Πώς να Απευθυνθείτε τις Επικείμενες Απαιτήσεις Συμμόρφωσης για την Ασφάλεια του GenAI

Μόλις νομίζατε ότι η διαχείριση των κινδύνων ασφαλείας των δεδομένων γύρω από το GenAI και η αντιμετώπιση της αυξανόμενης σκιώδους GenAI ήταν αρκετά, έρχεται μια νέα πτυχή.

Οι ρυθμιστικές και νομικές απαιτήσεις για την ασφάλεια του GenAI αυξάνονται, και οι οργανώσεις θα πρέπει σύντομα να αποδείξουν πώς αντιμετωπίζουν τους κινδύνους που σχετίζονται με αυτό. Ο Νόμος της Ευρωπαϊκής Ένωσης για την Τεχνητή Νοημοσύνη (ΕΕ ΤΝ) είναι η πιο σαφής πρώιμη ένδειξη. Καταγράφει ρητά συγκεκριμένες εφαρμογές ΤΝ ως “υψηλού κινδύνου” και επιβάλλει αυστηρές απαιτήσεις για διαφάνεια, ευθύνη και ανθρώπινη εποπτεία. Οι ποινές για μη συμμόρφωση προορίζονται να είναι ποινικές, υπολογιζόμενες ως ποσοστά του παγκόσμιου εσόδου και όχι ως σταθερές προστίμες. Για τις πολυεθνικές εταιρείες, αυτό μεταφέρει την κυβερνοασφάλεια της ΤΝ από μια καλή πρακτική σε μια νομική υποχρέωση, με σοβαρές επιπτώσεις για μη συμμόρφωση.

Στις Ηνωμένες Πολιτείες, η Επιτροπή Εμπορίου (FTC) έχει καταστήσει σαφές ότι η χρήση της ΤΝ θα ελέγχεται στο πλαίσιο της εντολής της για την πρόληψη “αδίκων ή εξαπατητικών πρακτικών”. Αυτό σημαίνει ότι οι εταιρείες δεν μπορούν να κρυφτούν πίσω από την τεχνική πολυπλοκότητα. Αν οι πελάτες ή οι εργαζόμενοι εξαπατούνται σχετικά με τον τρόπο διαχείρισης των δεδομένων τους ή αν η ΤΝ δημιουργεί μη αποκαλυφθέντες κινδύνους, οι διευθυντές μπορεί να θεωρηθούν υπεύθυνοι.

Οι πρώτες ενέργειες επιβολής έχουν ήδη αποδείξει ότι οι ρυθμιστές είναι πρόεδροι να κάνουν παραδείγματα εταιρειών που ενεργούν πολύ γρήγορα χωρίς τις κατάλληλες ελέγχους. Για παράδειγμα, η FTC έλαβε δράση κατά DoNotPay, μια εταιρεία που προώθησε ένα εργαλείο ΤΝ ως “ρομπότ δικηγόρο” ικανό να δημιουργεί έγκυρα νομικά έγγραφα και εξειδικευμένες νομικές οδηγίες, βρήκε ότι οι ισχυρισμοί της εταιρείας σχετικά με τις ικανότητες της ΤΝ ήταν ψευδείς ή εξαπατητικοί και παραβίαζαν το άρθρο 5 του Νόμου FTC. Σε μια άλλη περίπτωση, η FTC απαιτούσε από την Everalbum Inc. να καταστρέψει τα μοντέλα και τους αλγόριθμους ΤΝ που είχαν κατασκευαστεί χρησιμοποιώντας φωτογραφίες καταναλωτών που συλλέχθηκαν χωρίς την κατάλληλη συναίνεση – μια άμεση ποινή για τη χρήση δεδομένων με τρόπους που απομακρύνθηκαν από τη συναίνεση του χρήστη και τις νομικές προσδοκίες.

