Forrige måned innførte den britiske regjeringen nye regulatoriske fremskritt for å styrke cybersikkerheten i AI-modeller og programvare. Disse endringene er utformet for å beskytte digitale systemer mot hacking og sabotasje, og skal bidra til å skape tillit til bruken av AI på tvers av ulike bransjer – en tillit det er stort behov for.
Ettersom kostnadene ved nettkriminalitet allerede er anslått å nå 13,82 billioner dollar innen 2028 – og kan øke i enda høyere takt når den nye generasjonen nettkriminelle får tilgang til stadig mer sofistikert AI – begynner tilliten til teknologien forståelig nok å svekkes.
Selv om disse nye tiltakene representerer betydelige fremskritt når det gjelder å håndtere dagens cybersikkerhetsutfordringer, finnes det fortsatt spørsmål og bekymringer knyttet til den fremtidige tilpasningsevnen og effektiviteten til de regulatoriske rammeverkene, særlig blant utviklermiljøet.
I en nylig undersøkelse blant utviklere i både Storbritannia og USA svarte totalt 72 % at regelverk som er utformet for å beskytte personvernet, ikke er laget for fremtiden, mens 56 % mente at dynamiske regulatoriske strukturer – som skal kunne tilpasses teknologiske fremskritt – kan utgjøre en reell trussel. Et særlig alarmerende aspekt er sikkerhetsrisikoen knyttet til AI-systemer som krever enorme datasett for opplæring, og som ofte inneholder sensitive personopplysninger.
Med dette i mente kan endrede eller inkonsekvente regelverk skape sårbarheter eller mangler i hvordan disse sensitive dataene beskyttes, noe som øker risikoen for datainnbrudd eller misbruk.
Etter hvert som regelverket utvikler seg, ser det ut til å bli stadig vanskeligere å sikre personopplysningene som brukes i AI-opplæring, noe som kan føre til alvorlige konsekvenser for både enkeltpersoner og organisasjoner.
Den samme undersøkelsen viste videre at 30 % av utviklerne mener det finnes en generell mangel på forståelse blant tilsynsmyndigheter, som ikke har de rette ferdighetene til å forstå teknologien de har fått i oppgave å regulere.
Slik utformer du tilpasningsdyktige og effektive regulatoriske rammeverk
Med ferdigheter og kunnskap som et spørsmål, i tillegg til raskt fremskrittende AI og cybersikkerhetstrusler, hva bør egentlig tilsynsmyndighetene ha i mente når de utformer regulatoriske rammeverk som både er tilpasningsdyktige og effektive?
Etter min mening bør tilsynsmyndighetene først og fremst kjenne til alle alternativene som finnes når det gjelder mulige personvernfremmende teknologier (PETs). Mens enkelte PETs allerede brukes til å minimere risikoen for datainnbrudd, er andre under utvikling mens jeg skriver dette, med et enormt potensial når det gjelder å sikre sensitive data og beskytte personvernet. Kunnskap om fordelene og begrensningene ved hver av dem bidrar til en fleksibel tilnærming ved innføringen, i stedet for å forsøke å lage én enkelt retningslinje som dekker alt på én gang, for eksempel:
- Autentiseringsteknologier: Multifaktorautentisering (MFA) – som utviklere ofte integrerer i autentiseringssystemer for å gi et ekstra sikkerhetslag – brukes i applikasjoner fra nettbanker til virksomhetsprogramvare. Biometrisk autentisering er en annen avansert og sikker metode som også brukes i dag, og som benytter unike fysiske kjennetegn som fingeravtrykk eller ansiktsgjenkjenning. Når vi ser fremover, er det også lovende å ta i bruk fødererte identitetsmekanismer, som FIDO (Fast Identity Online) eller OpenID Connect. Disse mekanismene forbedrer ikke bare sikkerheten, men effektiviserer også brukerautentiseringsprosesser på tvers av ulike plattformer, og tilbyr en enhetlig og sikker tilnærming til identitetsforvaltning.
