วิธีการจัดการกับข้อกำหนดการปฏิบัติตามกฎระเบียบด้านความปลอดภัยของ GenAI ที่กำลังจะเกิดขึ้น

เมื่อคุณคิดว่าการจัดการความเสี่ยงด้านความปลอดภัยของข้อมูลรอบๆ GenAI และการควบคุมการใช้งาน GenAI ในร่มแล้ว มาเป็นปัญหาใหม่

ความต้องการด้านกฎระเบียบและกฎหมายในการรักษาความปลอดภัยของ GenAI เพิ่มขึ้น และองค์กรจะต้องแสดงให้เห็นว่าพวกเขาจัดการกับความเสี่ยงที่เกี่ยวข้องกับ GenAI ได้อย่างไร ร่างกฎหมาย AI ของสหภาพยุโรป (EU AI Act) เป็นสัญญาณแรกที่ชัดเจนของการเปลี่ยนแปลงนี้ โดยระบุว่าแอปพลิเคชัน AI บางประเภทเป็น “ความเสี่ยงสูง” และกำหนดข้อกำหนดที่เข้มงวดสำหรับการถอดรหัส ความรับผิดชอบ และการกำกับดูแลของมนุษย์ การลงโทษสำหรับการไม่ปฏิบัติตามข้อกำหนดเหล่านี้มีเป้าหมายที่จะให้ผลกระทบอย่างรุนแรง โดยคำนวณเป็นเปอร์เซ็นต์ของรายได้ระดับโลก ไม่ใช่ค่าปรับที่ตายตัว สำหรับบริษัทหลายแห่งทั่วโลก สิ่งนี้เปลี่ยนการกำกับดูแล AI จากแนวทางปฏิบัติที่ดีที่สุดไปสู่พันธกรณีทางกฎหมาย โดยมีผลกระทบรุนแรงสำหรับการไม่ปฏิบัติตามข้อกำหนด

ในสหรัฐอเมริกา คณะกรรมาธิการการค้าแห่งสหพันธรัฐ (FTC) ได้ระบุอย่างชัดเจนว่าการใช้ AI จะถูกตรวจสอบภายใต้คำสั่งในการป้องกัน “การปฏิบัติที่ไม่ยุติธรรมหรือหลอกลวง” ซึ่งหมายความว่าบริษัทต่างๆ ไม่สามารถหลบซ่อนอยู่เบื้องหลังความซับซ้อนของเทคโนโลยีได้ หากลูกค้าหรือพนักงานถูกหลอกลวงเกี่ยวกับวิธีการจัดการข้อมูลของตน หรือหาก AI มีความเสี่ยงที่ไม่ได้เผยแพร่ ผู้บริหารอาจถูกถือว่าผิด

การดำเนินการบังคับใช้กฎหมายในระยะแรกได้แสดงให้เห็นว่าหน่วยงานกำกับดูแลพร้อมที่จะใช้มาตรการกับบริษัทที่ดำเนินการโดยไม่มีการควบคุมที่เหมาะสม ตัวอย่างเช่น FTC ได้ดำเนินการกับ DoNotPay บริษัทที่ส่งเสริมเครื่องมือ AI ที่สามารถสร้างเอกสารทางกฎหมายและคำแนะนำทางกฎหมายที่ถูกต้องได้ โดยพบว่าคำกล่าวอ้างของบริษัทเกี่ยวกับความสามารถของ AI นั้นเป็นเท็จหรือทำให้เข้าใจผิด และละเมิดมาตรา 5 ของกฎหมาย FTC ในอีกกรณีหนึ่ง FTC ได้กำหนดให้ Everalbum Inc. ต้องทำลายโมเดลและอัลกอริธึม AI ที่สร้างขึ้นโดยใช้ภาพถ่ายของผู้บริโภคที่รวบรวมโดยไม่ได้รับความยินยอมที่เหมาะสม – ซึ่งเป็นผลกระทบโดยตรงจากการใช้ข้อมูลในทางที่ไม่สอดคล้องกับความยินยอมของผู้ใช้และความคาดหวังทางกฎหมาย

