يشير منع تسرب بيانات الذكاء الاصطناعي إلى السياسات والضوابط التقنية والممارسات التنظيمية التي تمنع تعرض المعلومات التجارية الحساسة أو الاحتفاظ بها أو إساءة استخدامها عندما يتفاعل الموظفون والأنظمة مع أدوات الذكاء الاصطناعي. وهو يعالج فئة من فقدان البيانات لم تُصمَّم أدوات الوقاية التقليدية لاكتشافها.

المشكلة بسيطة بشكل خادع في آلياتها، ومنتشرة بشكل خادع في حدوثها. يلصق موظف عقد عميل في أداة ذكاء اصطناعي للحصول على ملخص. يقدم مطور برمجي شيفرة مصدرية ملكية إلى مساعد ترميز لإصلاح خطأ. يقدم عضو في فريق المالية مسودة تقرير أرباح إلى أداة كتابة بالذكاء الاصطناعي لتنقيحها. في كل حالة، أنجز الموظف شيئاً مفيداً. وفي كل حالة، انتقلت بيانات تنظيمية حساسة إلى بنية تحتية لا تتحكم فيها المؤسسة، وفقاً لشروط خدمة لم يقرأها الموظف قط، مع ممارسات احتفاظ واستخدام قد تتضمن تدريب النماذج على ذلك المحتوى. لم يُعلِّم أي جدار حماية ذلك. ولم يُطلَق أي تنبيه DLP. ولم يلتقط أي سجل تدقيق ذلك بصيغة يمكن لفرق الامتثال التعامل معها. هذه هي مشكلة تسرب بيانات الذكاء الاصطناعي، وهي تتكشف عبر مؤسسات من جميع الأحجام والصناعات بنطاق لم تواكبه بعد معظم برامج الأمن. يشرح هذا الدليل ما يدفع تسرب بيانات الذكاء الاصطناعي، وأين يخلق أخطر تعرض، وما تحتاج المؤسسات إلى وضعه لمنعه.

فهم سبب إنشاء أدوات الذكاء الاصطناعي لفئة تسرب بيانات خاصة بها

القناة التي تتجاوز الضوابط الحالية

تعمل أدوات منع فقدان البيانات التقليدية عن طريق مراقبة قنوات البيانات المعروفة وتطبيق قواعد لاكتشاف المحتوى الحساس الذي يتحرك من خلالها. يتم فحص مرفقات البريد الإلكتروني. يتم مراجعة عمليات نقل الملفات إلى التخزين السحابي. يتم تسجيل عمليات الكتابة على أجهزة USB. تعكس هذه الضوابط نموذجاً لحركة البيانات كان دقيقاً قبل أن تصبح أدوات الذكاء الاصطناعي جزءاً قياسياً من مكان العمل.

تمثل أدوات الذكاء الاصطناعي قناة بيانات لا تصنفها أو تراقبها معظم بنيات DLP الحالية بشكل صحيح. من منظور حركة الشبكة، يبدو موظف يقدم وثيقة سرية إلى أداة ذكاء اصطناعي مطابقاً تماماً لموظف يستخدم أي تطبيق ويب آخر. لا يمكن تمييز طلب HTTPS إلى خوادم أداة الذكاء الاصطناعي على طبقة الشبكة عن طلب إلى تطبيق إنتاجية أو قاعدة بيانات بحثية أو موقع إخباري. ترى أداة DLP حركة ويب مسموحاً بها. لا يرى فريق الأمن شيئاً. لقد غادرت البيانات الحساسة المبنى.

هذه الفجوة المعمارية هي السبب في أن منع تسرب بيانات الذكاء الاصطناعي يتطلب اهتماماً مخصصاً بدلاً من افتراض أن الضوابط الحالية تغطيه. نموذج التهديد مختلف، وقناة البيانات مختلفة، والضوابط المطلوبة لمعالجته مختلفة عن تلك التي تتعامل مع سيناريوهات فقدان البيانات التقليدية.

ما يحدث للبيانات بعد دخولها أداة ذكاء اصطناعي

تعتمد مخاطر تسرب البيانات المحددة على ما يفعله بائعو الذكاء الاصطناعي بالبيانات المقدمة إلى أنظمتهم، والتي تتفاوت بشكل كبير عبر البائعين والمنتجات والمستويات. فهم نطاق الممارسات يساعد المؤسسات على معايرة جهود الوقاية حول المخاطر الفعلية بدلاً من قلق معمم.

استخدام تدريب النموذج هو الخطر الذي يحول بشكل مباشر حدث تعرض البيانات إلى مشكلة تسرب دائمة. عندما تسمح شروط خدمة البائع باستخدام المحتوى المُقدَّم لتحسين نموذجهم، فإن البيانات لا تمر فقط عبر أنظمتهم مؤقتاً. بل قد تؤثر على مخرجات النموذج المستقبلية بطرق قد تظهر شظايا من تلك المعلومات في الردود على مستخدمين آخرين. تحظر اتفاقيات المؤسسات مع كبار البائعين هذا كشرط قياسي، لكن المستويات الاستهلاكية والمجانية تسمح به عادةً، والموظفون الذين يستخدمون حسابات شخصية لمهام العمل يعملون عادةً وفق شروط استهلاكية.

