Rủi Ro Lớn Nhất Của Trí Tuệ Nhân Tạo Không Phải Là Mô Hình, Mà Là Việc Áp Dụng Không Kiểm Soát

Sử dụng và áp dụng trí tuệ nhân tạo có thể giống như miền Tây hoang dã nếu không được quản lý trong một tổ chức.

Vấn đề này đã trở thành một mối quan tâm ngày càng tăng khi áp dụng tiếp tục tăng tốc nhanh hơn so với hầu hết các chu kỳ quản lý. Thách thức đối với các đội ngũ CNTT và Tuân thủ là các công cụ mới có thể được triển khai trong vài ngày, trong khi các chính sách và kiểm soát thường mất vài tháng để phát triển và truyền đạt. Nhiều doanh nghiệp nghĩ rằng họ đã xử lý được rủi ro của trí tuệ nhân tạo bằng cách phê duyệt một danh sách ngắn các công cụ được chấp thuận, nhưng còn nhiều việc phải làm để đảm bảo trí tuệ nhân tạo có thể được sử dụng, theo dõi và đo lường với các biện pháp bảo vệ quyền riêng tư và bảo mật. Các ví dụ về kịch bản công nghệ bóng tối này bao gồm các đơn vị kinh doanh áp dụng các nền tảng bổ sung mà không cần xem xét, các nhà phát triển chạy mô hình cục bộ và nhân viên dán dữ liệu nhạy cảm vào các hệ thống mở hoặc hệ thống có quyền dữ liệu không rõ ràng. Kết quả không phải là lý thuyết; đó là rò rỉ dữ liệu, lộ bí mật kinh doanh và trong những trường hợp tồi tệ nhất, chuyển giao quyền bất ngờ thông qua các điều khoản của nhà cung cấp.

Một trong những cách hiệu quả nhất để ngăn chặn quản lý trí tuệ nhân tạo trở nên phân mảnh là thành lập một Nhóm Làm Việc Quản lý Trí Tuệ Nhân Tạo chính thức hoặc Ủy ban. Nhóm này – thường bao gồm các đại diện từ CNTT, Bảo mật, Tuân thủ, Pháp lý, Quyền riêng tư, Quản lý Rủi ro và các đơn vị kinh doanh chính – tạo ra sự sở hữu rõ ràng cho quản lý trí tuệ nhân tạo và đóng vai trò là cơ quan ra quyết định trung tâm của tổ chức về việc áp dụng và giám sát trí tuệ nhân tạo.

Rủi ro lớn nhất là sự vô hình. Một chính sách trí tuệ nhân tạo hoặc danh sách công cụ được phê duyệt không cho thấy trí tuệ nhân tạo đang được sử dụng ở đâu, dữ liệu nào đang được chia sẻ hoặc các điều khoản nào đang được chia sẻ. Việc áp dụng sẽ luôn diễn ra nhanh hơn so với giám sát, vì vậy mục tiêu là quản lý có thể mở rộng: làm cho việc sử dụng trở nên rõ ràng, gắn việc sử dụng chấp nhận được với phân loại dữ liệu và đặt các rào chắn để không làm chậm các đội. Nếu được thực hiện tốt, quản lý trở thành một công cụ hỗ trợ, tạo ra các mặc định an toàn để các đội có thể di chuyển nhanh mà không cần phải đàm phán rủi ro từ đầu mỗi khi một công cụ mới xuất hiện.

Nhóm Làm Việc Quản lý Trí Tuệ Nhân Tạo giúp đóng khoảng trống về khả năng hiển thị này bằng cách đóng vai trò là “cổng giám sát” của tổ chức. Thay vì cho phép các công cụ và trường hợp sử dụng trí tuệ nhân tạo phát triển mà không cần xem xét, ủy ban này thiết lập các quy trình tiếp nhận, xem xét và phê duyệt cho các công nghệ trí tuệ nhân tạo mới, đánh giá rủi ro và xác định các biện pháp kiểm soát phù hợp dựa trên nhu cầu kinh doanh và độ nhạy cảm của dữ liệu.

