Τα εργαλεία τεχνητής νοημοσύνης μπορούν να αυξήσουν σημαντικά την παραγωγικότητα μιας επιχείρησης, αλλά δημιουργούν και ένα νέο κανάλι μέσω του οποίου εταιρικά δεδομένα μπορεί να εκτεθούν ή να χρησιμοποιηθούν με τρόπο που η επιχείρηση δεν έχει εγκρίνει. Αυτός ο κίνδυνος συχνά περιγράφεται ως AI Data Leakage.
Το πρόβλημα δεν αφορά μόνο μια κυβερνοεπίθεση ή παραβίαση ενός AI provider. Μπορεί να ξεκινήσει από μια καθημερινή ενέργεια: ένας εργαζόμενος αντιγράφει μια σύμβαση σε ένα chatbot, ανεβάζει ένα οικονομικό αρχείο για ανάλυση ή χρησιμοποιεί ένα μη εγκεκριμένο AI εργαλείο για να επεξεργαστεί πληροφορίες πελατών.
Τι Είναι το AI Data Leakage;
AI Data Leakage είναι η μη εξουσιοδοτημένη ή ανεπαρκώς ελεγχόμενη έκθεση εταιρικών πληροφοριών κατά τη χρήση συστημάτων τεχνητής νοημοσύνης. Τα δεδομένα μπορεί να περιλαμβάνουν προσωπικές πληροφορίες, οικονομικά στοιχεία, συμβάσεις, credentials, εσωτερικές διαδικασίες, πηγαίο κώδικα ή άλλα εμπιστευτικά δεδομένα.
Δεν έχουν όμως όλα τα AI εργαλεία το ίδιο μοντέλο προστασίας. Οι όροι χρήσης, η αποθήκευση δεδομένων, η χρήση prompts για βελτίωση ή εκπαίδευση μοντέλων, οι δυνατότητες διαχείρισης από administrators και οι συμβατικές δεσμεύσεις διαφέρουν ανά υπηρεσία και τύπο λογαριασμού. Για αυτό μια επιχείρηση πρέπει να αξιολογεί την πραγματική υπηρεσία που χρησιμοποιεί και όχι απλώς την τεχνολογία «AI» γενικά.
1. Shadow AI: Όταν οι Εργαζόμενοι Χρησιμοποιούν Μη Εγκεκριμένα Εργαλεία
Το Shadow AI εμφανίζεται όταν εργαζόμενοι χρησιμοποιούν AI εφαρμογές χωρίς επίσημη έγκριση ή επαρκή έλεγχο από την επιχείρηση. Είναι αντίστοιχο με το Shadow IT, αλλά μπορεί να δημιουργήσει πρόσθετους κινδύνους επειδή οι χρήστες εισάγουν απευθείας πληροφορίες σε prompts ή ανεβάζουν αρχεία για επεξεργασία.
Για παράδειγμα, ένας εργαζόμενος μπορεί να ζητήσει από ένα δημόσια διαθέσιμο chatbot να συνοψίσει:
- μια εμπιστευτική σύμβαση,
- ένα αρχείο με στοιχεία πελατών,
- μια οικονομική αναφορά,
- εσωτερική εταιρική αλληλογραφία,
- πηγαίο κώδικα ή τεχνική τεκμηρίωση.
Το αν και πώς αυτά τα δεδομένα αποθηκεύονται, χρησιμοποιούνται ή προστατεύονται εξαρτάται από τον συγκεκριμένο AI provider, το προϊόν, τον τύπο λογαριασμού και τις ενεργές ρυθμίσεις. Για αυτό η χρήση μη αξιολογημένων υπηρεσιών για εταιρικά δεδομένα δημιουργεί κίνδυνο που η επιχείρηση μπορεί να μην έχει χαρτογραφήσει.
2. Τα Prompts Μπορούν να Περιέχουν Ευαίσθητα Δεδομένα
Ένα prompt δεν είναι πάντα μια απλή ερώτηση. Μπορεί να περιέχει ονόματα πελατών, οικονομικά δεδομένα, στοιχεία ταυτοποίησης, αποσπάσματα συμβάσεων ή άλλες εμπιστευτικές πληροφορίες.
Οι εργαζόμενοι πρέπει να γνωρίζουν ποια δεδομένα επιτρέπεται να χρησιμοποιούν σε κάθε εγκεκριμένη AI υπηρεσία και ποια όχι. Η γενική οδηγία «μη βάζετε ευαίσθητα δεδομένα στο AI» συχνά δεν αρκεί. Χρειάζεται σαφής πολιτική που να συνδέει την κατηγορία των δεδομένων με τα εγκεκριμένα εργαλεία και τα επιτρεπόμενα use cases.
