Vertrouwen opbouwen in AI: hoe nieuwe regelgeving cyberbeveiligingsuitdagingen wil aanpakken

In een recent onderzoek onder ontwikkelaars in zowel het VK als de VS gaf in totaal 72% aan dat regelgeving ter bescherming van privacy niet is ontworpen voor de toekomst. 56% gelooft bovendien dat dynamische regelgevingsstructuren - die bedoeld zijn om zich aan technologische ontwikkelingen aan te passen - een daadwerkelijke bedreiging kunnen vormen. Een bijzonder verontrustend aspect is het veiligheidsrisico dat samenhangt met AI-systemen die enorme datasets nodig hebben voor training, waarin vaak gevoelige persoonlijke informatie is opgenomen.

Met dit in gedachten kunnen veranderende of inconsistente regelgeving kwetsbaarheden of hiaten veroorzaken in de manier waarop deze gevoelige gegevens worden beschermd, waardoor het risico op datalekken of misbruik toeneemt.

Naarmate regelgeving zich ontwikkelt, lijkt het steeds moeilijker te worden om de beveiliging en privacy van de persoonsgegevens die voor AI-training worden gebruikt te waarborgen. Dit kan ernstige gevolgen hebben voor zowel individuen als organisaties.

Uit hetzelfde onderzoek bleek verder dat 30% van de ontwikkelaars van mening is dat toezichthouders over het algemeen onvoldoende inzicht hebben en niet beschikken over de juiste vaardigheden om de technologie te begrijpen waarop zij toezicht moeten houden.

Hoe ontwerp je aanpasbare en doeltreffende regelgevingskaders?

Gezien de twijfels over vaardigheden en kennis, naast de snelle vooruitgang op het gebied van AI en cybersecuritybedreigingen, waar moeten toezichthouders precies rekening mee houden bij het opstellen van regelgevingskaders die zowel aanpasbaar als doeltreffend zijn?

Mijns inziens moeten toezichthouders allereerst alle beschikbare opties kennen als het gaat om mogelijke privacybevorderende technologieën (PET's). Hoewel sommige PET's al worden gebruikt om het risico op datalekken te beperken, ontwikkelen andere zich nog terwijl ik dit schrijf, met enorme mogelijkheden voor het beveiligen van gevoelige gegevens en het beschermen van privacy. Inzicht in de voordelen en beperkingen van elke technologie helpt bij een flexibele aanpak voor de invoering ervan, in plaats van te proberen één beleid te creëren dat bijvoorbeeld alles tegelijk omvat:

• Authenticatietechnologieën: Multi-factor-authenticatie (MFA) - die ontwikkelaars vaak in authenticatiesystemen integreren om een extra beveiligingslaag te bieden - wordt gebruikt in toepassingen variërend van onlinebankieren tot bedrijfssoftware. Biometrische authenticatie is een andere geavanceerde en veilige methode die tegenwoordig wordt gebruikt en die unieke fysieke kenmerken, zoals vingerafdrukken of gezichtsherkenning, benut. Met het oog op de toekomst biedt ook de invoering van federatieve identiteitsmechanismen, zoals FIDO (Fast Identity Online) of OpenID Connect, veelbelovende mogelijkheden. Deze mechanismen verbeteren niet alleen de beveiliging, maar stroomlijnen ook authenticatieprocessen voor gebruikers op verschillende platforms, waardoor een uniforme en veilige aanpak van identiteitsbeheer ontstaat.

• End-to-endversleuteling (E2EE): Deze technologie biedt robuuste beveiliging door ervoor te zorgen dat gegevens van de afzender tot de ontvanger zijn versleuteld, waardoor onbevoegde toegang zelfs door dienstverleners wordt voorkomen. Het implementeren van E2EE kan echter complex en arbeidsintensief zijn, waarbij vaak aanzienlijke rekenkracht en geavanceerd sleutelbeheer nodig zijn. Omdat E2EE voorkomt dat dienstverleners toegang krijgen tot de gegevens, kan het ook hun vermogen beperken om te helpen bij gegevensherstel of om te voldoen aan wettelijke verzoeken om informatie; een situatie die problematisch kan zijn bij strafrechtelijke onderzoeken of gegevensherstel.

