Security Blog

Téma bezpečnosti dat v souvislosti s produkty založenými na umělé inteligenci, jako je ChatGPT, je v dnešní době rychlé digitalizace nesmírně důležité. Když využíváte službu postavenou na AI, je zásadní rozumět, jak bude s vašimi daty zacházeno. Čím dál častěji si ale všímám, že si rizika s tím spojená firmy často neuvědomují a může tak dojít k úniku citlivých dat.  Poučit se můžeme na příkladu z praxe, kdy zaměstnanci společnosti vyrábějící elektroniku zadávali do ChatGPT citlivá data a došlo k jejich úniku. A to dokonce hned třikrát.

Hlavním bezpečnostním rizikem v oblasti umělé inteligence ve firemním prostředí je únik citlivých dat. Nejedná se pouze o riziko spojené s AI službami, ale o širší problém v IT odvětví. Firmy by měly být dobře informovány o tom, jaká data shromažďují a jak jsou využívána, a měly by mít zavedené procesy pro zacházení s těmito daty. Logicky, řekneme si, ale v praxi se to moc neděje. Poskytovatelé služeb často upřesňují, jak s daty naloží a je známo, že mnohdy mohou být vaše data využita k dalšímu tréninku modelů, jako tomu je právě u ChatGPT. 

Nový ChatGPT Enterprise slibuje větší rychlost svých procesů a bezpečnější chat pro firmy. Tato platforma má být přizpůsobena pro vaši organizaci a chránit vaše firemní data. Dle mého názoru je společnost OpenAI pozoruhodná svou transparentností ve způsobu nakládání s daty. Je žádoucí, aby podobný přístup byl adoptován širším spektrem firem. Nicméně, realita často ukazuje, že mnoho webových služeb sbírá rozsáhlá data, aniž by měly jasně definované procesy pro jejich zpracování.

Problém tedy není v tom, jak OpenAI operuje, ale v neznalosti nebo možná spíše nezkušenosti zákazníků a firem v práci s touto platformou. Společnosti, které uvažují o integraci řešení založených na AI, by měly vypracovat komplexní strategii pro práci s daty, která pokrývá procesní, právní a technické aspekty. Doporučil bych jim také pravidelné školení zaměstnanců a nasazení automatizačních nástrojů pro zabezpečení dat. Pro ty, kteří nejsou v této oblasti odborníky, může být vhodné zvážit spolupráci s partnery, kteří mají s touto tematikou zkušenosti. Pokud jde o standardy zabezpečení dat v AI odvětví, GDPR poskytuje solidní základ, ale konečná implementace je závislá na konkrétních řešeních zavedených firmou. Společnosti, které vyvíjejí AI řešení, by měly být transparentní ohledně toho, jaká data sbírají a jak s nimi zacházejí, aby si získaly důvěru svých zákazníků. Když bych to měl shrnout – je krátkozraké představovat si, že si do firmy implementuji AI nástroj a „ono se to už nějak ujme“. Je třeba myslet na to, že dáváme všanc naše i klientská data, a to může mít velmi vážné dopady. Hlavně ty právní.

Pokud bych měl představit na příkladu své firmy, v Able přistupujeme k zabezpečení dat velmi vážně. Zaměřujeme se na omezení přístupu k datům, čímž snižujeme riziko úniku. Pro trénink našich AI modelů používáme anonymizovaná data, což znemožňuje přístup k citlivým údajům. K tomu účelu jsme vyvinuli vlastní nástroj pro anonymizaci, který toto zajišťuje automaticky. Tímto způsobem minimalizujeme práci s živými daty během vývoje. Navíc máme pečlivě definované postupy pro řešení úniku dat nebo bezpečnostních incidentů, což nám umožňuje rychle reagovat na potenciální problémy.

Budoucnost bezpečnosti dat v rychle rostoucím AI průmyslu představuje mnoho výzev. Rozvoj AI může přinést nové hrozby, jako jsou sofistikovanější phishingové útoky. Vzdělávání veřejnosti, definování hrozeb, stanovení procesů pro mitigaci rizik, a nasazení nástrojů pro zvýšení bezpečnosti dat jsou klíčové aspekty, které by měly být součástí strategie každé firmy.