Ansettelse av generativ AI: Avdekning av cybersikkerhetsimplikasjonene av generative AI-verktøy

Det er rettferdig å si at generativ AI nå har fanget oppmerksomheten til hver styrerom og forretningsleder i landet. En gang en randteknologi som var vanskelig å beherske, mye mindre mestre, er dørene til generativ AI nå åpnet vidt thanks to applikasjoner som ChatGPT eller DALL-E. Vi er nå vitne til en helhetlig omfavnelse av generativ AI over alle industrier og aldersgrupper, da ansatte finner måter å utnytte teknologien til sin fordel.

En nylig undersøkelse indikerte at 29% av Gen Z, 28% av Gen X og 27% av Millennial-respondenter nå bruker generative AI-verktøy som en del av deres daglige arbeid. I 2022 var storstilket generativ AI-tilpasning på 23%, og dette tallet forventes å doble til 46% innen 2025.

Generativ AI er en ny, men raskt utviklende teknologi som utnytter trenede modeller til å generere originalt innhold i forskjellige former, fra skrevet tekst og bilder, til videoer, musikk og selv programvarekode. Ved å bruke store språkmodeller (LLM) og enorme datamengder, kan teknologien umiddelbart skape unikt innhold som er nesten umulig å skille fra menneskelig arbeid, og i mange tilfeller mer nøyaktig og overbevisende.

Men mens bedrifter stadig bruker generativ AI for å støtte deres daglige operasjoner, og ansatte har vært raskt på oppaket, har tempoet i tilpasningen og mangelen på reguleringer har reist betydelige cybersikkerhets- og regulatoriske bekymringer.

Ifølge en undersøkelse av den generelle befolkningen, er over 80% av menneskene bekymret for sikkerhetsrisikoen som utgjøres av ChatGPT og generativ AI, og 52% av de avhørte ønsker at utviklingen av generativ AI skal stoppes så reguleringene kan holde tritt. Denne videre holdningen har også blitt gjentatt av bedrifter selv, med 65% av senior IT-ledere som ikke vil godkjenne fri tilgang til generative AI-verktøy på grunn av sikkerhetsbekymringer.

Generativ AI er fortsatt en ukjent ukjent

Generative AI-verktøy er avhengige av data. Modeller, som de som brukes av ChatGPT og DALL-E, er trenet på eksterne eller fritt tilgjengelige data på internettet, men for å få mest mulig ut av disse verktøyene, må brukerne dele svært spesifikke data. Ofte, når man ber om verktøy som ChatGPT, deler brukerne følsom forretningsinformasjon for å få nøyaktige og grundige resultater. Dette skaper mange ukjente for bedrifter. Risikoen for uautorisert tilgang eller uventet avsløring av følsom informasjon er “innbygd” når det gjelder å bruke fritt tilgjengelige generative AI-verktøy.

Dette risikoen i seg selv er ikke nødvendigvis et dårlig ting. Problemet er at disse risikoen ennå ikke er ordentlig utforsket. Til dags dato, har det ikke vært noen virkelig forretningsvirkningsanalyse av å bruke vidt tilgjengelige generative AI-verktøy, og globale juridiske og regulatoriske rammer rundt generativ AI-bruk er ennå ikke kommet til noen form for modenhet.

Regulering er fortsatt et arbeide i gang

Regulatorer vurderer allerede generative AI-verktøy i forhold til personvern, datasikkerhet og integriteten til dataene de produserer. Men, som ofte er tilfelle med nye teknologier, er regulatoriske rammer for å støtte og styre deres bruk noen skritt bak. Mens teknologien brukes av bedrifter og ansatte over hele verden, er regulatoriske rammer fortsatt på tegnebrettet.

Dette skaper en klar og nåværende risiko for bedrifter som, for øyeblikket, ikke tas like alvorlig som det burde. Ledere er naturlig interessert i hvordan disse plattformene vil introdusere materielle forretningsgevinster som muligheter for automatisering og vekst, men risikostyrmenn spør hvordan denne teknologien vil bli regulert, hva de juridiske implikasjonene kan bli, og hvordan bedriftens data kan bli kompromittert eller avdekket. Mange av disse verktøyene er fritt tilgjengelige for enhver bruker med en nettleser og en internettforbindelse, så mens de venter på at reguleringen skal holde tritt, må bedrifter begynne å tenke svært nøye om sine egne “husregler” rundt generativ AI-bruk.

Rollen til CISOer i å styre generativ AI

Med regulatoriske rammer som ennå mangler, må Chief Information Security Officers (CISOer) gå inn og spille en avgjørende rolle i å styre bruken av generativ AI innenfor sine organisasjoner. De må forstå hvem som bruker teknologien og til hva formål, hvordan de skal beskytte bedriftens informasjon når ansatte samhandler med generative AI-verktøy, hvordan de skal håndtere sikkerhetsrisikoen til den underliggende teknologien, og hvordan de skal balansere sikkerhetshensynene med verdien teknologien tilbyr.

Dette er ingen enkel oppgave. Detaljerte risikovurderinger bør gjøres for å bestemme både negative og positive resultater som følge av å først, deployere teknologien i en offisiell kapasitet, og andre, å tillate ansatte å bruke fritt tilgjengelige verktøy uten tilsyn. Gitt den enkle tilgangen til generative AI-applikasjoner, må CISOer tenke nøye om bedriftens politikk rundt bruken. Bør ansatte være fri til å utnytte verktøy som ChatGPT eller DALL-E for å gjøre jobben sin enklere? Eller bør tilgangen til disse verktøyene være begrenset eller moderert på noen måte, med interne retningslinjer og rammer om hvordan de skal brukes? Et åpenbart problem er at selv om interne bruksretningslinjer skulle bli laget, gitt den raske utviklingen av teknologien, kan de godt være foreldet når de er ferdige.

En måte å løse dette problemet på kan faktisk være å flytte fokus bort fra generative AI-verktøy selv, og i stedet fokusere på dataklassifisering og -beskyttelse. Dataklassifisering har alltid vært en nøkkelaspekt ved å beskytte data mot å bli brutt eller lekket, og det gjelder også i denne spesielle brukskonteksten. Det innebærer å tildele en sensitivitetsnivå til data, som bestemmer hvordan det skal behandles. Bør det krypteres? Bør det blokkeres for å bli innholdt? Bør det varsles? Hvem skal ha tilgang til det, og hvor er det tillatt å dele? Ved å fokusere på datastrømmen, i stedet for verktøyet selv, vil CISOer og sikkerhetsansvarlige ha en mye større sjanse til å mildne noen av risikoen nevnt.

Som alle nye teknologier, er generativ AI både en velsignelse og en risiko for bedrifter. Mens den tilbyr spennende nye muligheter som automatisering og kreativ konseptualisering, introduserer den også komplekse utfordringer rundt datasikkerhet og beskyttelse av intellektuell eiendom. Mens regulatoriske og juridiske rammer ennå er under utarbeidelse, må bedrifter selv gå i gang og finne en balanse mellom mulighet og risiko, ved å implementere sine egne politikkontroller som reflekterer deres totale sikkerhetsposture. Generativ AI vil drive bedriftene fremover, men vi bør være forsiktige og holde en hånd på rattet.