رهبران امنیت سایبری در حال حاضر با چالش‌های پیچیده حاکمیت هوش مصنوعی (AI Governance) روبرو هستند. سوال اصلی این نیست که چگونه می‌توان از هوش مصنوعی استفاده کرد، بلکه این است که در صورت بروز یک حادثه یا نفوذ، چگونه می‌توان تصمیمات اتخاذ شده در مورد استقرار این فناوری را در برابر نهادهای نظارتی، مشتریان و دعاوی حقوقی دفاع کرد.
دنیل گارِی (Daniel B. Garrie)، کارشناس حقوق سایبری، سه چارچوب عملیاتی را برای کمک به مدیران امنیت (CISOs) معرفی کرده است که هدف آن‌ها تعیین میزان امنیت ویژگی‌های هوش مصنوعی و ایجاد یک ردپای مستندات (Evidentiary Trail) برای دفاع از اقدامات سازمان در صورت بروز مشکلات احتمالی است.
۱. محاسبه امتیاز ریسک استقرار (AI Deployment Risk Score)
این چارچوب از پنج بعد برای ارزیابی ابزارهای هوش مصنوعی استفاده می‌کند تا میزان ریسک و میزان مواجهه (Exposure) را مشخص کند:
- آسیب احتمالی (Potential Harm): میزان اثرات مخرب احتمالی.
- داده‌ها و حقوق (Data and Rights): مسائل مربوط به حریم خصوصی و مالکیت داده‌ها.
- خودمختاری (Autonomy): میزان توانایی سیستم در تصمیم‌گیری بدون دخالت انسان.
- شکاف مستندات (Evidence Gap): میزان دشواری در بازیابی شواهد پس از حادثه.
- وابستگی به تأمین‌کننده (Vendor Dependence): میزان وابستگی سازمان به زیرساخت‌های یک شرکت خاص.
بر اساس این امتیاز، ابزار هوش مصنوعی می‌تواند در دسته‌هایی مانند «تأیید مشروط»، «پایلوت محدود شده» یا «توقف انتشار» قرار گیرد.
۲. مستندسازی تصمیمات هیئت مدیره
ایجاد یک ردپای مستند از تصمیمات هیئت مدیره در مورد میزان ریسک‌پذیری (Risk Appetite) سازمان، یک قطعه حیاتی در دفاع از مسئولیت‌پذیری است. این مستندات نباید صرفاً گزارش‌های ساده باشند، بلکه باید شامل جزئیاتی نظیر محدوده تصمیم، شرایط استقرار، الزامات تایید انسانی و چالش‌های مطرح شده در فرآیند تصمیم‌گیری باشند تا نشان دهند سازمان مسئولانه عمل کرده است.
۳. چک‌لیست پاسخ به حوادث هوش مصنوعی (AI Incident Response)
هدف این ابزار، فراتر از مهار حادثه، حفظ وضعیت سیستم (System State) در لحظه وقوع است. این چارچوب بر حفظ شواهدی نظیر سوابق تعاملات، اطلاعات دسترسی، یکپارچگی داده‌ها و زنجیره مراقبت (Chain of Custody) تأکید دارد تا در تحلیل‌های پس از حادثه (Post-incident analysis) قابل استناد باشند.
اهمیت مذاکرات قراردادی با تأمین‌کنندگان
یکی از حیاتی‌ترین نکات، گنجاندن مفاد مربوط به دسترسی به شواهد در قراردادهای خرید خدمات هوش مصنوعی است. مدیران امنیت باید پیش از امضای قرارداد، بر دسترسی به اسنپ‌شات‌های مدل (Model Snapshots) و لاگ‌های دقیق در زمان وقوع حادثه تأکید کنند. گارِی هشدار می‌دهد که پس از امضای قرارداد، تأمین‌کنندگان معمولاً اطلاعاتی که صراحتاً در متن قرارداد ذکر نشده باشد را ارائه نخواهند داد.