• Volledig homomorfe versleuteling (FHE): Hoewel FHE zich nog in een vroeg stadium van volledige ontwikkeling bevindt, zijn er de afgelopen jaren aanzienlijke vorderingen geboekt. Als vorm van versleuteling die gegevensverwerking mogelijk maakt zonder dat ontsleuteling nodig is, vormt deze technologie een perfecte combinatie van AI en gegevensbeveiliging. Organisaties kunnen zo de kracht van de technologie benutten zonder de privacyverwachtingen van gebruikers in gevaar te brengen. Financiële instellingen kunnen FHE bijvoorbeeld gebruiken om AI-modellen voor fraudedetectie vertrouwelijk te trainen bij verschillende banken, zonder persoonlijke gegevens bloot te leggen; en zorgaanbieders kunnen voorspellende diagnoses uitvoeren zonder de privégegevens van hun patiënten openbaar te maken.

• Berekening door meerdere partijen (MPC): Deze technologie vormt een aanvulling op FHE door eindgebruikers de mogelijkheid te bieden versleutelde gegevens te ontsleutelen nadat is gecontroleerd of zij het recht hebben om toegang te krijgen tot dergelijke gegevens. Met MPC kan een quorum van aangewezen entiteiten deelnemen aan een gezamenlijk protocol dat consensus bereikt over de toegangscontrole voordat de gegevens opnieuw worden versleuteld met de openbare versleutelingssleutel van de eindgebruiker in plaats van de openbare versleutelingssleutel van het protocol, waardoor de eindgebruiker toegang krijgt tot de gegevens in leesbare vorm. Elke entiteit in het quorum beschikt slechts over een deel van de privésleutel voor ontsleuteling van het protocol en kan daarom zelfstandig geen gegevens ontsleutelen. Bovendien worden de gegevens in leesbare vorm nooit aan iemand anders dan de eindgebruiker zelf beschikbaar gesteld. , 

Collaboratieve beleidsvorming

Zodra toezichthouders een goed - en actueel - inzicht hebben in PET's - waarvan er nog veel meer zijn - is de volgende stap dat beleidsmakers ervoor zorgen dat regelgeving technologische vooruitgang niet belemmert en tegelijkertijd bescherming biedt tegen cyberdreigingen.

Om genuanceerd en doeltreffend privacybeleid op te stellen dat zich samen met technologische ontwikkelingen verder ontwikkelt, is het belangrijk om te onthouden dat dit beleid niet op zichzelf staat. Er wordt niet van beleidsmakers verwacht dat zij hiervoor als enigen verantwoordelijk zijn. In plaats daarvan zouden beleidsmakers moeten samenwerken met de makers van de technologie - die op hun beurt hun technologie zouden moeten ontwerpen met bestaande kaders in gedachten, in plaats van te verwachten dat nieuwe kaders zich aanpassen.

Het is ook van cruciaal belang om voortdurend leren binnen de organisatie te integreren en medewerkers de mogelijkheid te bieden deel te nemen aan branche-evenementen en conferenties, zodat zij op de hoogte blijven van de nieuwste ontwikkelingen en deskundigen kunnen ontmoeten. Waar mogelijk zouden we moeten samenwerken met de sector, bijvoorbeeld door vertegenwoordigers van technologiebedrijven uit te nodigen om interne seminars of demonstraties te verzorgen.

Ik ben er sterk van overtuigd dat met al het bovenstaande rekening moet worden gehouden naarmate we steeds complexere systemen zoals AI, IoT en geavanceerde gegevensanalyse in ons dagelijks leven integreren en het potentieel voor cyberdreigingen toeneemt.

Door regelgeving toekomstbestendig te maken, kunnen we ervoor zorgen dat we niet voortdurend achter cybercriminelen aanlopen, maar onze digitale infrastructuur proactief beschermen. Door een dynamisch en aanpasbaar regelgevingskader te hanteren, kunnen we gevoelige gegevens beter beveiligen, de privacy van gebruikers beschermen en het publieke vertrouwen in digitale technologieën behouden.

Abonneer je op onze nieuwsbrief voor de nieuwste inzichten, trends en strategieën om je technologie te beschermen en innovatie te stimuleren.