W ubiegłym miesiącu rząd Wielkiej Brytanii wprowadził nowe rozwiązania regulacyjne mające na celu zwiększenie cyberbezpieczeństwa w modelach AI i oprogramowaniu. Zaprojektowane z myślą o wzmocnieniu systemów cyfrowych przed hakerstwem i sabotażem, zmiany te mają budować zaufanie do wykorzystania AI w różnych branżach — zaufanie, które jest bardzo potrzebne.
Biorąc pod uwagę, że przewiduje się już, iż koszt cyberprzestępczości osiągnie 13,82 biliona dolarów do 2028 roku — i może rosnąć jeszcze szybciej, gdy nowe pokolenie cyberprzestępców uzyska dostęp do coraz bardziej zaawansowanej AI — zaufanie do tej technologii zaczyna, co zrozumiałe, słabnąć.
Chociaż te nowe środki stanowią znaczący postęp w rozwiązywaniu obecnych wyzwań związanych z cyberbezpieczeństwem, nadal pojawiają się pytania i obawy dotyczące przyszłej zdolności adaptacji oraz skuteczności ram regulacyjnych, szczególnie wśród społeczności programistów.
W niedawnym badaniu przeprowadzonym wśród programistów z Wielkiej Brytanii i Stanów Zjednoczonych łącznie 72% respondentów stwierdziło, że przepisy mające chronić prywatność nie są tworzone z myślą o przyszłości, a 56% uważa, że dynamiczne struktury regulacyjne — które mają dostosowywać się do postępu technologicznego — mogą stanowić realne zagrożenie. Szczególnie niepokojącym aspektem jest ryzyko bezpieczeństwa związane z systemami AI, które wymagają ogromnych zbiorów danych do szkolenia, często zawierających wrażliwe dane osobowe.
Mając to na uwadze, zmieniające się lub niespójne przepisy mogą powodować podatności lub luki w sposobie ochrony tych wrażliwych danych, zwiększając ryzyko naruszeń danych lub ich niewłaściwego wykorzystania.
W miarę rozwoju regulacji zapewnienie bezpieczeństwa i prywatności danych osobowych wykorzystywanych do szkolenia AI wydaje się stawać coraz trudniejsze, co może prowadzić do poważnych konsekwencji zarówno dla osób fizycznych, jak i organizacji.
To samo badanie wykazało również, że 30% programistów uważa, iż wśród organów regulacyjnych panuje ogólny brak zrozumienia, a regulatorzy nie dysponują odpowiednim zestawem umiejętności, aby rozumieć technologię, którą mają regulować.
Jak projektować elastyczne i skuteczne ramy regulacyjne
W obliczu wątpliwości dotyczących umiejętności i wiedzy, a także szybko rozwijającej się AI oraz zagrożeń cyberbezpieczeństwa, o czym dokładnie regulatorzy powinni pamiętać podczas tworzenia ram regulacyjnych, które będą zarówno elastyczne, jak i skuteczne?
Moim zdaniem przede wszystkim regulatorzy powinni znać wszystkie dostępne opcje dotyczące potencjalnych technologii zwiększających prywatność (PET). Chociaż niektóre technologie PET są już wykorzystywane do minimalizowania ryzyka naruszeń danych, inne wciąż rozwijają się na naszych oczach i mają ogromny potencjał w zakresie zabezpieczania wrażliwych danych oraz ochrony prywatności. Znajomość zalet i ograniczeń każdej z nich ułatwia elastyczne podejście do ich wdrażania, zamiast próby stworzenia jednej polityki obejmującej wszystko jednocześnie, na przykład:
- Technologie uwierzytelniania: Uwierzytelnianie wieloskładnikowe (MFA) — powszechnie integrowane przez programistów z systemami uwierzytelniania w celu zapewnienia dodatkowej warstwy bezpieczeństwa — jest stosowane w aplikacjach od bankowości internetowej po oprogramowanie dla przedsiębiorstw. Uwierzytelnianie biometryczne to kolejna zaawansowana i bezpieczna metoda stosowana obecnie, wykorzystująca unikalne cechy fizyczne, takie jak odciski palców lub rozpoznawanie twarzy. Patrząc w przyszłość, obiecujące wydaje się również przyjęcie federacyjnych mechanizmów tożsamości, takich jak FIDO (szybka tożsamość internetowa) czy OpenID Connect. Mechanizmy te nie tylko zwiększają bezpieczeństwo, lecz także usprawniają procesy uwierzytelniania użytkowników na różnych platformach, oferując ujednolicone i bezpieczne podejście do zarządzania tożsamością.
