هوش مصنوعی (AI) به موضوعی داغ برای هر کسب‌وکاری تبدیل شده است؛ از مدیران عامل که به دنبال افزایش بهره‌وری هستند تا کاربران عادی که برای پاسخ به سوالات روزمره به این ابزارها روی می‌آورند.
چالش پذیرش و دغدغه‌های امنیتی
با ورود ابزارهای AI به جریان‌های کاری روزمره، یک سوال حیاتی مطرح می‌شود: آیا می‌توان از این ابزارها به صورت ایمن استفاده کرد؟ یکی از بزرگترین نگرانی‌های مدیران ارشد، عدم شفافیت در نحوه استفاده از این فناوری در سطح سازمان است.
بسیاری از کارکنان ممکن است در حال حاضر از پلتفرم‌های AI مصرف‌کننده (Consumer AI) برای خلاصه‌سازی اسناد، نوشتن ایمیل‌ها، تحلیل داده‌ها یا رفع مشکلات فنی (مانند ChatGPT) استفاده کنند. اگر این ابزارها بدون اطلاع تیم‌های IT یا امنیت به کار گرفته شوند، سازمان با لایه‌ای از فناوری‌های مدیریت‌نشده مواجه می‌شود که در اصطلاح به آن Shadow AI گفته می‌شود.
ریسک‌های مرتبط با داده‌ها
عدم نظارت بر استفاده از AI، سوالات امنیتی جدی‌ای را ایجاد می‌کند:
- چه اطلاعاتی وارد سیستم‌های AI می‌شود؟
- این اطلاعات در کجا ذخیره می‌شوند؟
- چه کسانی به این داده‌ها دسترسی دارند و سرنوشت آن‌ها پس از پردازش چه خواهد شد؟
بدون داشتن دید کلی (Visibility)، تیم‌های امنیتی نمی‌توانند ریسک‌ها را به درستی ارزیابی یا مدیریت کنند.
از سیاست‌های توصیفی تا کنترل‌های فنی
برای مقیاس‌پذیری پذیرش AI، سازمان‌ها به چیزی فراتر از سیاست‌های مکتوب (Policies) نیاز دارند. آنچه مورد نیاز است، کنترل‌های فنی (Technical Controls) است که رفتارهای ایمن را تسهیل کند. این اقدامات می‌تواند شامل موارد زیر باشد:
- محدود کردن دسترسی کارکنان به ابزارهای AI خاص.
- کنترل داده‌هایی که اجازه اشتراک‌گذاری دارند.
- مانیتورینگ فعالیت‌های AI.
- تعیین مجوزهای دقیق برای Agentهای هوش مصنوعی که با سیستم‌های داخلی تعامل دارند.
حاکمیت و نظارت (Governance)
برخلاف نرم‌افزارهای سنتی که بر اساس فرآیندهای پیش‌بینی‌پذیر طراحی شده‌اند، خروجی‌های سیستم‌های AI بسته به دستورات (Prompts) دریافتی متغیر است. این موضوع، حاکمیت (Governance) را به شدت حیاتی می‌کند.
تیم‌های امنیتی باید پیش از استقرار ابزارهای AI وارد فرآیند شوند، نه پس از وقوع یک حادثه. نقش آن‌ها باید شامل تدوین سیاست‌های استفاده قابل قبول (Acceptable Use Policies)، کنترل‌های دسترسی، فرآیندهای حسابرسی (Auditing) و ایجاد مکانیزم‌هایی برای متوقف کردن فعالیت‌های AI در صورت لزوم باشد.
هدف نهایی نباید جلوگیری مطلق از استفاده کارکنان باشد، زیرا محدودیت‌های شدید معمولاً منجر به یافتن راه‌های جایگزین و غیرقانونی توسط کاربران می‌شود. در عوض، هدف باید پذیرش کنترل‌شده (Controlled Adoption) باشد.