ในระดับรัฐ แคลิฟอร์เนียและนิวยอร์กเป็นผู้นำในการเคลื่อนไหวด้านกฎหมาย AI และความเป็นส่วนตัวที่สร้างขึ้นบนกรอบการทำงานที่มีอยู่ เช่น California Consumer Privacy Act (CCPA) กฎหมายเหล่านี้สอดคล้องกับข้อกำหนดด้านความเป็นส่วนตัวในวงกว้าง โดยกำหนดให้ธุรกิจต่างๆ จัดการกับการกำกับดูแล AI และความเป็นส่วนตัวเป็นโปรแกรมเดียว

การชนกันของปัญหาเหล่านี้เริ่มชัดเจนแล้ว ในปัจจุบัน ผู้บริโภคสามารถขอภายใต้ GDPR หรือ CCPA เพื่อให้ข้อมูลส่วนบุคคลของตนถูกลบออกจากระบบของบริษัทได้ อย่างไรก็ตาม ไม่มีกระบวนการเทียบเท่าที่จะขอลบข้อมูลหลังจากที่ข้อมูลถูกนำเข้าไปในโมเดล GenAI แล้ว การไม่มีตัวเลือก “ลบข้อมูลของฉันออกจากโมเดลของคุณ” จะกลายเป็นจุดขัดแย้งระหว่างหน่วยงานกำกับดูแลและธุรกิจในอนาคต

ทำไมการปฏิบัติตามข้อกำหนดจึงรู้สึกยากขึ้นในครั้งนี้

เมื่อมองแวบแรก การกำกับดูแล AI ไม่ดูแตกต่างจากความท้าทายด้านการปฏิบัติตามข้อกำหนดในอดีตมากนัก อย่างไรก็ตาม การกำกับดูแล GenAI นำความซับซ้อนใหม่ๆ มาให้ – ความไม่แน่นอน ความเสี่ยงระหว่างสิ่งที่ไม่มีอันตรายและอันตรายไม่ชัดเจนเสมอไป ข้อมูลที่เป็นความลับสามารถถูกเปิดเผยได้ด้วยคำสั่งเดียว และผลลัพธ์หนึ่งสามารถนำเนื้อหาส่วนบุคคลเข้าสู่พื้นที่ที่ไม่ควรจะไปได้ การควบคุมแบบดั้งเดิม เช่น DLP และการตรวจสอบสิทธิ์ ไม่ได้ออกแบบมาเพื่อความเร็วหรือความซับซ้อนที่ระดับนี้

สำหรับการปฏิบัติตาม GDPR การมุ่งเน้นอยู่ที่ความเป็นส่วนตัว การทำงานค่อนข้างตรงไปตรงมา – ระบุข้อมูลส่วนบุคคล นำการควบคุมมาใช้ และจัดทำเอกสารการปฏิบัติตามข้อกำหนด GenAI ทำให้ปัญหา更加ซับซ้อนเพราะไม่ได้เกี่ยวกับตัวข้อมูลเอง แต่เกี่ยวกับวิธีการที่ข้อมูลถูกเปลี่ยนแปลง ผสมผสาน และเปิดเผยในทางที่ไม่คาดคิด องค์กรต่างๆ ต้องเผชิญกับความเสี่ยง เช่น Copilot ที่เปิดเผยตารางงานที่มีความละเอียดอ่อนที่เก็บไว้ใน SharePoint พนักงานวางโค้ดที่เป็นความลับลงใน ChatGPT เพื่อแก้บั๊ก และผลลัพธ์ที่สร้างโดย AI ที่มีข้อมูลที่เพียงพอในการรั่วไหลข้อมูลส่วนบุคคล

สิ่งที่ผู้นำด้านความปลอดภัยสามารถทำได้ตอนนี้

ความท้าทายด้านกฎระเบียบที่กำลังจะเกิดขึ้นอาจดูเหมือนน่ากลัว แต่ไม่จำเป็นต้องทำให้เราหนักใจ ขั้นตอนแรกคือการเปลี่ยนมุมมองของปัญหา GenAI ไม่ใช่หมวดหมู่ใหม่ที่มีความเสี่ยง แต่เป็นตัวเร่งให้ปัญหาที่มีอยู่เดิม – เช่น สิทธิ์การเข้าถึงข้อมูลที่มากเกินไป การจัดประเภทที่ไม่ดี และการมองเห็นที่จำกัด – กลายเป็นความเสี่ยงที่รุนแรงขึ้น การจัดการกับความเสี่ยงเหล่านี้สามารถช่วยให้เราเตรียมพร้อมสำหรับการปฏิบัติตามข้อกำหนดของ GenAI ได้

