Bagaimana Mengatasi Persyaratan Kepatuhan Regulasi yang Akan Datang untuk Keamanan GenAI

Ketika Anda pikir bahwa mengelola risiko keamanan data seputar GenAI dan mengendalikan pertumbuhan GenAI bayangan sudah cukup, muncul kerutan baru.

Tuntutan regulasi dan hukum untuk mengamankan GenAI meningkat, dan organisasi akan segera perlu menunjukkan bagaimana mereka menangani risiko yang terkait dengan itu. Undang-Undang Kecerdasan Buatan Uni Eropa (UU Kecerdasan Buatan UE) adalah indikasi awal yang paling jelas. Ini secara eksplisit menandai aplikasi kecerdasan buatan tertentu sebagai “berisiko tinggi” dan mengenakan persyaratan ketat untuk transparansi, akuntabilitas, dan pengawasan manusia. Hukuman untuk ketidakpatuhan dimaksudkan untuk bersifat punitif, dihitung sebagai persentase dari pendapatan global bukan sebagai denda tetap. Untuk perusahaan multinasional, ini mengubah tata kelola kecerdasan buatan dari praktik terbaik menjadi kewajiban hukum, dengan konsekuensi serius untuk ketidakpatuhan.

Di Amerika Serikat, Komisi Perdagangan Federal (FTC) telah membuat jelas bahwa penggunaan kecerdasan buatan akan diperiksa di bawah mandatnya untuk mencegah “praktik yang tidak adil atau menyesatkan.” Ini berarti perusahaan tidak dapat bersembunyi di balik kompleksitas teknis. Jika pelanggan atau karyawan ditipu tentang bagaimana data mereka dikelola, atau jika kecerdasan buatan menyembunyikan risiko yang tidak diungkapkan, eksekutif mungkin akan diminta pertanggungjawaban.

Tindakan penegakan hukum awal telah menunjukkan bahwa regulator bersedia membuat contoh perusahaan yang bertindak terlalu cepat tanpa kontrol yang memadai. Sebagai contoh, FTC mengambil tindakan terhadap DoNotPay, sebuah perusahaan yang mempromosikan alat kecerdasan buatan sebagai “pengacara robot” yang dapat menghasilkan dokumen hukum yang valid dan bimbingan hukum ahli, menemukan bahwa klaim perusahaan tentang kemampuan kecerdasan buatan mereka adalah palsu atau menyesatkan dan melanggar Pasal 5 dari Undang-Undang FTC. Dalam contoh lain, FTC mengharuskan Everalbum, Inc., untuk menghancurkan model dan algoritma kecerdasan buatan yang dibangun menggunakan foto konsumen yang dikumpulkan tanpa persetujuan yang tepat – hukuman langsung untuk menggunakan data dengan cara yang menyimpang dari persetujuan pengguna dan harapan hukum.

Di tingkat negara bagian, California dan New York memimpin gelombang hukum kecerdasan buatan dan privasi yang membangun pada kerangka kerja yang ada, seperti Undang-Undang Privasi Konsumen California (CCPA). Hukum-hukum ini sejalan dengan persyaratan privasi yang lebih luas, mengharuskan bisnis untuk mengobati tata kelola kecerdasan buatan dan privasi data sebagai program terintegrasi tunggal.

Bentrokan sudah jelas. Hari ini, konsumen dapat meminta di bawah GDPR atau CCPA bahwa informasi pribadi mereka dihapus dari sistem perusahaan. Namun, tidak ada proses setara untuk meminta penghapusan data setelah data tersebut telah dimasukkan ke dalam model GenAI. Kurangnya opsi “hapus-data-saya-dari-model-anda” akan segera menjadi titik persengketaan antara regulator dan bisnis.

Mengapa Kepatuhan Terasa Lebih Sulit Kali Ini

Pada pandangan pertama, mengatur kecerdasan buatan tidak tampak jauh berbeda dari tantangan kepatuhan sebelumnya. Namun, tata kelola GenAI memperkenalkan komplikasi baru – ketidakpastian. Batas antara tidak berbahaya dan berbahaya tidak selalu jelas. Satu prompt dapat mengungkapkan informasi propietary, dan satu output dapat membawa konten rahasia ke tempat-tempat yang tidak seharusnya. Kontrol tradisional, seperti DLP dan audit izin, tidak dirancang untuk tingkat kecepatan atau kompleksitas ini.

