Come Affrontare le Prossime Richieste di Conformità Normativa per la Sicurezza di GenAI

Proprio quando pensavi di aver gestito i rischi di sicurezza dei dati intorno a GenAI e di aver preso il controllo dell’ombra di GenAI in crescita, ecco un nuovo intoppo.

Le richieste normative e legali per la sicurezza di GenAI sono in aumento, e le organizzazioni dovranno presto dimostrare come gestiscono i rischi associati ad esso. L’Atto dell’Unione Europea sull’Intelligenza Artificiale (EU AI Act) è il più chiaro indizio precoce. Etichetta esplicitamente specifiche applicazioni di intelligenza artificiale come “ad alto rischio” e impone requisiti severi per la trasparenza, la responsabilità e la supervisione umana. Le penalità per la non conformità sono destinate ad essere punitive, calcolate come percentuali del fatturato globale piuttosto che multe fisse. Per le aziende multinazionali, ciò sposta la governance dell’IA da una best practice a un obbligo legale, con gravi conseguenze per la non conformità.

Negli Stati Uniti, la Federal Trade Commission (FTC) ha reso chiaro che l’uso dell’IA sarà esaminato ai sensi del suo mandato di prevenire “pratiche ingannevoli o fuorvianti”. Ciò significa che le aziende non possono nascondersi dietro la complessità tecnica. Se i clienti o i dipendenti sono fuorviati su come vengono gestiti i loro dati, o se l’IA presenta rischi non divulgati, i dirigenti possono essere ritenuti responsabili.

Le prime azioni di applicazione della legge hanno già dimostrato che i regolatori sono disposti a fare esempi di aziende che agiscono troppo rapidamente senza controlli adeguati. Ad esempio, la FTC ha preso provvedimenti contro DoNotPay, un’azienda che ha promosso uno strumento di IA come un “avvocato robot” in grado di generare documenti legali validi e orientamento legale esperto, rilevando che le affermazioni dell’azienda sulle capacità della sua IA erano false o fuorvianti e violavano la sezione 5 dell’FTC Act. In un altro caso, la FTC ha richiesto a Everalbum Inc. di distruggere modelli e algoritmi di IA costruiti utilizzando foto dei consumatori raccolte senza consenso adeguato – una penalità diretta per l’uso dei dati in modi che divergono dal consenso dell’utente e dalle aspettative legali.

A livello statale, la California e New York guidano un’onda di leggi sull’IA e la privacy che si basano su quadri esistenti, come il California Consumer Privacy Act (CCPA). Queste leggi si allineano con requisiti di privacy più ampi, richiedendo alle aziende di trattare la governance dell’IA e la privacy dei dati come un singolo programma integrato.

La collisione è già evidente. Oggi, un consumatore può richiedere ai sensi del GDPR o del CCPA che le sue informazioni personali vengano rimosse dai sistemi di un’azienda. Tuttavia, non esiste un processo equivalente per richiedere la rimozione dei dati una volta che sono stati inglobati in un modello di GenAI. La mancanza di un’opzione “rimuovi-i-miei-dati-dal-tuo-modello” diventerà presto un punto di contesa tra i regolatori e le aziende.

Perché la Conformità Sembra più Difficile Questa Volta

A prima vista, regolare l’IA non sembra molto diverso dalle precedenti sfide di conformità. Tuttavia, la governance di GenAI introduce una nuova complicazione – l’imprevedibilità. Il confine tra informazioni inoffensive e dannose non è sempre chiaro. Un singolo prompt può divulgare informazioni proprietarie, e un output può trasportare contenuti confidenziali in luoghi in cui non appartengono. I controlli tradizionali, come DLP e audit delle autorizzazioni, non sono stati progettati per questo livello di velocità o complessità.

Per la conformità al GDPR, l’attenzione si è concentrata sulla privacy. I compiti erano straightforward – identificare i dati personali, implementare controlli e documentare la conformità. GenAI, tuttavia, complica le cose perché non si tratta solo dei dati stessi, ma di come quei dati vengono trasformati, remixati e rivelati in modi inaspettati. Le organizzazioni affrontano rischi come Copilot che espone spreadsheet sensibili archiviate in SharePoint, dipendenti che incollano codice proprietario in ChatGPT per debuggere script, e output generati da IA che contengono abbastanza contesto per rivelare informazioni confidenziali.

I tool tradizionali non sono stati progettati per gestire i rischi di sicurezza e le questioni di conformità di GenAI. Le regole DLP trascurano la sottigliezza. Le audit delle autorizzazioni lottano per stare al passo con la collaborazione. E l’IA ombra significa che l’attività si svolge al di fuori degli strumenti approvati.

Cosa Possono Fare i Leader della Sicurezza Adesso

La sfida normativa imminente sembra scoraggiante, ma non deve essere soverchiante. Il primo passo è riformulare il problema. GenAI non è una nuova categoria a rischio; è un amplificatore. Amplifica problemi esistenti – come autorizzazioni di dati eccessive, classificazione scarsa e visibilità limitata – rendendoli più pericolosi. Affrontare quei rischi può aiutare a soddisfare i requisiti di conformità di GenAI.

I CISO dovrebbero dare priorità alla costruzione di fondamenta solide rispetto a politiche perfette per soddisfare meglio le future richieste normative. Ciò include ottenere visibilità sull’uso dell’IA, applicare la classificazione dei dati consapevole del contesto e creare politiche adattive che bilancino la sicurezza con la produttività.

Le organizzazioni che avranno successo non saranno quelle con il maggior numero di libri di regole e comandamenti; saranno quelle con una chiara comprensione di ciò che sta accadendo, combinata con protezioni che soddisfano i requisiti di conformità. Ecco i passaggi chiave da seguire:

1. Valuta la visibilità. Identifica dove GenAI è in uso, compresa l’IA ombra. Evita di aspettare un incidente per scoprire che il reparto finanziario ha incollato previsioni in ChatGPT.
2. Classifica utilizzando il contesto. Vai oltre regex o nomi di file. La classificazione semantica aiuta a identificare se plan_final.docx è inoffensivo o altamente sensibile.
3. Riduci le autorizzazioni. Il privilegio minimo non dovrebbe essere opzionale; è essenziale per mantenere la conformità e prevenire che Copilot esponga minuti sensibili della riunione del consiglio a uno stagista. Le cartelle condivise eccessivamente sono una fonte comune di rischio e future violazioni della conformità.
4. Tratta gli output come input. Il testo generato da IA può fuoriuscire altrettanto facilmente quanto i prompt. Audit e monitora come viene condiviso a valle.
5. Sviluppa strategie di conformità adattive. Le politiche scritte oggi potrebbero diventare inefficaci in sei mesi.

Per gli esecutivi, il messaggio è chiaro. La pressione normativa sta avanzando più velocemente di quanto molti si aspettassero, e aspettare che gli standard si stabilizzino non è un piano fattibile. I framework di governance devono essere messi in atto ora, non solo per ridurre il rischio, ma anche per dimostrare ai regolatori, ai clienti e ai consigli di amministrazione che l’adozione dell’IA è deliberata e responsabile.