Στο επίπεδο της πολιτείας, η Καλιφόρνια και η Νέα Υόρκη ηγούνται ενός κύματος νομών ΤΝ και ιδιωτικότητας που βασίζονται σε υπάρχοντα πλαίσια, όπως ο Νόμος Ιδιωτικότητας Καταναλωτών της Καλιφόρνιας (CCPA). Αυτοί οι νόμοι ευθυγραμμίζονται με ευρύτερες απαιτήσεις ιδιωτικότητας, απαιτώντας από τις επιχειρήσεις να αντιμετωπίζουν την κυβερνοασφάλεια της ΤΝ και την ιδιωτικότητα των δεδομένων ως ένα ενιαίο, ολοκληρωμένο πρόγραμμα.

Η σύγκρουση είναι ήδη εμφανής. Σήμερα, ένας καταναλωτής μπορεί να ζητήσει σύμφωνα με τον GDPR ή τον CCPA να αφαιρεθεί η προσωπική του πληροφορία από τα συστήματα μιας εταιρείας. Ωστόσο, δεν υπάρχει ισοδύναμη διαδικασία για να ζητήσει την αφαίρεση δεδομένων μιας φορά που έχουν εισαχθεί σε ένα μοντέλο GenAI. Η έλλειψη μιας “διαγράψτε-τα-δεδομένα-μου-από-το-μοντέλο-σας” επιλογή θα γίνει σύντομα ένα σημείο tranhσης μεταξύ ρυθμιστών και επιχειρήσεων.

Γιατί η Συμμόρφωση Νιώθει Δυσκολότερη Αυτή τη Φορά

Σε πρώτη ματιά, η ρύθμιση της ΤΝ δεν φαίνεται πολύ διαφορετική από προηγούμενες προκλήσεις συμμόρφωσης. Ωστόσο, η κυβερνοασφάλεια του GenAI εισάγει μια νέα πολυπλοκότητα – την απρόβλεπτη φύση. Τα όρια μεταξύ αβλαβούς και επιζήμιου δεν είναι πάντα σαφής. Μια seule προτροπή μπορεί να αποκαλύψει ιδιοκτησιακές πληροφορίες, και μια έξοδος μπορεί να μεταφέρει εμπιστευτικό περιεχόμενο σε μέρη όπου δεν ανήκει. Οι παραδοσιακές ελέγχοι, όπως η DLP και οι ελέγχοι εξουσιοδότησης, δεν σχεδιάστηκαν για αυτό το επίπεδο ταχύτητας ή πολυπλοκότητας.

Για τη συμμόρφωση με τον GDPR, ο焦点 ήταν στην ιδιωτικότητα. Οι εργασίες ήταν απλές – αναγνωρίστε προσωπικά δεδομένα, εφαρμόστε ελέγχους και τεκμηριώστε τη συμμόρφωση. Το GenAI, ωστόσο, περιπλέκει τα πράγματα επειδή δεν αφορά τα δεδομένα themselves αλλά τον τρόπο με τον οποίο αυτά τα δεδομένα μετατρέπονται, αναμιγνύονται και αποκαλύπτονται με απρόβλεπτους τρόπους. Οι οργανώσεις αντιμετωπίζουν κινδύνους όπως η Copilot που εκθέτει ευαίσθητες εργασίες που αποθηκεύονται στο SharePoint, οι εργαζόμενοι που επικολλάνε ιδιοκτησιακό κώδικα στο ChatGPT για να διορθώσουν σενάρια, και τα αποτελέσματα της ΤΝ που περιέχουν αρκετό контекст για να διαρρεύσουν εμπιστευτικές πληροφορίες.

Οι παραδοσιακές εργαλεία δεν σχεδιάστηκαν για να αντιμετωπίσουν τους κινδύνους ασφαλείας του GenAI και τις προβλήματα συμμόρφωσης. Οι κανόνες DLP παραβλέπουν τη νюανς. Οι ελέγχοι εξουσιοδότησης αγωνίζονται να跟πουν την συνεργασία. Και η σκιώδης ΤΝ σημαίνει ότι η δραστηριότητα συμβαίνει έξω από τα εγκεκριμένα εργαλεία.

