Gdy niewłaściwe użycie sztucznej inteligencji wywołuje korporacyjny kryzys

Większość firm nie posiada polityk, które mogłyby zapobiec katastrofom wizerunkowym spowodowanym przez narzędzia sztucznej inteligencji

Niedawne ankiety ujawniają, że tylko około 30 procent firm ustanowiło polityki sztucznej inteligencji. Tymczasem 77 procent pracowników udostępnia tajemnice firmy w ChatGPT, zgodnie z Raportem LayerX na temat bezpieczeństwa danych przedsiębiorstw i SaaS w 2025 roku. To połączenie tworzy idealne warunki do kryzysów wizerunkowych.

Większość istniejących polityk sztucznej inteligencji koncentruje się na technicznych i zgodnościowych ryzykach. Dotyczą one protokołów bezpieczeństwa danych, ocen dostawców i wymogów regulacyjnych. Często pomijają one katastrofę wizerunkową, która może rozwinąć się w ciągu kilku godzin z powodu niewłaściwego użycia sztucznej inteligencji. W Red Banyan doradzamy coraz większej liczbie organizacji w sprawach związanych z kryzysami sztucznej inteligencji i zaczynamy dostrzegać pewne podobieństwa. Techniczne naruszenie jest zwykle szybko opanowane, ale szkody wizerunkowe, relacje z klientami i zaufanie interesariuszy mogą utrzymywać się przez miesiące lub nawet lata.

Problem sztucznej inteligencji w cieniu

Największe zagrożenie pochodzi ze sztucznej inteligencji w cieniu, określanej przez specjalistów od bezpieczeństwa jako “sztuczna inteligencja w cieniu“. Jest to sytuacja, w której pracownicy używają niezatwierdzonych, osobistych kont sztucznej inteligencji do zadań służbowych, omijając kontrolę bezpieczeństwa korporacyjnego. Zwykle robią to bez pełnego zrozumienia ryzyka.

Zgodnie z badaniem Cyberhaven, 11 procent danych, które pracownicy wprowadzają do ChatGPT, są poufne. Ta liczba powinna zaalarmować każdego dyrektora ds. informacji i lidera ds. komunikacji. Mówimy o kodzie źródłowym, umowach z klientami, nieopublikowanych planach produktowych, prognozach finansowych i danych pracowników, które płyną do systemów, którymi organizacje nie kontrolują.

Jak dochodzi do ujawnienia danych

Inżynierowie oprogramowania mogą korzystać z narzędzi sztucznej inteligencji, takich jak Claude lub ChatGPT, do debugowania lub optymalizacji kodu. W 2023 roku inżynierowie oprogramowania Samsunga zrobili właśnie to – przesłali wewnętrzny kod źródłowy do ChatGPT, próbując rozwiązać problemy. Ujawnienie poufnego kodu źródłowego zmusiło Samsunga do wdrożenia kompleksowych ograniczeń w użyciu sztucznej inteligencji we wszystkich działach inżynieryjnych.

Specjaliści od marketingu i kadry używają sztucznej inteligencji, aby poprawić swoje pisanie. Przesyłają projekty wniosków, dokumenty polityki wewnętrznej i czasem nawet umowy z klientami, prosząc sztuczną inteligencję o poprawienie klarowności lub skorygowanie błędów gramatycznych. Te dokumenty często zawierają prognozy finansowe, warunki prawne lub plany strategiczne, które konkurenci uznałyby za cenne.

Zespoły obsługi klienta eksperymentujące z narzędziami efektywności sztucznej inteligencji czasem wprowadzają rzeczywiste rozmowy z klientami i bilety wsparcia. Chcą, aby sztuczna inteligencja podsumowała interakcje lub sugerowała lepsze odpowiedzi. Gdy te dane wejściowe zawierają nazwy klientów, informacje kontaktowe, dane konta lub historię zakupów, firma potencjalnie narusza przepisy o ochronie prywatności, takie jak RODO lub CCPA.

Zespoły rozwoju produktu, które brainstorują nowe funkcje, mogą opisać nieopublikowane możliwości w ChatGPT, licząc na to, że sztuczna inteligencja pomoże im udoskonalić pomysły lub zidentyfikować potencjalne problemy. Te opisy mogą ujawniać przewagi konkurencyjne, innowacje technologiczne lub strategie rynkowe, które firma zamierzała utrzymać w tajemnicy do momentu premiery.

Wszystkie te informacje mogą być potencjalnie przechowywane przez duże modele językowe i wpływać na odpowiedzi sztucznej inteligencji na przyszłe zapytania.

Na przykład, po tym, jak zespół rozwoju produktu opisał swój nadchodzący produkt w ChatGPT, konkurować lub dziennikarz może zapytać narzędzie sztucznej inteligencji o nadchodzące wydania tej firmy. ChatGPT może odnieść się do poufnych informacji, które zostały udostępnione, i ujawnić nowy produkt lub technologię, której firma poświęciła znaczne środki.