- Szyfrowanie od końca do końca (E2EE): Technologia ta zapewnia solidne bezpieczeństwo, gwarantując szyfrowanie danych od nadawcy do odbiorcy i uniemożliwiając nieuprawniony dostęp nawet dostawcom usług. Wdrożenie E2EE może być jednak złożone i wymagać dużych zasobów, często wiążąc się ze znaczną mocą obliczeniową oraz zaawansowanym zarządzaniem kluczami. Ponieważ E2EE uniemożliwia dostawcom usług dostęp do danych, może również ograniczać ich zdolność do pomocy w odzyskiwaniu danych lub spełnianiu prawnych żądań dotyczących informacji; sytuacja ta może stanowić problem w przypadku dochodzeń karnych lub odzyskiwania danych.
- W pełni homomorficzne szyfrowanie (FHE): Chociaż FHE nadal znajduje się na wczesnym etapie pełnej realizacji, w ostatnich latach poczyniono w tej dziedzinie znaczne postępy. Jest to rodzaj szyfrowania umożliwiający przetwarzanie danych bez konieczności ich odszyfrowywania, stanowiący idealne połączenie AI i bezpieczeństwa danych, ponieważ pozwala organizacjom korzystać z możliwości tej technologii bez naruszania oczekiwań użytkowników dotyczących prywatności. Na przykład instytucje finansowe mogą wykorzystywać FHE do poufnego szkolenia modeli AI do wykrywania oszustw w wielu bankach bez ujawniania jakichkolwiek danych osobowych; placówki opieki zdrowotnej mogą natomiast przeprowadzać diagnostykę predykcyjną bez ujawniania prywatnych informacji o pacjentach.
- Obliczenia wielostronne (MPC): Technologia ta uzupełnia FHE, umożliwiając użytkownikowi końcowemu odszyfrowanie zaszyfrowanych danych po sprawdzeniu, czy ma on prawo dostępu do takich danych. MPC umożliwia kworum wyznaczonych podmiotów udział we wspólnym protokole, który osiągnie konsensus w sprawie kontroli dostępu przed ponownym zaszyfrowaniem danych przy użyciu publicznego klucza szyfrowania protokołu i publicznego klucza szyfrowania użytkownika końcowego, zapewniając tym samym użytkownikowi końcowemu dostęp do danych w postaci jawnej. Każdy podmiot wchodzący w skład kworum posiada jedynie część prywatnego klucza deszyfrowania protokołu i dlatego nie może samodzielnie odszyfrować żadnych danych. Ponadto dane w postaci jawnej nigdy nie są udostępniane nikomu poza samym użytkownikiem końcowym. ,
Współtworzenie polityk
Gdy organy regulacyjne dobrze i na bieżąco rozumieją PETs, których istnieje znacznie więcej, kolejnym krokiem jest dopilnowanie przez decydentów, aby przepisy nie hamowały postępu technologicznego, a jednocześnie nadal chroniły przed cyberzagrożeniami.
Aby tworzyć wyważone i skuteczne polityki prywatności, które rozwijają się wraz z postępem technologicznym, należy pamiętać, że nie funkcjonują one w próżni. Nie oczekuje się, że wyłącznie one będą za to odpowiedzialne. Zamiast tego decydenci powinni współpracować z twórcami technologii, którzy z kolei powinni zacząć projektować swoje rozwiązania z uwzględnieniem istniejących ram regulacyjnych, zamiast oczekiwać, że nowe ramy dostosują się do nich.
Kluczowe jest również włączenie ciągłego uczenia się do funkcjonowania organizacji, a także umożliwienie pracownikom udziału w wydarzeniach branżowych i konferencjach, aby byli na bieżąco z najnowszymi rozwiązaniami i mogli spotykać się z ekspertami. Tam, gdzie jest to możliwe, powinniśmy współpracować z branżą, na przykład zapraszając przedstawicieli firm technologicznych do prowadzenia wewnętrznych seminariów lub demonstracji.
Głęboko wierzę, że wszystkie powyższe kwestie należy uwzględnić, gdy integrujemy z naszym codziennym życiem coraz bardziej złożone systemy, takie jak AI, IoT i zaawansowana analityka danych, a potencjał cyberzagrożeń rośnie.
Przygotowując przepisy na przyszłe wyzwania, możemy mieć pewność, że nie będziemy nieustannie próbować dogonić cyberprzestępców, lecz będziemy proaktywnie chronić naszą infrastrukturę cyfrową. Przyjmując dynamiczne i elastyczne ramy regulacyjne, możemy lepiej zabezpieczać wrażliwe dane, chronić prywatność użytkowników i utrzymywać zaufanie społeczne do technologii cyfrowych.
Zapisz się do naszego biuletynu, aby otrzymywać najnowsze informacje, trendy i strategie umożliwiające ochronę technologii oraz wspieranie innowacji.