3. Enterprise AI Δεν Σημαίνει Αυτόματα Μηδενικός Κίνδυνος
Οι enterprise AI υπηρεσίες μπορούν να παρέχουν σημαντικά περισσότερους ελέγχους προστασίας και διαχείρισης από μια μη εγκεκριμένη consumer υπηρεσία. Αυτό όμως δεν καταργεί την ανάγκη για σωστά permissions, data governance και configuration.
Στο Microsoft Copilot, για παράδειγμα, η Microsoft αναφέρει ότι prompts, responses και δεδομένα που προσπελαύνονται μέσω Microsoft Graph δεν χρησιμοποιούνται για την εκπαίδευση των foundation LLMs. Οι αλληλεπιδράσεις αποθηκεύονται και υποβάλλονται σε επεξεργασία σύμφωνα με τις συμβατικές δεσμεύσεις του Microsoft 365.
Παράλληλα, όταν το Copilot χρησιμοποιεί οργανωσιακά δεδομένα μέσω Microsoft Graph, λειτουργεί με βάση τα δικαιώματα του χρήστη. Επομένως, υπερβολικά ευρεία δικαιώματα σε SharePoint, αρχεία ή άλλους εταιρικούς πόρους μπορούν να δημιουργήσουν κίνδυνο oversharing ακόμη και μέσα σε μια εγκεκριμένη enterprise πλατφόρμα.
4. Data Classification και Sensitivity Labels
Η επιχείρηση πρέπει να γνωρίζει ποια δεδομένα θεωρούνται δημόσια, εσωτερικά, εμπιστευτικά ή ιδιαίτερα ευαίσθητα. Χωρίς ταξινόμηση, είναι δύσκολο να εφαρμοστούν συνεπείς κανόνες για το ποια δεδομένα επιτρέπεται να χρησιμοποιηθούν σε AI εργαλεία.
Σε περιβάλλον Microsoft 365, τα Microsoft Purview sensitivity labels μπορούν να χρησιμοποιηθούν για ταξινόμηση και προστασία πληροφοριών. Το Microsoft Copilot και το Copilot Chat αναγνωρίζουν sensitivity labels, ενώ όταν εφαρμόζεται encryption λαμβάνονται υπόψη τα αντίστοιχα usage rights του χρήστη.
Οι ακριβείς δυνατότητες εξαρτώνται από την υπηρεσία, τη διαμόρφωση και το διαθέσιμο licensing.
5. DLP και Έλεγχος AI Interactions
Οι σύγχρονες λύσεις Data Loss Prevention μπορούν να προσθέσουν τεχνικούς ελέγχους πέρα από την εκπαίδευση των χρηστών. Στο Microsoft Purview, για παράδειγμα, υπάρχουν DLP δυνατότητες ειδικά για Microsoft 365 Copilot και Copilot Chat.
Ανάλογα με την πολιτική και τις διαθέσιμες δυνατότητες, μπορούν να χρησιμοποιηθούν sensitive information types ή sensitivity labels για τον περιορισμό συγκεκριμένης επεξεργασίας. Η Microsoft υποστηρίζει, μεταξύ άλλων, ελέγχους για sensitive prompts και για αρχεία ή email με συγκεκριμένα sensitivity labels.
Οι λειτουργίες αυτές δεν πρέπει να θεωρούνται διαθέσιμες με τον ίδιο τρόπο σε κάθε Microsoft 365 συνδρομή. Το licensing διαφέρει ανά DLP capability και πρέπει να επιβεβαιώνεται πριν από τον σχεδιασμό της λύσης.
6. Logging και Monitoring Παραμένουν Σημαντικά
Δεν είναι σωστό να θεωρούμε ότι η χρήση AI δεν αφήνει ποτέ ίχνη. Ανάλογα με την υπηρεσία και την αρχιτεκτονική, μπορεί να υπάρχουν audit records, DLP events, activity history ή άλλα δεδομένα που μπορούν να χρησιμοποιηθούν για έλεγχο και διερεύνηση.
Η επιχείρηση πρέπει να γνωρίζει ποιες AI υπηρεσίες χρησιμοποιούνται, ποια logs παρέχουν, πόσο διατηρούνται και ποιοι έχουν πρόσβαση σε αυτά. Το monitoring πρέπει να συνδυάζεται με σαφή διαδικασία αντιμετώπισης περιστατικών όταν εντοπίζεται πιθανή έκθεση δεδομένων.