يخلق الاحتفاظ بسجلات الاستدلال نافذة تعرض محدودة بالوقت بدلاً من خطر تدريب دائم. يحتفظ معظم بائعي الذكاء الاصطناعي بسجلات للاستعلامات والاستجابات لفترات محددة لأغراض التصحيح وضمان الجودة والامتثال القانوني. خلال فترة الاحتفاظ هذه، توجد البيانات الحساسة المقدمة في تلك الاستعلامات على البنية التحتية للبائع وقد يصل إليها موظفو البائع، وتخضع لضوابط أمن البائع الخاصة، وقد تستجيب لإجراءات قانونية موجهة إلى البائع.

يحدث نقل البيانات عبر الحدود عندما تكون البنية التحتية لاستدلال الذكاء الاصطناعي موجودة في ولاية قضائية مختلفة عن المؤسسة المقدمة للبيانات. بالنسبة للمؤسسات ذات التزامات إقامة البيانات، يخلق هذا تعرضاً للامتثال مستقلاً عن أي فشل أمني. قد تكون البيانات آمنة تقنياً على البنية التحتية للبائع بينما تنتهك في الوقت نفسه المتطلبات التنظيمية حول مكان معالجتها.

يساعد فهم كيفية معالجة أُطر أمن الذكاء الاصطناعي لكل من فئات مخاطر معالجة البيانات المحددة هذه المؤسسات على بناء برامج وقاية تستهدف المخاطر الفعلية التي يخلقها مشهد أدوات الذكاء الاصطناعي لديها بدلاً من مخاوف عامة لفقدان البيانات.

أين يخلق تسرب بيانات الذكاء الاصطناعي أخطر تعرض

فئات البيانات المنظمة والسرية الأكثر عرضة للخطر

لا تحمل جميع البيانات التنظيمية مخاطر تسرب متساوية. تشترك فئات البيانات التي تخلق أخطر تعرض عند دخولها أنظمة ذكاء اصطناعي غير مصرح بها في خاصية مشتركة: تحكم معالجتها التزامات قانونية أو تعهدات تعاقدية أو حساسية تنافسية تجعل الإفصاح غير المصرح به مكلفاً بطرق تتجاوز فقدان المعلومات الفوري.

تخلق البيانات الشخصية الخاضعة للائحة GDPR أو HIPAA أو أُطر معادلة تعرضاً تنظيمياً عند معالجتها عبر أدوات ذكاء اصطناعي دون الأساس القانوني واتفاقيات البائع والضمانات التقنية التي تتطلبها تلك الأطر. موظف واحد يقدم جدول بيانات لمعلومات شخصية للعملاء إلى أداة ذكاء اصطناعي استهلاكية لتنظيف البيانات قد يكون أنشأ خرقاً للبيانات قابلاً للإبلاغ بموجب GDPR، وانتهاكاً لاتفاقية شريك أعمال بموجب HIPAA، وحادثة امتثال بموجب أي عدد من اللوائح الخاصة بالقطاع، كل ذلك في الوقت الذي يستغرقه لصق المحتوى في نافذة دردشة.

يخلق المحتوى المحمي قانونياً المقدم إلى أدوات الذكاء الاصطناعي مخاوف بشأن امتياز المحامي والعميل لم تعمل عليها فرق قانونية في معظم المؤسسات بشكل كامل بعد. ما إذا كانت معالجة أداة الذكاء الاصطناعي تشكل إفصاحاً يتنازل عن الامتياز هو سؤال قانوني متطور في معظم الولايات القضائية، والموقف التنظيمي الأكثر أماناً هو منع المحتوى المحمي من الوصول إلى أدوات الذكاء الاصطناعي التي لا تكون معالجتها مصممة ومتعاقد عليها خصيصاً لمتطلبات القطاع القانوني.

تمثل المعلومات التقنية الملكية بما في ذلك الشيفرة المصدرية ومواصفات المنتج والخوارزميات وبيانات البحث ذكاءً تنافسياً تستثمر المؤسسات بشكل كبير لحمايته. مساعدو ترميز الذكاء الاصطناعي وأدوات تحليل الوثائق هم من بين أكثر أدوات الذكاء الاصطناعي شيوعاً في مؤسسات التكنولوجيا والبحث، وهي أيضاً الأدوات الأكثر استخداماً مع فئات البيانات نفسها التي ترغب المؤسسات في الحفاظ عليها من الوصول إلى الأنظمة الخارجية.