Τι μπορούν να κάνουν οι Ηγέτες Ασφαλείας τώρα

Η επικείμενη ρυθμιστική πρόκληση φαίνεται δαunting, αλλά δεν πρέπει να είναι υπερβολική. Το πρώτο βήμα είναι να αναδιαμορφώσετε το πρόβλημα. Το GenAI δεν είναι μια νέα, επικίνδυνη κατηγορία· είναι ένας επιταχυντής. Αυξάνει τα υπάρχοντα ζητήματα – όπως τις υπερβολικές εξουσιοδότησεις δεδομένων, την κακή ταξινόμηση και την περιορισμένη ορατότητα – καθιστώντας τα πιο επικίνδυνα. Η αντιμετώπιση αυτών των κινδύνων μπορεί να βοηθήσει στην ικανοποίηση των απαιτήσεων συμμόρφωσης του GenAI.

Οι CISOs πρέπει να προτεραιοποιήσουν την κατασκευή ισχυρών θεμελίων hơn από τις τέλειες πολιτικές για να ικανοποιήσουν καλύτερα τις μελλοντικές ρυθμιστικές απαιτήσεις. Αυτό περιλαμβάνει την απόκτηση ορατότητας στη χρήση της ΤΝ, την εφαρμογή контекστο-ευαίσθητης ταξινόμησης δεδομένων και τη δημιουργία προσαρμόσιμων πολιτικών που ισορροπούν την ασφάλεια με την παραγωγικότητα.

Οι οργανώσεις που θα επιτύχουν δεν θα είναι αυτές με τα περισσότερα βιβλία κανόνων και εντολών· θα είναι αυτές με μια σαφή κατανόηση του τι συμβαίνει, σε συνδυασμό με προστασίες που ικανοποιούν τις απαιτήσεις συμμόρφωσης. Εδώ είναι τα βασικά βήματα για να ακολουθήσετε:

1. Αξιολογήστε την ορατότητα. Αναγνωρίστε όπου χρησιμοποιείται το GenAI, συμπεριλαμβανομένης της σκιώδους ΤΝ. Αποφύγετε να περιμένετε μέχρι να συμβεί ένα περιστατικό για να ανακαλύψετε ότι η οικονομική σας έχει επικολλήσει προβλέψεις στο ChatGPT.
2. Ταξινομήστε χρησιμοποιώντας контекστ. Πηγαίνετε πέρα από τα regex ή τα ονόματα αρχείων. Η σεμαντική ταξινόμηση βοηθά στην αναγνώριση αν το plan_final.docx είναι αβλαβές ή υψηλά ευαίσθητο.
3. Στενεύστε τις εξουσιοδότησεις. Η αρχή του ελάχιστου προνομίου δεν πρέπει να είναι προαιρετική· είναι απαραίτητη για τη διατήρηση της συμμόρφωσης και την πρόληψη της Copilot από την έκθεση ευαίσθητων πρακτικών του διοικητικού συμβουλίου σε einen INTERN. Οι κοινοί φάκελοι είναι μια κοινή πηγή κινδύνου και μελλοντικών παραβάσεων συμμόρφωσης.
4. Συμπεριφέρεστε τις εξόδους σαν εισόδους. Το κείμενο που παράγεται από την ΤΝ μπορεί να διαρρεύσει με την ίδια ευκολία όπως οι προτροπές. Ελέγξτε και παρακολουθήστε πώς μοιράζεται κατά τη διαδικασία.
5. Αναπτύξτε προσαρμόσιμες στρατηγικές συμμόρφωσης. Οι πολιτικές που γράφονται σήμερα μπορεί να γίνουν αναποτελεσματικές σε έξι μήνες.

Για τους εκτελεστίκους, το μήνυμα είναι σαφές. Η ρυθμιστική πίεση προχωρεί γρηγορότερα από ό,τι πολλοί περιμένουν, και η αναμονή για την καθορισμό των προτύπων δεν είναι ένα βιώσιμο σχέδιο. Τα πλαίσια κυβερνοασφάλειας πρέπει να τεθούν σε εφαρμογή τώρα, όχι μόνο για να μειώσουν τον κίνδυνο αλλά και για να αποδείξουν στους ρυθμιστές, τους πελάτες και τα διοικητικά συμβούλια ότι η υιοθέτηση της ΤΝ είναι σκόπιμη και υπεύθυνη.