Làm Thế Nào Để Danh Sách Công Cụ Được Phê Duyệt Thất Bại Trong Thực Tiễn

Danh sách công cụ được phê duyệt bị phá vỡ khi ma sát đẩy mọi người đến các công cụ thay thế, vì rủi ro thực sự nằm ở dữ liệu được sử dụng và quy trình làm việc. Nếu con đường được phê duyệt yêu cầu vé, VPN, hiệu suất chậm hơn hoặc tính năng hạn chế, các đội sẽ tìm cách tránh nó. Trong khi đó, các dịch vụ trí tuệ nhân tạo có thể được áp dụng với một địa chỉ email và một cú nhấp chuột, thường không cần mua sắm, xem xét bảo mật hoặc khả năng hiển thị rõ ràng cho CNTT. Điều quan trọng nhất là sao chép mã nguồn, dữ liệu khách hàng hoặc ngôn ngữ hợp đồng vào bất kỳ hệ thống nào không được kiểm tra có thể tạo ra sự phơi nhiễm và lỗ hổng bảo mật, bất kể công cụ đó có phổ biến hay sẵn sàng cho doanh nghiệp hay không.

Nếu quản lý bắt đầu và kết thúc với một danh sách, bạn đã tạo ra một hiện vật tuân thủ trông tốt trên giấy nhưng thất bại dưới áp lực hoạt động. Cách tiếp cận an toàn và có thể mở rộng hơn là giả định sự phát triển của công cụ sẽ xảy ra và thiết kế các chương trình đào tạo và kiểm soát quy trình xung quanh dữ liệu, danh tính và rủi ro quy trình làm việc.

Gắn Việc Sử Dụng Trí Tuệ Nhân Tạo Chấp Nhận Được Vào Phân Loại Dữ Liệu, Không Phải Là Ưu Tiên Công Cụ

Cách nhanh nhất để khiến chính sách trí tuệ nhân tạo có thể thực thi được là gắn nó vào phân loại dữ liệu. Thay vì cố gắng quản lý mọi công cụ, hãy cung cấp các lựa chọn an toàn và khả thi, và quản lý những gì có thể được đưa vào bất kỳ công cụ nào, đặc biệt là các hệ thống bên ngoài hoặc hệ thống cấp tiêu dùng.

• Dữ liệu công khai: Đầu vào có rủi ro thấp được phép trong các công cụ bên ngoài được phê duyệt, chẳng hạn như bản sao chép tiếp thị, tài liệu công khai và ví dụ đã được làm sạch.
• Dữ liệu nội bộ: Chỉ được phép trong các hệ thống được phê duyệt của doanh nghiệp với các biện pháp bảo vệ theo hợp đồng và ghi nhật ký phù hợp.
• Dữ liệu bí mật, được quản lý hoặc nhạy cảm: bị cấm từ các công cụ bên ngoài theo mặc định, chỉ được phép dưới các trường hợp ngoại lệ có kiểm soát bù và phê duyệt được ghi lại.

Điều này chuyển đổi cuộc trò chuyện từ “Công cụ này có trong danh sách không?” sang “Dữ liệu bạn đang đưa vào nó là gì, và những gì là quyền hạ lưu, lưu giữ và đào tạo?” Thậm chí một mô hình đơn giản hóa cũng đủ để thúc đẩy hành vi nhất quán nếu nó được kết hợp với các ví dụ rõ ràng và được củng cố hàng ngày.

Làm Cho Trí Tuệ Nhân Tạo Bóng Tối Trở Nên Hiển Thị Với Các Cơ Chế Kiểm Toán Hiệu Quả

Bạn không thể quản lý những gì bạn không thể thấy. Khả năng hiển thị đòi hỏi một số tín hiệu nhất quán: kiểm soát Cloud Access Security Broker (CASB) hoặc Security Service Edge (SSE) cho các điểm cuối trí tuệ nhân tạo phổ biến, Data Loss Prevention (DLP) được điều chỉnh cho các mẫu dán và tải lên trí tuệ nhân tạo, và kiểm soát dựa trên danh tính đòi hỏi Single Sign-On (SSO) ở nơi có thể và đánh dấu các danh tính doanh nghiệp sử dụng các dịch vụ không được phê duyệt. Trong các môi trường phát triển, hãy thêm telemetry điểm cuối vì việc sử dụng mô hình cục bộ có thể bỏ qua kiểm soát web. Bổ sung kiểm soát với các đánh giá nhẹ hàng quý về các công cụ được sử dụng, các quy trình làm việc và các loại dữ liệu chúng chạm vào.

Mục tiêu không phải là đạt được phạm vi bảo vệ hoàn hảo hoặc trừng phạt việc thử nghiệm. Đó là để phát hiện các quy trình làm việc rủi ro sớm, ưu tiên chúng và tạo ra các giải pháp an toàn hơn trước khi các mẫu không an toàn trở thành hoạt động bình thường.

