Our S.O.S. line:
+49 89 262 025954
Our team of experts is ready to assist your organization in the event of a cyberattack.
details
Az AI-bevezetés sok szervezetnél nem klasszikus projektként történik meg.
Egy üzleti terület elkezd használni egy új eszközt, bekapcsolnak egy AI-funkciót egy meglévő rendszerben, vagy egy fejlesztésbe bekerül valamilyen AI-komponens. A technológia működik, az üzleti előny gyorsan látható, így könnyű azt mondani: az AI-t bevezettük.
Governance oldalról viszont ekkor kezdődnek az igazán fontos kérdések.
AI governance kialakításakor könnyű rögtön szabályzatban gondolkodni. Egy AI Policy valóban szükséges lehet, de önmagában nem oldja meg a problémát. Az első kérdés inkább az, hogy a szervezetnek van-e egyáltalán teljes képe a saját AI-használatáról.
Egy központilag bevezetett megoldást könnyű nyilvántartani. Sokkal nehezebb észrevenni azokat az AI-funkciókat, amelyek egy már használt SaaS-rendszer részeként jelennek meg, vagy azokat az eszközöket, amelyeket egy szervezeti egység önállóan kezd használni.
Ezért az AI governance egyik első valódi eleme egy AI inventory vagy use case register. Nem önmagáért a nyilvántartásért, hanem azért, mert amit nem látunk, annak a kockázatát sem tudjuk megfelelően kezelni.
Ugyanazt az AI-megoldást használhatjuk egy belső szöveg megfogalmazására vagy egy ügyfelet, munkavállalót, esetleg pénzügyi döntést érintő folyamat támogatására. Technológiailag lehet ugyanaz az eszköz. A kockázat mégsem ugyanaz.
A besorolásnál ezért azt kell vizsgálni, hogy milyen adat kerül a rendszerbe, mire használjuk az eredményt, milyen következménye lehet egy hibás outputnak, érint-e természetes személyt, illetve van-e valódi emberi kontroll. Egy működő governance modellnek ezért kockázatalapúnak kell lennie.
Az alacsony kockázatú használatot nem érdemes ugyanolyan jóváhagyási folyamattal terhelni, mint egy magasabb üzleti, adatvédelmi vagy szabályozási kitettségű use case-t. Ellenkező esetben a governance könnyen adminisztratív akadállyá válik, amelyet a felhasználók előbb-utóbb megkerülnek.
Az AI kockázatai ritkán férnek el egyetlen szervezeti funkciónál. Az IT a technológiát látja, az információbiztonság az adat- és hozzáférési kockázatokat, a jogi és adatvédelmi terület a megfelelési kérdéseket, az üzleti oldal pedig azt, hogy mire használják a rendszert és milyen következménye lehet egy hibás eredménynek. A governance feladata nem az, hogy ezek közül kiválasszon egy „AI-felelőst”, hanem hogy egyértelművé tegye a döntési rendet.
Ha erre nincs válasz, könnyen előáll az a helyzet, hogy mindenki véleményezi az AI-megoldást, de valójában senki nem vállal érte döntési felelősséget.
A jó AI governance sok esetben nem teljesen új folyamatokat jelent. A meglévő beszállítói kockázatértékelés kiegészíthető AI-specifikus kérdésekkel. Az adatklasszifikáció meghatározhatja, milyen információ kerülhet AI-szolgáltatásba. Az információbiztonsági kockázatkezelésbe beépíthetők az AI-specifikus kockázatok, a beszerzési és change management folyamatok pedig képesek lehetnek felismerni az AI-komponenst. Ez sokkal fenntarthatóbb megközelítés, mint egy párhuzamos „AI compliance világ” kialakítása.
Az AI Act követelményei szintén ebbe a modellbe illeszthetők. A szabályozás fontos keretet ad, de a szervezetnek először tudnia kell, milyen AI-rendszereket használ, milyen szerepet tölt be velük kapcsolatban, és milyen kockázati kategóriába tartoznak.
Nem feltétlenül több tucat kontroll. Már egy jól működő alapmodell is sokat jelent, ha:
Ez már valódi governance.
AI-t governance nélkül is lehet bevezetni. Rövid távon még gyorsabbnak is tűnhet. A probléma akkor válik láthatóvá, amikor egy audit, incidens, ügyféligény vagy szabályozói kérdés miatt vissza kell fejteni, milyen rendszereket használunk, milyen adatokat kaptak, milyen döntéseket támogattak, és ki engedélyezte a használatukat.
Egy jó AI governance modell nem arra szolgál, hogy minden AI-használat elé újabb akadályt építsen.
Arra szolgál, hogy az egyszerű és alacsony kockázatú felhasználás gyors maradjon, a magasabb kockázatú pedig kontrollált legyen.
A kérdés ezért nem igazán az, hogy szükség van-e governance-re. Hanem az, hogy előre építjük fel -vagy utólag próbáljuk behozni a már működő AI-használat mögé.
A White Hat GRC csapata támogatja a szervezeti folyamatok és szabályzatok kialakítását, azon belül az AI Act-nek való megfelelőséget is. Irányítási, kockázatkezelési és megfelelőségi szolgáltatások – White Hat IT Security
Az információbiztonságban már nem elegendő kizárólag technológiai védelmi megoldásokat alkalmazni. Egy szervezet ellenálló képességét az is meghatározza, hogy a munkatársak és a döntéshozók hogyan reagálnak egy váratlan biztonsági eseményre. Ennek gyakorlására szolgál a Tabletop Exercise (TTX). A TTX egy strukturált, irányított gyakorlat, amelyben [...]
