Die Verwendung von Generative AI: Entschlüsselung der Cybersicherheitsimplikationen von Generative-AI-Tools

Es ist fair zu sagen, dass Generative AI nun die Aufmerksamkeit jedes Vorstandszimmers und jedes Geschäftsführers auf sich gezogen hat. Einst eine Randtechnologie, die schwer zu beherrschen war, sind die Türen zu Generative AI nun dank Anwendungen wie ChatGPT oder DALL-E weit geöffnet. Wir erleben nun eine umfassende Akzeptanz von Generative AI in allen Branchen und Altersgruppen, da Mitarbeiter Wege finden, die Technologie zu ihrem Vorteil zu nutzen.

Eine kürzlich durchgeführte Umfrage ergab, dass 29% der Gen-Z-Befragten, 28% der Gen-X-Befragten und 27% der Millennial-Befragten Generative-AI-Tools als Teil ihrer täglichen Arbeit verwenden. Im Jahr 2022 lag die großflächige Akzeptanz von Generative AI bei 23%, und diese Zahl soll bis 2025 auf 46% ansteigen.

Generative AI ist eine sich schnell entwickelnde Technologie, die trainierte Modelle verwendet, um originale Inhalte in verschiedenen Formen zu erstellen, von Texten und Bildern bis hin zu Videos, Musik und sogar Softwarecode. Mit Hilfe von Large-Language-Modellen (LLMs) und enormen Datenmengen kann die Technologie einzigartige Inhalte erstellen, die fast nicht von menschlichen Arbeiten zu unterscheiden sind und in vielen Fällen genauer und überzeugender sind.

Allerdings haben die schnelle Akzeptanz und das Fehlen von Regulierungen erhebliche Bedenken hinsichtlich der Cybersicherheit und der Einhaltung von Vorschriften aufgeworfen. Laut einer Umfrage der allgemeinen Bevölkerung sind mehr als 80% der Menschen besorgt über die Sicherheitsrisiken, die durch ChatGPT und Generative AI aufgeworfen werden, und 52% der Befragten wollen, dass die Entwicklung von Generative AI angehalten wird, bis Regulierungen nachgezogen werden können. Diese breite Meinung wird auch von Unternehmen selbst geteilt, mit 65% der leitenden IT-Führungskräfte, die nicht bereit sind, einen reibungslosen Zugang zu Generative-AI-Tools zu dulden, aufgrund von Sicherheitsbedenken.

Generative AI ist noch ein unbekanntes Unbekanntes

Generative-AI-Tools benötigen Daten. Modelle wie die von ChatGPT und DALL-E werden mit externen oder frei verfügbaren Daten im Internet trainiert, aber um das Beste aus diesen Tools herauszuholen, müssen Benutzer sehr spezifische Daten teilen. Oftmals teilen Benutzer, wenn sie Tools wie ChatGPT verwenden, sensible Geschäftsinformationen, um genaue und umfassende Ergebnisse zu erhalten. Dies schafft viele Unbekannte für Unternehmen. Das Risiko des unbefugten Zugriffs oder der ungewollten Offenlegung sensibler Informationen ist “eingebaut”, wenn es um die Verwendung frei verfügbarer Generative-AI-Tools geht.

Dieses Risiko an sich ist nicht unbedingt schlecht. Das Problem ist, dass diese Risiken noch nicht ordnungsgemäß erforscht wurden. Bisher gibt es keine umfassende Analyse der Auswirkungen von Generative-AI-Tools auf Unternehmen, und globale Rechts- und Regulierungsrahmen für die Verwendung von Generative AI sind noch nicht ausgereift.

Regulierung ist noch im Gange

Regulierungsbehörden bewerten bereits Generative-AI-Tools in Bezug auf Datenschutz, Datensicherheit und die Integrität der von ihnen erzeugten Daten. Allerdings liegt die Regulierungsapparatur, die die Verwendung von Generative AI unterstützen und regeln soll, wie oft bei aufkommender Technologie, mehrere Schritte hinterher. Während die Technologie von Unternehmen und Mitarbeitern weit verbreitet verwendet wird, sind die Regulierungsrahmen noch immer auf dem Reißbrett.

