Ali imate UI pod nadzorom? 7 vprašanj, na katera mora znati odgovoriti vsak vodja

Takšna raba ni nujno napačna. Je pa lahko tvegana, če ni jasnih pravil in tehničnih omejitev. Še posebej takrat, ko zaposleni v osebne ali neodobrene račune nalagajo interne dokumente, podatke o strankah, pogodbe, poslovne načrte ali druge občutljive vsebine.

Največja težava torej ni, da zaposleni uporabljajo umetno inteligenco. Težava je, kadar organizacija ne ve:

• katera orodja se uporabljajo in kdo jih uporablja,
• kateri podatki se vanje vnašajo in kam se prenašajo,
• do katerih podatkov lahko dostopajo uporabniki, pomočniki in agenti,
• kaj lahko agenti samostojno izvedejo,
• ali je pozneje mogoče dokazati, kaj se je zgodilo.

7 vprašanj, ki si jih morate postaviti

1. Ali veste, kje vse v organizaciji uporabljate UI?

Ne gre samo za uradno uvedena orodja. Umetna inteligenca je lahko že del pisarniških paketov, CRM-sistemov, programov za podporo strankam, razvojnih okolij in drugih aplikacij.

Celovit pregled naj vključuje modele, pomočnike, agente, uporabnike, namene uporabe in odgovorne osebe. Brez takšnega pregleda organizacija težko učinkovito upravlja tveganja.

2. Ali zaposleni uporabljajo odobrena orodja?

Osebni račun v javnem klepetalnem pomočniku in službeno, nadzorovano okolje nista isto. Če zaposleni za delo uporabljajo osebne račune, lahko organizacija izgubi pregled nad nastavitvami zasebnosti, hrambo podatkov, dostopi in načinom obdelave vsebin.

Dobra praksa ni nujno popolna prepoved javnih orodij. Smiselneje je jasno določiti, katera orodja so dovoljena, za katere naloge in s katerimi vrstami podatkov.

3. Ali veste, do katerih podatkov lahko dostopa UI?

Pomočnik, ki išče po interni dokumentaciji, je lahko zelo uporaben. Toda dostop do znanja mora upoštevati enaka pravila kot dostop zaposlenih. Če uporabnik nima pravice do določene pogodbe, kadrovske mape ali tehničnega dokumenta, mu tudi UI ne sme razkriti njegove vsebine.

Predstavljajte si zaposlenega, ki pomočnika vpraša po pogodbi s stranko. Odgovor lahko dobi v nekaj sekundah, vendar le iz dokumentov, do katerih ima pravico dostopa. Enako načelo velja za agente, povezane s poslovnimi sistemi.

4. Ali veste, kam potujejo podatki?

Ko nekdo v orodje UI vnese dokument ali vprašanje, lahko podatki zapustijo okolje organizacije. Zato mora ta vedeti, kateri ponudnik jih obdeluje, kje poteka obdelava ter kakšni pogoji veljajo za hrambo in nadaljnjo uporabo.

To je posebej pomembno pri osebnih podatkih, poslovnih skrivnostih in občutljivi dokumentaciji. Preprosto vprašanje je: kam gre dokument, ko ga zaposleni naloži v umetno inteligenco?

5. Ali veste, kateri modeli UI so dovoljeni in za katere naloge?

Vsi modeli niso primerni za vse naloge. Nekateri so namenjeni splošni pripravi besedil, drugi delu z internim znanjem, tretji uporabi v zasebnem ali lokalnem okolju.

Organizacija naj določi, kateri modeli so dovoljeni, za katere namene se uporabljajo, kdo jih odobri in katere omejitve veljajo. Tako prepreči, da bi vsak oddelek uvajal rešitve brez skupnih varnostnih in upravljavskih pravil.

6. Ali veste, kaj lahko naredijo agenti UI?

Pomočnik običajno odgovori na vprašanje. Agent pa lahko naredi korak več: prebere podatke iz sistema, pripravi zahtevek, ustvari dokument, posodobi zapis ali sproži poslovni proces.

Takšna avtomatizacija prinaša veliko koristi, vendar odpira pomembna vprašanja. Katere sisteme sme agent uporabljati? Kaj sme le predlagati in kaj izvesti sam? Kdaj je potrebna potrditev človeka? Več kot ima agent dostopa in samostojnosti, pomembnejši so nadzor in omejitve.

