Mengapa Pelarangan AI Meningkatkan Risiko Keamanan dan Bagaimana Lembaga Seharusnya Merespons

Di seluruh Amerika Serikat, distrik sekolah dan organisasi sektor publik bergerak untuk membatasi atau memblokir akses ke teknologi kecerdasan buatan (AI) generatif atau alat tertentu. Di Colorado, Distrik Sekolah Boulder Valley baru-baru ini melarang ChatGPT di jaringan distrik, dengan alasan kekhawatiran tentang penyalahgunaan, keamanan, dan integritas akademik.

Insting untuk mengurangi paparan terhadap insiden keamanan atau penyalahgunaan data adalah dapat dimengerti. Platform dengan pengawasan yang lemah atau komitmen privasi yang tidak jelas, seperti DeepSeek, layak untuk dibatasi dan diperiksa. Namun, melarang akses ke alat AI generatif tidak mengurangi risiko secara signifikan; itu hanya memindahkan risiko ke lingkungan di mana pengawasan menghilang.

Survei College Board menemukan bahwa 84% siswa sekolah menengah melaporkan menggunakan AI generatif untuk pekerjaan sekolah, bahkan ketika 45% kepala sekolah melaporkan setidaknya beberapa pembatasan akses AI di sekolah. Demikian pula, laporan IBM menemukan bahwa 80% pekerja kantor menggunakan AI, tetapi hanya 22% yang bergantung secara eksklusif pada alat yang disediakan oleh pemberi kerja.

Kebijakan akses saja tidak menentukan perilaku. Siswa dapat mengeluarkan ponsel mereka dan menggunakan alat AI apa pun melalui jaringan data seluler, atau menggunakan platform tersebut saat di rumah atau di wifi publik. Mereka juga dapat menggunakan VPN, desktop jarak jauh, dan plugin untuk melewati pembatasan. Karyawan dapat melakukan hal yang sama untuk menghindari kontrol tempat kerja.

Organisasi harus menganggap bahwa ketika ada keinginan untuk menggunakan AI, ada cara. Ketika teknologi dibatasi dengan cara yang mendorong penggunaan di luar visibilitas lembaga, risiko AI bayangan meningkat. Tidak ada pengawasan terhadap informasi yang dimasukkan ke dalam prompt atau data yang disimpan oleh model. Setiap kontrol keamanan segera hilang.

Di luar risiko AI bayangan, pelarangan menciptakan kesenjangan literasi, meninggalkan siswa tidak siap untuk menggunakan teknologi yang akan menjadi bagian besar dari masa depan mereka. Alat-alat ini semakin tertanam dalam mesin pencari, platform bisnis, suite produktivitas, dan perangkat pribadi. Survei Pew Research menemukan bahwa 62% orang dewasa AS mengatakan mereka berinteraksi dengan AI setidaknya beberapa kali seminggu. Hampir pasti bahwa siswa dan karyawan akan menemui sistem AI generatif terlepas dari kebijakan lembaga.

Dalam lingkungan ini, pendidikan adalah benteng terakhir terhadap kekhawatiran tentang penyalahgunaan atau keamanan, dan untuk memastikan bahwa siswa dan pekerja sama-sama siap untuk menggunakan alat yang akan menjadi integral bagi karir mereka. Mengajar penggunaan AI yang bertanggung jawab dan etis mempersenjatai pengguna untuk mengenali risiko data dan membuat keputusan yang tepat di mana pun mereka menemui sistem ini.

Program pendidikan harus fokus pada bagaimana model bahasa besar (LLM) memproses dan menyimpan data, bagaimana mengidentifikasi halusinasi, bagaimana memverifikasi output yang dihasilkan AI, dan bagaimana mengidentifikasi kampanye phishing dan gambar yang dihasilkan AI, hanya untuk menyebutkan beberapa. Ajari pengguna untuk menjadi skeptis. Keluaran AI sering disajikan dengan percaya diri dan bahasa yang rapi, yang dapat menciptakan ilusi otoritas. Tanpa pelatihan, pengguna mungkin menganggap bahwa jawaban yang rapi secara inheren akurat.

Kemampuan untuk mempertanyakan konten digital adalah pertahanan garis depan ketika deepfake dan kampanye phishing yang ditingkatkan dengan AI menjadi lebih canggih. Survei dari Gartner menemukan bahwa 62% organisasi mengalami serangan deepfake tahun lalu, dan 32% menghadapi serangan pada aplikasi AI. Frekuensi dan cakupan insiden ini hanya diharapkan terus meningkat.