ผู้นำด้านความปลอดภัยควรให้ความสำคัญกับการสร้างรากฐานที่แข็งแกร่งมากกว่าการมีนโยบายที่สมบูรณ์แบบ เพื่อให้สามารถตอบสนองความต้องการด้านกฎระเบียบในอนาคตได้ดีขึ้น ซึ่งรวมถึงการได้รับการมองเห็นในการใช้งาน AI การใช้การจำแนกประเภทข้อมูลที่ตระหนักถึงบริบท และการสร้างนโยบายที่ปรับเปลี่ยนได้เพื่อสร้างสมดุลระหว่างความปลอดภัยและผลผลิต

องค์กรที่ประสบความสำเร็จจะไม่ใช่那些ที่มีหนังสือกฎมากที่สุดหรือคำสั่งมากที่สุด แต่จะเป็นองค์กรที่มีความเข้าใจที่ชัดเจนเกี่ยวกับสิ่งที่เกิดขึ้น พร้อมด้วยการคุ้มครองที่ตอบสนองข้อกำหนดการปฏิบัติตามข้อกำหนด ต่อไปนี้คือขั้นตอนหลักๆ ที่ต้องปฏิบัติตาม:

1. ประเมินความสามารถในการมองเห็น. ระบุว่า GenAI ถูกใช้どこ รวมถึงการใช้งาน GenAI ในร่มด้วย อย่าปล่อยให้เหตุการณ์เกิดขึ้นก่อนที่จะพบว่าแผนกการเงินกำลังวางแผนการเงินลงใน ChatGPT
2. จำแนกประเภทโดยใช้บริบท. ไปไกลกว่าแค่การค้นหาโดยใช้ regex หรือชื่อไฟล์ การจำแนกประเภทแบบอสมการช่วยระบุว่าเอกสาร plan_final.docx เป็นเอกสารที่อ่อนไหวหรือไม่
3. จำกัดสิทธิ์การเข้าถึง. สิทธิ์การเข้าถึงที่น้อยที่สุดไม่ควรเป็นตัวเลือก แต่ควรเป็นสิ่งจำเป็นเพื่อรักษาความปลอดภัยและป้องกันไม่ให้ Copilot เปิดเผยข้อมูลที่มีความละเอียดอ่อนของกรรมการบริษัทให้กับพนักงานฝึกงาน โฟลเดอร์ที่ถูกแชร์มากเกินไปเป็นแหล่งความเสี่ยงและความผิดพลาดที่อาจเกิดขึ้นในอนาคต
4. ปฏิบัติต่อผลลัพธ์เหมือนกับข้อมูลเข้า. ข้อความที่สร้างโดย AI สามารถรั่วไหลได้เช่นเดียวกับข้อมูลที่ใช้ในการสร้าง ตรวจสอบและติดตามว่ามีการแชร์ข้อมูลเหล่านี้ไปยังที่อื่นอย่างไร
5. พัฒนากลยุทธ์การปฏิบัติตามข้อกำหนดที่ปรับเปลี่ยนได้. นโยบายที่เขียนไว้ในปัจจุบันอาจกลายเป็นไม่มีประสิทธิภาพในอีก 6 เดือน

สำหรับผู้บริหารระดับสูง คำตอบมีความชัดเจน ความกดดันด้านกฎระเบียบกำลังเพิ่มขึ้นเร็วกว่าที่หลายคนคาดหวัง และการรอจนกว่ามาตรฐานจะถูกกำหนดไว้ไม่ใช่แผนการทำงานที่เหมาะสม องค์กรต้องสร้างกรอบการกำกับดูแลที่เหมาะสมทันที ไม่เพียงแต่เพื่อลดความเสี่ยงเท่านั้น แต่ยังเพื่อแสดงให้เห็นว่าการนำ AI ไปใช้นั้นเป็นการกระทำที่ตั้งใจและรับผิดชอบต่อหน่วยงานกำกับดูแล ลูกค้า และคณะกรรมการบริษัทด้วย