Jak to staje się kryzysem PR

Gdy te incydenty ujawniają się, rzadko pozostają one zawarte w ramach problemów IT. Oto, co zwykle się dzieje:

Incydent zostaje odkryty, często przez przypadek lub za pomocą alertu zewnętrznego. Dział IT rozpoczyna dochodzenie, próbując ocenić zakres. Tymczasem, jeśli incydent dotyczy danych klienta lub informacji regulowanych, obowiązki prawne wymagają ujawnienia. Po ujawnieniu rozpoczyna się pokrycie medialne. Media społecznościowe wzmacniają historię. Klienci zaczynają dzwonić z obawami. Pracownicy martwią się o bezpieczeństwo pracy i własną odpowiedzialność.

W ciągu 24 do 48 godzin, co zaczęło się jako incydent techniczny, staje się pełnowymiarowym kryzysem wizerunkowym. Firma musi wyjaśnić wielu odbiorcom, jak to się stało, dlaczego kontrole zawiodły i co robi, aby zapobiec powtórzeniu. Jeśli firma nie przygotowała się do tego scenariusza, odpowiedź jest często powolna, niespójna lub defensywna. Każdy błąd wydłuża kryzys i pogłębia szkody.

Budowanie ram kryzysowych dla incydentów sztucznej inteligencji

Dyrektorzy ds. informacji muszą współpracować z zespołami komunikacji i prawnymi, aby stworzyć protokoły reagowania na kryzysy specyficzne dla incydentów sztucznej inteligencji. Kontrole techniczne i polityki są ważne, ale są niewystarczające bez planu zarządzania skutkami medialnymi, gdy coś pójdzie nie tak.

Oto sześć kroków, aby rozpocząć ten proces:

1. Ustanów wyraźne ścieżki eskalacji. Gdy odkryty zostaje incydent związany z ujawnieniem danych sztucznej inteligencji, kto zostaje powiadomiony niezwłocznie? Dział IT, Prawo, Komunikacja i kierownictwo powinny zostać poinformowane szybko. Utwórz drzewo decyzyjne, które określa, kiedy aktywować protokoły kryzysowe w zależności od rodzaju i wrażliwości ujawnionych danych.
2. Opracuj szablony odpowiedzi. Przygotuj wcześniej oświadczenia i dokumenty Q&A dla typowych scenariuszy incydentów sztucznej inteligencji. Powinny one dotyczyć niewłaściwego użycia przez pracowników, problemów z bezpieczeństwem dostawców i przypadkowego ujawnienia danych. Posiadanie gotowych szablonów pozwala na szybsze i bardziej spójne odpowiedzi, gdy czas jest krytyczny.
3. Przeszkol społeczników. Wyżsi menedżerowie i pracownicy ds. komunikacji potrzebują szkolenia medialnego, które koncentruje się na tym, jak omawiać incydenty sztucznej inteligencji. Technologia jest złożona i pełna żargonu, co może być trudne do nawigowania podczas odpowiedzi na pytania ze strony interesariuszy.
4. Monitoruj wczesne sygnały ostrzegawcze. Monitorowanie mediów społecznościowych powinno obejmować słowa kluczowe związane z Twoją organizacją i narzędziami sztucznej inteligencji. Czasem pierwszą wskazówką o problemie jest post pracownika na LinkedIn lub skarga klienta na Twitterze dotycząca odpowiedzi wygenerowanej przez sztuczną inteligencję.
5. Przeprowadź symulacje kryzysowe. Ćwiczenia na stole, które przechodzą przez scenariusz ujawnienia danych sztucznej inteligencji, pomagają zespołom zrozumieć ich role i zidentyfikować luki w planie odpowiedzi. Te symulacje powinny obejmować dział IT, Prawo, Komunikację, HR i kierownictwo.
6. Buduj relacje przed potrzebą. Ustanów połączenia z firmami zajmującymi się kryzysową komunikacją, ekspertami od bezpieczeństwa cybernetycznego, którzy mogą zapewnić walidację zewnętrzną, oraz radcami prawnymi doświadczonymi w kwestiach związanych z sztuczną inteligencją. Gdy kryzys nastąpi, chcesz mieć zaufanych doradców, którzy mogą się natychmiast zmobilizować.

Ścieżka do przodu

Przerwa między wdrożeniem sztucznej inteligencji a zarządzaniem sztuczną inteligencją nadal rośnie. Pracownicy mają łatwy dostęp do potężnych narzędzi, które mogą stwarzać znaczne ryzyka wizerunkowe. Dyrektorzy ds. informacji tradycyjnie koncentrowali się na technicznej stronie zarządzania ryzykiem sztucznej inteligencji. Jednak wymiar wizerunkowy incydentów sztucznej inteligencji wymaga równego uwagi i przygotowania.

Pytanie nie brzmi, czy Twoja organizacja zostanie dotknięta kryzysem związanym z sztuczną inteligencją. Biorąc pod uwagę obecne tempo wdrożeń i rozpowszechnienie sztucznej inteligencji w cieniu, pytanie brzmi, kiedy. Firmy, które przygotują się teraz, z politykami, które adresują zarówno techniczne, jak i wizerunkowe ryzyka, będą lepiej radzić sobie z tymi incydentami niż te, które zostaną zaskoczone.