- Helhetlig ende-til-ende-kryptering (E2EE): Denne teknologien gir robust sikkerhet ved å sørge for at data krypteres fra avsender til mottaker, og forhindrer uautorisert tilgang, selv fra tjenesteleverandører. Implementering av E2EE kan imidlertid være kompleks og ressurskrevende, og krever ofte betydelig datakraft og sofistikert nøkkelhåndtering. Fordi E2EE hindrer tjenesteleverandører i å få tilgang til dataene, kan det også begrense deres mulighet til å bistå med datagjenoppretting eller etterkomme juridiske forespørsler om informasjon; en situasjon som kan være problematisk i tilfeller av kriminaletterforskning eller datagjenoppretting.
- Fullt homomorf kryptering (FHE): Selv om FHE fortsatt anses å være i en tidlig fase når det gjelder full realisering, har teknologien gjort betydelige fremskritt de siste årene. Som en form for kryptering som støtter databehandling uten at dekryptering er nødvendig, er den en perfekt kombinasjon av AI og datasikkerhet, ettersom den gjør det mulig for organisasjoner å utnytte teknologiens kraft uten å kompromittere brukernes forventninger til personvern. FHE kan for eksempel brukes av finansinstitusjoner til å trene AI-modeller for konfidensiell svindeloppdagelse på tvers av banker uten å eksponere personopplysninger; og helsepersonell kan utføre prediktiv diagnostikk uten å eksponere pasientenes private informasjon.
- Flerpartsberegning (MPC): Denne teknologien utfyller FHE ved å gi en sluttbruker mulighet til å dekryptere krypterte data etter å ha kontrollert at vedkommende har rett til å få tilgang til slike data. MPC gjør det mulig for et beslutningsdyktig antall utpekte enheter å delta i en samarbeidsprotokoll som oppnår konsensus om tilgangskontrollen før dataene krypteres på nytt fra protokollens offentlige krypteringsnøkkel til sluttbrukerens offentlige krypteringsnøkkel, slik at sluttbrukeren får tilgang til dataene i klartekst. Hver enhet i beslutningsdyktigheten har bare en del av protokollens private dekrypteringsnøkkel og er derfor ikke i stand til å dekryptere data på egen hånd. Videre blir dataene i klartekst aldri gjort tilgjengelige for andre enn sluttbrukeren selv. ,
Samarbeid om politikkutforming
Når tilsynsmyndighetene har en god – og oppdatert – forståelse av personvernfremmende teknologier (PET-er) – som det finnes mange flere av – er neste steg at politikkutformere sørger for at regelverket ikke hemmer teknologisk utvikling, samtidig som det fortsatt beskytter mot cybertrusler.
For å utforme nyanserte og effektive personvernregler som utvikler seg i takt med teknologiske fremskritt, er det viktig å huske at de ikke fungerer i et vakuum. Det forventes ikke at de skal være de eneste som har ansvaret for dette. I stedet bør politikkutformere samarbeide med skaperne av teknologien – som på sin side bør begynne å utforme teknologien sin med eksisterende rammeverk i tankene, i stedet for å forvente at nye rammeverk skal tilpasses.
Det er også avgjørende å integrere kontinuerlig læring i organisasjonen, samt å la ansatte delta på bransjearrangementer og konferanser for å holde seg oppdatert på den nyeste utviklingen og møte eksperter. Der det er mulig, bør vi samarbeide med bransjen, for eksempel ved å invitere representanter fra teknologiselskaper til å holde interne seminarer eller demonstrasjoner.
Jeg mener sterkt at alt det ovennevnte bør tas med i betraktningen når vi integrerer stadig mer komplekse systemer som AI, IoT og avansert dataanalyse i hverdagen vår, og når potensialet for cybertrusler øker.
Ved å fremtidssikre regelverket kan vi sørge for at vi ikke hele tiden prøver å ta igjen forspranget til nettkriminelle, men beskytter den digitale infrastrukturen vår proaktivt. Ved å innføre et dynamisk og tilpasningsdyktig regelverk kan vi bedre beskytte sensitive data, ivareta brukernes personvern og opprettholde tilliten til digitale teknologier i befolkningen.
Abonner på nyhetsbrevet vårt for de nyeste innsiktene, trendene og strategiene for å beskytte teknologien din og fremme innovasjon.
