Sidste måned indførte den britiske regering nye lovgivningsmæssige fremskridt for at styrke cybersikkerheden i AI-modeller og software. Disse ændringer er designet til at beskytte digitale systemer mod hacking og sabotage og har til formål at skabe større tillid til brugen af AI på tværs af forskellige brancher – en tillid, der i høj grad er nødvendig.
I betragtning af at omkostningerne ved cyberkriminalitet allerede forventes at nå 13,82 billioner dollars i 2028 – og kan vokse endnu hurtigere, efterhånden som den nye generation af cyberkriminelle får adgang til stadig mere avanceret AI – er tilliden til teknologien forståeligt nok begyndt at svækkes.
Selvom disse nye tiltag udgør betydelige fremskridt i håndteringen af de aktuelle cybersikkerhedsudfordringer, er der stadig spørgsmål og bekymringer omkring den fremtidige tilpasningsevne og effektivitet af de lovgivningsmæssige rammer, særligt blandt udviklerfællesskabet.
I en nylig undersøgelse blandt udviklere i både Storbritannien og USA sagde i alt 72 %, at regler, der er udformet for at beskytte privatlivets fred, ikke er skabt med fremtiden for øje, mens 56 % mente, at dynamiske lovgivningsmæssige strukturer – som skal kunne tilpasses teknologiske fremskridt – kunne udgøre en reel trussel. Et særligt alarmerende aspekt er den sikkerhedsrisiko, der er forbundet med AI-systemer, som kræver enorme datasæt til træning, og som ofte indeholder følsomme personoplysninger.
Med dette in mente kan ændrede eller inkonsekvente regler skabe sårbarheder eller huller i beskyttelsen af disse følsomme data, hvilket øger risikoen for databrud eller misbrug.
Efterhånden som reglerne udvikler sig, ser det ud til at blive stadig vanskeligere at sikre de personoplysninger, der bruges til træning af AI, hvilket kan føre til alvorlige konsekvenser for både enkeltpersoner og organisationer.
Den samme undersøgelse viste desuden, at 30 % af udviklerne mener, at der generelt mangler forståelse blandt tilsynsmyndigheder, som ikke er udstyret med de rette færdigheder til at forstå den teknologi, de har til opgave at regulere.
Sådan udformes tilpasningsdygtige og effektive lovgivningsmæssige rammer
Med de manglende færdigheder og den manglende viden in mente samt den hastige udvikling inden for AI og cybersikkerhedstrusler – hvad bør tilsynsmyndigheder helt præcist have for øje, når de skaber lovgivningsmæssige rammer, der både er tilpasningsdygtige og effektive?
Efter min opfattelse bør tilsynsmyndigheder først og fremmest kende alle de muligheder, der er til rådighed, når det gælder mulige teknologier til forbedring af privatlivets fred (PETs). Mens nogle PETs allerede anvendes til at minimere risikoen for databrud, er andre stadig under udvikling, mens jeg skriver dette, og de rummer et enormt potentiale, når det gælder sikring af følsomme data og beskyttelse af privatlivets fred. Kendskab til fordelene og begrænsningerne ved hver enkelt teknologi gør det lettere at anvende en fleksibel tilgang til deres implementering i stedet for for eksempel at forsøge at skabe én politik, der dækker alt på én gang:
- Godkendelsesteknologier: Multifaktorgodkendelse (MFA) – som udviklere ofte integrerer i godkendelsessystemer for at tilføje et ekstra sikkerhedslag – anvendes i alt fra netbank til virksomhedssoftware. Biometrisk godkendelse er en anden avanceret og sikker metode, der allerede er i brug i dag, og som anvender unikke fysiske egenskaber såsom fingeraftryk eller ansigtsgenkendelse. Ser man fremad, er indførelsen af fødererede identitetsmekanismer som FIDO (Fast Identity Online) eller OpenID Connect også lovende. Disse mekanismer øger ikke kun sikkerheden, men strømliner også brugergodkendelsesprocesser på tværs af forskellige platforme og tilbyder en samlet og sikker tilgang til identitetsstyring.