Untuk kepatuhan GDPR, fokusnya adalah pada privasi. Tugas-tugasnya sederhana – identifikasi data pribadi, implementasikan kontrol, dan dokumentasikan kepatuhan. GenAI, bagaimanapun, mempersulit masalah karena ini lebih tentang bagaimana data itu ditransformasikan, diubah, dan diungkapkan dengan cara yang tidak terduga. Organisasi menghadapi risiko seperti Copilot yang mengungkapkan spreadsheet sensitif yang disimpan di SharePoint, karyawan yang menempelkan kode propietary ke ChatGPT untuk debug skrip, dan output yang dihasilkan kecerdasan buatan yang mengandung konteks yang cukup untuk mengungkapkan informasi rahasia.

Alat tradisional tidak dirancang untuk menangani risiko keamanan GenAI dan masalah kepatuhan. Aturan DLP mengabaikan nuansa. Audit izin bergelut untuk mengikuti kolaborasi. Dan kecerdasan buatan bayangan berarti aktivitas terjadi di luar alat yang disetujui.

Apa yang Dapat Dilakukan Pemimpin Keamanan Sekarang

Tantangan regulasi yang akan datang terasa menakutkan, tetapi tidak perlu terlalu mengkhawatirkan. Langkah pertama adalah meredefinisi masalah. GenAI bukanlah kategori baru yang berisiko; ini adalah penguat. Ini memperkuat masalah yang ada – seperti izin data yang berlebihan, klasifikasi yang buruk, dan visibilitas yang terbatas – membuatnya lebih berbahaya. Mengatasi risiko tersebut dapat membantu memenuhi persyaratan kepatuhan GenAI.

CISO harus memprioritaskan membangun fondasi yang kuat daripada kebijakan yang sempurna untuk lebih baik memenuhi tuntutan regulasi di masa depan. Ini termasuk mendapatkan visibilitas ke dalam penggunaan kecerdasan buatan, menerapkan klasifikasi data yang sadar konteks, dan menciptakan kebijakan yang adaptif yang menyeimbangkan keamanan dengan produktivitas.

Organisasi yang berhasil tidak akan menjadi mereka yang memiliki banyak buku aturan dan perintah; mereka akan menjadi mereka yang memiliki pemahaman yang jelas tentang apa yang terjadi, dikombinasikan dengan perlindungan yang memenuhi persyaratan kepatuhan. Berikut adalah langkah-langkah kunci untuk diikuti:

1. Nilai visibilitas. Identifikasi di mana GenAI digunakan, termasuk kecerdasan buatan bayangan. Hindari menunggu insiden untuk menemukan bahwa keuangan telah menempelkan prakiraan ke ChatGPT.
2. Klasifikasikan menggunakan konteks. Jangan hanya menggunakan regex atau nama file. Klasifikasi semantik membantu mengidentifikasi apakah plan_final.docx tidak berbahaya atau sangat sensitif.
3. Perketat izin. Prinsip izin yang minimal tidak boleh opsional; ini penting untuk mempertahankan kepatuhan dan mencegah Copilot mengungkapkan menit rapat yang sensitif kepada magang. Folder yang dibagikan berlebihan adalah sumber risiko umum dan pelanggaran kepatuhan di masa depan.
4. Perlakukan output seperti input. Teks yang dihasilkan kecerdasan buatan dapat bocor dengan mudah seperti prompt. Audit dan pantau bagaimana itu dibagikan ke hilir.
5. Kembangkan strategi kepatuhan yang adaptif. Kebijakan yang ditulis hari ini mungkin menjadi tidak efektif dalam enam bulan.

Untuk eksekutif, pesan itu jelas. Tekanan regulasi berkembang lebih cepat dari yang banyak harapkan, dan menunggu untuk menetapkan standar tidaklah merupakan rencana yang layak. Kerangka tata kelola harus diterapkan sekarang, tidak hanya untuk mengurangi risiko tetapi juga untuk menunjukkan kepada regulator, pelanggan, dan dewan bahwa adopsi kecerdasan buatan adalah tindakan yang disengaja dan bertanggung jawab.