cross-Discipline View of Trust,” Academy of Management Review, vol. 23, no. 3, pp. 393–404, 1998, doi: 10.5465/AMR.1998.926617. (DOI)

[2] R. C. Mayer, J. H. Davis, and F. D. Schoorman, “An Integrative Model of Organizational Trust,” Academy of Management Review, vol. 20, no. 3, pp. 709–734, 1995, doi: 10.5465/amr.1995.9508080335. (DOI)

[3] R. Ross, M. Winstead, and M. McEvilley, Engineering Trustworthy Secure Systems, NIST Special Publication 800-160, vol. 1, rev. 1, National Institute of Standards and Technology, Gaithersburg, MD, USA, Nov. 2022, doi: 10.6028/NIST.SP.800-160v1r1. (NIST-publikationer)

[4] S. Rose, O. Borchert, S. Mitchell, and S. Connelly, Zero Trust Architecture, NIST Special Publication 800-207, National Institute of Standards and Technology, Gaithersburg, MD, USA, Aug. 2020, doi: 10.6028/NIST.SP.800-207. (NIST Computer Security Resource Center)

[5] World Economic Forum, Earning Digital Trust: Decision-Making for Trustworthy Technologies, Geneva, Switzerland, Nov. 2022. (World Economic Forum)

[6] K. B. Kelley, “The Digital Trust Imperative: Defining, Establishing and Measuring Digital Trust,” ISACA Journal, vol. 1, Jan. 2023. (ISACA)

[7] National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, Jan. 2023, doi: 10.6028/NIST.AI.100-1. (NIST-publikationer)

[8] S. Mehrotra, C. Degachi, O. Vereschak, C. M. Jonker, and M. L. Tielman, “A Systematic Review on Fostering Appropriate Trust in Human-AI Interaction: Trends, Opportunities and Challenges,” ACM Journal on Responsible Computing, vol. 1, no. 4, Art. no. 26, pp. 1–45, 2024, doi: 10.1145/3696449. (ACM Digital Library)

[9] R. Visser, T. M. Peters, I. Scharlau, and B. Hammer, “Trust, distrust, and appropriate reliance in (X)AI: A conceptual clarification of user trust and survey of its empirical evaluation,” Cognitive Systems Research, vol. 91, Art. no. 101357, 2025, doi: 10.1016/j.cogsys.2025.101357. (ScienceDirect)

[10] M. Raees and K. Papangelis, “From Trust to Appropriate Reliance: Measurement Constructs in Human-AI Decision-Making,” arXiv:2604.23896, Apr. 2026, doi: 10.48550/arXiv.2604.23896. Preprint. (arXiv)

[11] T. M. Peters, K. Biermeier, and I. Scharlau, “Assessing healthy distrust in human-AI interaction: Interpreting changes in visual attention,” Frontiers in Psychology, vol. 16, Art. no. 1694367, Jan. 2026, doi: 10.3389/fpsyg.2025.1694367. (Frontiers)

[12] M. Busuioc and M. Maggetti, “Worthy of trust? AI governance and the role of (dis)trust,” Perspectives on Public Management and Governance, Art. no. gvag007, Jul. 2026, doi: 10.1093/ppmgov/gvag007. (OUP Academic)

[13] European Parliament and Council of the European Union, “Regulation (EU) 2024/1689 of 13 June 2024 laying down harmonised rules on artificial intelligence,” Official Journal of the European Union, Jul. 2024. (EUR-Lex)