Dies schafft ein klares und gegenwärtiges Risiko für Unternehmen, das derzeit nicht ernst genommen wird, wie es sollte. Führungskräfte sind naturgemäß an den Möglichkeiten interessiert, wie diese Plattformen materielles Geschäftswachstum wie Automatisierung und Wachstum bringen können, aber Risikomanager fragen, wie diese Technologie reguliert wird, welche rechtlichen Auswirkungen sie letztendlich haben wird und wie Unternehmensdaten gefährdet oder offengelegt werden können. Viele dieser Tools sind frei verfügbar für jeden Benutzer mit einem Browser und einer Internetverbindung, sodass Unternehmen, während sie auf Regulierungen warten, beginnen müssen, sehr sorgfältig über ihre eigenen “Hausregeln” für die Verwendung von Generative AI nachzudenken.

Die Rolle von CISOs bei der Regulierung von Generative AI

Da Regulierungsrahmen noch fehlen, müssen Chief Information Security Officers (CISOs) eine entscheidende Rolle bei der Regulierung von Generative AI in ihren Organisationen übernehmen. Sie müssen verstehen, wer die Technologie verwendet und zu welchem Zweck, wie sie Unternehmensinformationen schützen können, wenn Mitarbeiter mit Generative-AI-Tools interagieren, wie sie die Sicherheitsrisiken der zugrunde liegenden Technologie verwalten und wie sie die Sicherheitstrade-offs mit dem Nutzen der Technologie ausgleichen.

Dies ist keine leichte Aufgabe. Detaillierte Risikobewertungen sollten durchgeführt werden, um sowohl die negativen als auch die positiven Ergebnisse als Folge der erstmaligen Bereitstellung der Technologie in offizieller Funktion und zweitens der Nutzung von frei verfügbaren Tools ohne Aufsicht zu bestimmen. Angesichts der leicht zugänglichen Natur von Generative-AI-Anwendungen müssen CISOs sorgfältig über die Unternehmenspolitik in Bezug auf ihre Verwendung nachdenken. Sollten Mitarbeiter frei sein, Tools wie ChatGPT oder DALL-E zu nutzen, um ihre Arbeit zu erleichtern? Oder sollte der Zugang zu diesen Tools eingeschränkt oder in irgendeiner Weise moderiert werden, mit internen Richtlinien und Rahmenbedingungen darüber, wie sie verwendet werden sollten? Ein offensichtliches Problem ist, dass selbst wenn interne Nutzungsrichtlinien erstellt würden, die Technologie sich so schnell entwickelt, dass sie möglicherweise veraltet wären, bevor sie finalisiert werden.

Ein Weg, dieses Problem zu lösen, könnte darin bestehen, den Fokus von den Generative-AI-Tools selbst wegzunehmen und stattdessen auf die Klassifizierung und den Schutz von Daten zu legen. Die Klassifizierung von Daten war immer ein wichtiger Aspekt des Schutzes von Daten vor Verletzungen oder Lecks, und das gilt auch in diesem speziellen Fall. Sie beinhaltet die Zuweisung eines Sensibilitätsgrades zu Daten, der bestimmt, wie sie behandelt werden sollten. Sollten sie verschlüsselt werden? Sollten sie blockiert werden, um sie zu enthalten? Sollten sie benachrichtigt werden? Wer sollte Zugang zu ihnen haben, und wo dürfen sie geteilt werden? Indem CISOs und Sicherheitsbeauftragte den Datenfluss im Auge behalten, anstatt sich auf das Tool selbst zu konzentrieren, haben sie eine viel größere Chance, einige der erwähnten Risiken zu mindern.

Wie bei jeder aufkommenden Technologie ist Generative AI sowohl ein Segen als auch ein Risiko für Unternehmen. Während sie neue Fähigkeiten wie Automatisierung und kreative Konzeption bietet, wirft sie auch komplexe Herausforderungen in Bezug auf Datensicherheit und den Schutz von geistigem Eigentum auf. Während Regulierungs- und Rechtsrahmen noch ausgearbeitet werden, müssen Unternehmen selbst die Balance zwischen Chance und Risiko finden und ihre eigenen Richtlinien umsetzen, die ihre Gesamtsicherheitslage widerspiegeln. Generative AI wird Unternehmen vorantreiben, aber wir sollten vorsichtig sein und immer ein Auge auf den Weg halten.