Nhóm Làm Việc Quản lý Trí Tuệ Nhân Tạo cũng nên đóng vai trò là nguồn giáo dục và nhận thức cho tổ chức. Quản lý hiệu quả nhất khi nhân viên hiểu không chỉ các quy tắc mà còn lý do đằng sau chúng. Ủy ban có thể cung cấp hướng dẫn liên tục, xuất bản các trường hợp sử dụng được phê duyệt, cung cấp đào tạo nhận thức, trả lời các câu hỏi từ các đơn vị kinh doanh và truyền đạt các kỳ vọng thay đổi khi các công nghệ trí tuệ nhân tạo phát triển.

Các Rào Chắn Cho Phép Tốc Độ Không Để Mất Quyền Kiểm Soát

Quản lý thất bại khi câu trả lời duy nhất là “không”. Quản lý trưởng thành tạo ra các đường dẫn nhanh và các mặc định an toàn: đào tạo dựa trên kịch bản với các ví dụ thực tế, đường dẫn leo thang rõ ràng với Thỏa thuận mức dịch vụ (SLA) phản hồi, và một thư viện ngắn gọn về các trường hợp sử dụng được phê duyệt với các ví dụ “làm” và “không làm”. Những yếu tố này giảm thiểu sự模糊 cho nhân viên và giảm việc ra quyết định ad hoc cho các đội quản lý.

Về phía mua sắm và pháp lý, hãy thiết lập các kích hoạt xem xét và một danh sách kiểm tra bao gồm việc giữ lại dữ liệu, quyền đào tạo mô hình, quyền sở hữu trí tuệ, bí mật, thông báo vi phạm và các nhà xử lý phụ. Cuối cùng, hãy xác định một tiêu chuẩn bằng chứng tối thiểu để trong một cuộc kiểm toán hoặc sự cố, bạn có thể tạo ra chính sách, hoàn thành đào tạo, lý do phê duyệt công cụ, phạm vi ghi nhật ký và các hành động thực thi. Đây là cách bạn tránh được bẫy của việc có một chính sách tồn tại nhưng không thể chứng minh được khi nó quan trọng.

Một Phương Pháp Bảo Vệ Bắt Đầu Từ Các Cơ Bản Có Thể Lặp Đi Lặp Lại

Trí tuệ nhân tạo sẽ tiếp tục thay đổi, vì vậy mô hình quản lý của bạn nên tồn tại lâu hơn bất kỳ công cụ hoặc nhà cung cấp nào. Bắt đầu với các nguyên tắc cơ bản mà bạn có thể thực hiện một cách nhất quán: phân loại dữ liệu, định nghĩa những gì có thể đi đến đâu, tạo khả năng hiển thị và cung cấp cho các đội các rào chắn và đường dẫn leo thang có thể hoạt động.

Không kém phần quan trọng, hãy giao nhiệm vụ cho việc theo dõi liên tục cảnh quan trí tuệ nhân tạo. Các quy định, khả năng mô hình, dịch vụ của nhà cung cấp và các vectơ đe dọa mới xuất hiện nhanh chóng. Nhóm Làm Việc Quản lý Trí Tuệ Nhân Tạo nên hoạt động như một cơ quan tư vấn và giám sát của tổ chức, thường xuyên đánh giá các phát triển công nghệ, đánh giá các thay đổi quy định, xem xét các rủi ro mới nổi và đề xuất cập nhật cho các chính sách và kiểm soát. Sự giám sát liên tục này giúp đảm bảo quản lý vẫn còn phù hợp chứ không trở thành một bài tập tĩnh mỗi năm.

Đánh giá và cải thiện chương trình hàng quý, để các rào chắn vẫn theo kịp với các công cụ, quy trình làm việc và kỳ vọng quy định mới. Việc coi quản lý trí tuệ nhân tạo như một kỷ luật hoạt động với các chủ sở hữu được xác định và các kiểm soát có thể đo lường được bảo vệ dữ liệu nhạy cảm và tài sản trí tuệ trong khi cung cấp cho các đội các đường dẫn nhanh và rõ ràng để sử dụng trí tuệ nhân tạo một cách có trách nhiệm.

An ninh và tuân thủ có được khả năng hiển thị và bằng chứng bảo vệ, và doanh nghiệp có được sự tự tin để mở rộng trí tuệ nhân tạo mà không biến mọi trường hợp sử dụng mới thành một cuộc tập trận phòng cháy chữa cháy.