Lembaga sektor publik seperti sekolah dan pemerintah lokal sangat rentan terhadap rekayasa sosial yang ditenagai deepfake karena banyak kegiatan mereka yang direkam dan tersedia secara publik. Potongan audio dari pertemuan publik dapat dimanipulasi dan digunakan untuk menghasilkan panggilan suara yang meyakinkan. Kami telah melihat aktor ancaman menggunakan ini untuk penipuan, seperti mengalihkan dana selama transaksi sensitif. Sementara ini terjadi paling sering dalam kasus yang ditargetkan, pengguna yang tidak pernah dilatih untuk mengenali teknik-teknik ini, atau bahkan tahu bahwa mereka memungkinkan, berada dalam posisi yang tidak menguntungkan dari awal.

Mengikuti pendidikan, organisasi harus memiliki kebijakan yang jelas tentang penggunaan dan tata kelola AI. Ini harus mendefinisikan alat yang disetujui, kasus penggunaan yang dapat diterima, dan data apa yang dapat dan tidak dapat dimasukkan ke dalam model mana pun. Kebijakan perlu diterapkan secara konsisten di seluruh departemen daripada bervariasi dari kelas ke kelas atau kantor ke kantor. Harapan yang jelas mengurangi ambiguitas dan memperkuat akuntabilitas.

Sebagai gantinya untuk pembatasan yang luas, organisasi harus berusaha untuk membentuk bagaimana teknologi digunakan dalam praktek. Ketika suatu organisasi mendukung alat yang dapat diakses, aman, dan berfungsi dengan baik, itu menjadi default untuk sebagian besar pengguna. Penggunaan AI bayangan yang santai menurun karena ada alternatif yang sederhana yang tidak melibatkan mengunduh VPN untuk menggunakannya.

Organisasi dan lembaga mencari untuk menyediakan akses yang aman ke LLM dengan cara yang data mereka diamankan dan tidak dibagikan atau digunakan untuk pelatihan. Kategori alat pengaktifan AI dan keamanan yang tumbuh muncul untuk melakukan hal ini. Mereka dapat menyediakan akses ke beberapa LLM sambil menjaga data lembaga tetap terkandung dengan aman. Perjanjian retensi data nol menyediakan kerangka hukum untuk memastikan bahwa data organisasi tetap menjadi milik perusahaan atau lembaga, dan LLM tidak dapat dilatih dengan data tersebut. Selain itu, jika seorang karyawan meninggalkan lembaga, penggunaan AI, alur kerja, atau data apa pun tetap menjadi milik organisasi.

Penjaga teknis juga dapat diterapkan pada tingkat fitur. Suatu lembaga mungkin memungkinkan siswa atau karyawan untuk mengajukan pertanyaan umum dalam LLM yang disetujui sambil menonaktifkan unggahan file, berbagi dokumen, atau kemampuan risiko tinggi lainnya. Konfigurasi ini mempertahankan manfaat produktivitas tanpa membuka pintu untuk paparan data yang tidak terkendali.

Alat yang lebih maju dapat meng-anonimkan informasi sensitif secara otomatis sebelum informasi tersebut mencapai model. Misalnya, menggantikan nama pasien atau pengidentifikasi dengan pengganti netral sehingga dokter dan perawat masih dapat menggunakan AI generatif tanpa memaparkan data yang dilindungi. Lainnya mengintegrasikan kontrol pencegahan kehilangan data yang mendeteksi dan memblokir nomor keamanan sosial, data akun keuangan, atau informasi yang diatur lainnya dari being submitted dalam prompt.

Kebijakan yang jelas dengan penjaga teknis, dibangun di atas fondasi pendidikan, menciptakan pertahanan terbaik, terutama karena teknologi berubah sangat cepat. AI generatif berkembang lebih cepat daripada sebagian besar organisasi sektor publik – dan anggaran mereka – dapat beradaptasi. Mencoba untuk memblokir setiap model baru saat muncul tidak berkelanjutan karena ketika satu platform dibatasi, yang lain telah mendapatkan traksi. Pengguna yang dilatih untuk memahami risiko yang mendasarinya dapat beradaptasi di seluruh alat dan versi.

Keamanan dalam lingkungan yang ditenagai AI bergantung pada mengakui kenyataan bahwa AI generatif sekarang tertanam dalam kehidupan sehari-hari. Tidak ada cara untuk mengembalikan jin ke dalam botol. Pelarangan yang luas mungkin menandakan kehati-hatian, tetapi sering menukar risiko yang terlihat dan dapat dikelola dengan risiko yang tidak terlihat dan tidak dikelola. Ajari seseorang untuk menggunakan AI secara bertanggung jawab, dan mereka akan siap untuk apa pun yang datang selanjutnya.