7. Προσωπικά Δεδομένα και GDPR
Η εισαγωγή προσωπικών δεδομένων σε ένα AI σύστημα αποτελεί επεξεργασία που πρέπει να αξιολογείται με βάση το συγκεκριμένο σενάριο. Η επιχείρηση πρέπει να εξετάζει, μεταξύ άλλων, ποια δεδομένα χρησιμοποιούνται, για ποιο σκοπό, ποιος είναι ο ρόλος κάθε εμπλεκόμενου μέρους, ποια είναι η κατάλληλη νομική βάση όπου απαιτείται και ποιες εγγυήσεις εφαρμόζονται.
Δεν αρκεί επομένως η γενική παραδοχή ότι κάθε AI provider χειρίζεται προσωπικά δεδομένα με τον ίδιο τρόπο. Οι πραγματικές ροές δεδομένων, οι συμβατικοί όροι και το συγκεκριμένο use case πρέπει να εξετάζονται πριν από την επιχειρησιακή χρήση.
Πώς να Μειώσετε τον Κίνδυνο AI Data Leakage
- Καταγράψτε τα AI εργαλεία: Εντοπίστε ποιες υπηρεσίες χρησιμοποιούνται ήδη από εργαζομένους και τμήματα.
- Ορίστε εγκεκριμένες υπηρεσίες: Αξιολογήστε privacy, security, data handling, συμβατικούς όρους και διαθέσιμους administrative controls.
- Δημιουργήστε AI acceptable-use policy: Καθορίστε ποια δεδομένα και ποια use cases επιτρέπονται σε κάθε υπηρεσία.
- Ταξινομήστε τα δεδομένα: Διαχωρίστε τις πληροφορίες ανάλογα με την ευαισθησία και την επιχειρησιακή τους αξία.
- Εφαρμόστε least privilege: Περιορίστε την πρόσβαση χρηστών και AI-enabled εφαρμογών μόνο στα δεδομένα που πραγματικά απαιτούνται.
- Χρησιμοποιήστε DLP όπου είναι κατάλληλο: Εφαρμόστε τεχνικούς περιορισμούς για ευαίσθητα δεδομένα όταν η πλατφόρμα και το licensing το υποστηρίζουν.
- Ενεργοποιήστε logging και monitoring: Αξιοποιήστε τα διαθέσιμα audit και security δεδομένα για να εντοπίζετε μη αναμενόμενη ή μη εγκεκριμένη χρήση.
- Εκπαιδεύστε τους εργαζομένους: Δώστε πρακτικά παραδείγματα για το τι μπορούν και τι δεν πρέπει να εισάγουν σε AI εργαλεία.
Η Σωστή Προσέγγιση Δεν Είναι η Απαγόρευση του AI
Η καθολική απαγόρευση μπορεί να οδηγήσει τους εργαζομένους σε μη ελεγχόμενη χρήση εργαλείων εκτός των επίσημων εταιρικών διαδικασιών. Μια πιο πρακτική προσέγγιση είναι η ελεγχόμενη υιοθέτηση: εγκεκριμένες υπηρεσίες, συγκεκριμένα use cases, κατάλληλα δικαιώματα, πολιτικές προστασίας δεδομένων και εκπαίδευση.
Το NIST Generative AI Profile αντιμετωπίζει τη γενετική τεχνητή νοημοσύνη μέσα από μια προσέγγιση διαχείρισης κινδύνου. Αντί να θεωρείται κάθε χρήση AI εξ ορισμού ασφαλής ή επικίνδυνη, ο οργανισμός χρειάζεται να αναγνωρίζει, να αξιολογεί και να διαχειρίζεται τους κινδύνους ανάλογα με το σύστημα και τον τρόπο χρήσης του.
Πώς Μπορεί να Βοηθήσει η DataShield
Η DataShield μπορεί να βοηθήσει μια επιχείρηση να αξιολογήσει πώς χρησιμοποιούνται AI εργαλεία στο εταιρικό περιβάλλον, ποια δεδομένα μπορεί να εκτίθενται και ποιοι τεχνικοί ή οργανωτικοί έλεγχοι χρειάζονται.
Η αξιολόγηση μπορεί να περιλαμβάνει έλεγχο των εγκεκριμένων AI υπηρεσιών, δικαιωμάτων πρόσβασης, data classification, Microsoft 365 και Purview controls, καθώς και δημιουργία πρακτικών κανόνων ασφαλούς χρήσης AI για τους εργαζομένους.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της χρήσης AI και της προστασίας εταιρικών δεδομένων στην επιχείρησή σας.