7. Ali lahko dokažete, kaj se je zgodilo?

Ob incidentu, reviziji ali vprašanju vodstva mora organizacija znati ugotoviti, kdo je uporabljal UI, kateri model ali agent je bil uporabljen, do katerih podatkov je dostopal, kaj je ustvaril ali izvedel, kdo je dejanje odobril in kdaj se je vse to zgodilo.

Pravilnik je pomemben, vendar sam po sebi še ne dokazuje, da so se pravila v konkretnem primeru izvajala. Za to je potrebna ustrezna in preverljiva revizijska sled.

Pomanjkanje nadzora ni le administrativna težava

Umetna inteligenca se vse bolj povezuje z varstvom podatkov, kibernetsko varnostjo, upravljanjem tveganj in odgovornostjo vodstva. Nenadzorovana uporaba zato ni zgolj tehnično tveganje, ampak ima lahko tudi finančne in pravne posledice.

Za organizacije v EU je pomembna Uredba EU o umetni inteligenci (AI Act). Za določene kršitve obveznosti, povezanih z visokotveganimi sistemi in preglednostjo, so predvidene globe do 15 milijonov evrov oziroma 3 % svetovnega letnega prometa. Za posredovanje nepravilnih, nepopolnih ali zavajajočih informacij pristojnim organom so predvidene globe do 7,5 milijona evrov oziroma 1 % prometa. Za kršitve prepovedanih praks lahko globe dosežejo do 35 milijonov evrov oziroma 7 % prometa.

V Sloveniji je pomemben tudi Zakon o izvajanju uredbe EU o določitvi harmoniziranih pravil o umetni inteligenci (ZIUDHPUI). Ta za določene kršitve predvideva globe od 25.000 do 250.000 evrov za pravne osebe ter od 100.000 do 450.000 evrov za velike gospodarske družbe.

Za organizacije v določenih kritičnih in drugih sektorjih je relevanten tudi Zakon o informacijski varnosti (ZInfV-1), ki v slovenski pravni red prenaša direktivo NIS2. Za določene kršitve lahko globe pri bistvenih subjektih dosežejo 10 milijonov evrov oziroma 2 % letnega prometa, pri pomembnih subjektih pa 7 milijonov evrov oziroma 1,4 % prometa. Zakon predvideva tudi globe za odgovorne osebe, pri bistvenih subjektih do 10.000 evrov.

Dejanska višina sankcij je odvisna od vrste kršitve, statusa organizacije in zakonsko določenih meril. Pomembno je tudi, da navedeni predpisi ne veljajo enako za vsako uporabo UI in vsako organizacijo.

Globe niso edina posledica. Incident lahko pomeni razkritje poslovnih informacij, izgubo zaupanja strank, prekinitve procesov, stroške preiskave in omejitve pri nadaljnji uporabi rešitev UI. Upravljanje umetne inteligence zato ni več zgolj vprašanje oddelka IT, temveč tudi odgovornost vodstva.

Nadzor, ki omogoča varno uporabo umetne inteligence

Na sedem vprašanj ni mogoče trajno odgovoriti zgolj s pravilnikom. Organizacije potrebujejo tudi tehnične mehanizme, ki pravila dejansko izvajajo. Cilj ni omejevati uporabe UI, temveč zaposlenim omogočiti, da jo lahko uporabljajo širše, varneje in učinkoviteje.

Prav na tem temelji AILA – platforma za upravljanje, nadzor in agentsko umetno inteligenco, ki jo razvija slovensko podjetje CREAPLUS.

AILA ni zgolj še en klepetalni pomočnik. Predstavlja skupno tehnološko plast, prek katere lahko organizacija upravlja uporabo podprtih modelov, pomočnikov in agentov, določa pravice dostopa do poslovnih podatkov in izvaja pravila uporabe. Pri občutljivih dejanjih agentov je mogoče predvideti potrditev človeka, revizijska sled pa omogoča pregled nad interakcijami in izvedenimi dejanji v okviru povezanih sistemov.

Platforma ni vezana na enega samega ponudnika modelov. Omogoča uporabo različnih podprtih modelov ter možnosti uvedbe v oblaku, na lastni infrastrukturi ali hibridno, glede na zahteve in izbrano arhitekturo organizacije.

Modeli se bodo menjali, pomočniki in agenti pa bodo prevzemali vse več nalog. Pravila, nadzor in odgovornost morajo kljub temu ostati v rokah organizacije. Podjetja ne potrebujejo manj umetne inteligence, temveč ustrezen nadzor, da jo lahko uporabljajo še širše.

Več informacij: https://aila-platform.com/sl/