- Ende-til-ende-kryptering (E2EE): Denne teknologi giver robust sikkerhed ved at sikre, at data krypteres fra afsender til modtager, så uautoriseret adgang forhindres – selv for tjenesteudbydere. Implementering af E2EE kan imidlertid være kompleks og ressourcekrævende og kræver ofte betydelig computerkraft samt avanceret nøglestyring. Fordi E2EE forhindrer tjenesteudbydere i at få adgang til dataene, kan det også begrænse deres mulighed for at hjælpe med datagendannelse eller efterkomme juridiske anmodninger om oplysninger; en situation, der kan være problematisk i forbindelse med strafferetlige efterforskninger eller datagendannelse.
- Fuldt homomorf kryptering (FHE): Selvom FHE stadig anses for at være på et tidligt stadie med hensyn til fuld realisering, har teknologien gjort betydelige fremskridt i de seneste år. Som en form for kryptering, der understøtter databehandling uden at kræve dekryptering, er den en perfekt kombination af AI og datasikkerhed, da den gør det muligt for organisationer at udnytte teknologiens kraft uden at kompromittere brugernes forventninger til privatlivets fred. FHE kan for eksempel bruges af finansielle institutioner til fortroligt at træne AI-modeller til afsløring af svindel på tværs af banker uden at eksponere personoplysninger; og sundhedsudbydere kan udføre prædiktiv diagnostik uden at afsløre deres patienters private oplysninger.
- Flerpartsberegning (MPC): Denne teknologi supplerer FHE ved at give en slutbruger mulighed for at dekryptere krypterede data efter at have kontrolleret, at vedkommende har ret til at få adgang til sådanne data. MPC gør det muligt for et beslutningsdygtigt antal udpegede enheder at deltage i en samarbejdsprotokol, der når til enighed om adgangskontrollen, før dataene krypteres igen fra protokollens offentlige krypteringsnøgle til slutbrugerens offentlige krypteringsnøgle, hvorved slutbrugeren får adgang til dataene i klartekst. Hver enhed i gruppen har kun en del af protokollens private dekrypteringsnøgle og er derfor ikke i stand til selv at dekryptere data. Desuden gøres dataene i klartekst aldrig tilgængelige for andre end slutbrugeren selv. ,
Samarbejdende udformning af politikker
Når tilsynsmyndighederne har en god - og aktuel - forståelse af PET'er - hvoraf der findes mange flere - er næste skridt, at beslutningstagere sikrer, at regulering ikke hæmmer den teknologiske udvikling, samtidig med at der fortsat beskyttes mod cybertrusler.
For at udforme nuancerede og effektive privatlivspolitikker, der udvikler sig i takt med den teknologiske udvikling, er det vigtigt at huske, at de ikke fungerer isoleret. Det forventes ikke, at de er de eneste, der har ansvaret for dette. I stedet bør beslutningstagere arbejde sammen med teknologiens skabere - som til gengæld bør begynde at designe deres teknologi med de eksisterende rammer for øje i stedet for at forvente, at nye rammer tilpasser sig.
Det er også afgørende at integrere løbende læring i organisationen samt at give medarbejderne mulighed for at deltage i branchebegivenheder og konferencer for at holde sig ajour med den seneste udvikling og møde eksperter. Hvor det er muligt, bør vi samarbejde med branchen, for eksempel ved at invitere repræsentanter for teknologivirksomheder til at afholde interne seminarer eller demonstrationer.
Jeg er overbevist om, at alt det ovenstående bør indgå i overvejelserne, efterhånden som vi integrerer stadig mere komplekse systemer som AI, IoT og avanceret dataanalyse i vores hverdag, og potentialet for cybertrusler vokser.
Ved at fremtidssikre reguleringen kan vi sikre, at vi ikke konstant halser efter cyberkriminelle, men proaktivt beskytter vores digitale infrastruktur. Ved at indføre en dynamisk og tilpasningsdygtig lovgivningsmæssig ramme kan vi bedre beskytte følsomme data, værne om brugernes privatliv og bevare offentlighedens tillid til digitale teknologier.
Tilmeld dig vores nyhedsbrev for at få de seneste indsigter, tendenser og strategier til at beskytte din teknologi og fremme innovation.