فئة البيانات	الخطر الأساسي من تسرب الذكاء الاصطناعي	العواقب التنظيمية أو القانونية
البيانات الشخصية للعملاء	معالجة غير مصرح بها من طرف ثالث	إخطار خرق GDPR، انتهاك HIPAA، عقوبات خاصة بالقطاع
البيانات الشخصية للموظفين	تعرض بيانات الموارد البشرية عبر أدوات الموارد البشرية بالذكاء الاصطناعي	انتهاكات قانون العمل وحماية البيانات
المحتوى المحمي قانونياً	تنازل محتمل عن الامتياز عبر الإفصاح	فقدان الحماية القانونية للأمور الحساسة
الشيفرة المصدرية الملكية	تعرض الذكاء التنافسي	فقدان الملكية الفكرية، خرق تعاقدي مع العملاء
معلومات المسودة المالية	معلومات غير علنية جوهرية قبل الإفصاح	تعرض لقانون الأوراق المالية، خطر الإفصاح الانتقائي
معلومات العميل السرية	خرق التزامات السرية المهنية	ضرر في علاقة العميل، مسؤولية مهنية
الأسرار التجارية	الذكاء التنافسي عبر تدريب النموذج	فقدان حماية السر التجاري إذا تم الإفصاح علناً

بُعد الذكاء الاصطناعي الظلي

أصعب تحدٍّ لمنع تسرب بيانات الذكاء الاصطناعي ليس الأدوات التي وافقت عليها المؤسسات ونشرتها بموجب أطر الحوكمة. بل الأدوات التي يستخدمها الموظفون دون معرفة أو إشراف تنظيمي. يولد الذكاء الاصطناعي الظلي، أي استخدام أدوات الذكاء الاصطناعي خارج أي برنامج معتمد، غالبية حوادث تسرب بيانات الذكاء الاصطناعي في معظم المؤسسات لأنه يعمل بالكامل خارج الضوابط التي يضعها برنامج حوكمة الذكاء الاصطناعي.

استخدام الذكاء الاصطناعي الظلي ليس في الأساس فشل امتثال من جانب فاعلين سيئين. بل استجابة إنتاجية من موظفين اكتشفوا أن أدوات الذكاء الاصطناعي تساعد عملهم وتبنوا أي شيء يمكن الوصول إليه بدلاً من انتظار عمليات الموافقة التنظيمية التي قد لا تكون لها جداول زمنية واضحة. فهم هذا الدافع ضروري لتصميم نهج وقاية تقلل فعلياً من التسرب بدلاً من دفع الاستخدام إلى مزيد من السرية.

تجمع أكثر طرق منع الذكاء الاصطناعي الظلي فعالية بين الرؤية في الأدوات المستخدمة عبر المؤسسة، وبرنامج أدوات معتمد واضح ويسهل الوصول إليه يلبي احتياجات الموظفين الفعلية، وقناة إفصاح غير عقابية للموظفين الذين استخدموا بالفعل أدوات خارج البرنامج المعتمد. تجد المؤسسات التي تستجيب للذكاء الاصطناعي الظلي بالحظر بشكل أساسي أن حاجة الإنتاجية الأساسية لا تزال تُلبَّى عبر وسائل أقل وضوحاً تدريجياً، مما يخلق تعرضاً أكبر للتسرب بدلاً من أقل.

تساعد مراجعة كيفية تأثير قرارات بنية الذكاء الاصطناعي بشأن نشر أدوات الذكاء الاصطناعي المعتمدة على جاذبية البدائل الظلية المؤسسات على تصميم برنامجها المعتمد ليكون مسار المقاومة الأقل بدلاً من مسار احتكاك الامتثال الأعلى.

الضوابط التقنية والتنظيمية التي تنجح فعلاً

الضوابط التقنية لمنع تسرب بيانات الذكاء الاصطناعي

تعمل الضوابط التقنية لمنع تسرب بيانات الذكاء الاصطناعي على عدة طبقات، تعالج كل منها جوانب مختلفة من كيفية وصول البيانات الحساسة إلى أنظمة الذكاء الاصطناعي. تطبق البرامج الفعالة هذه الضوابط في طبقات بدلاً من الاعتماد على أي نهج وحيد.

يمكن لضوابط مستوى الشبكة تقييد الوصول إلى خدمات الذكاء الاصطناعي غير المعتمدة من شبكات وأجهزة المؤسسة عن طريق حظر أو مراقبة حركة المرور إلى نطاقات أدوات الذكاء الاصطناعي غير المدرجة في القائمة المعتمدة. هذا النهج أكثر فعالية على شبكات الشركات المُدارة منه في بيئات العمل عن بُعد حيث قد يستخدم الموظفون شبكات وأجهزة شخصية، ويتطلب صيانة مستمرة مع ظهور أدوات ذكاء اصطناعي جديدة وتغير الأدوات الحالية لبنيتها التحتية للنطاقات.

تعمل الوقاية من فقدان البيانات في نقطة النهاية المُهيَّأة للتعرف على أنماط تحميل أدوات الذكاء الاصطناعي وتطبيق فحص المحتوى على البيانات المقدمة عبر واجهات الذكاء الاصطناعي على توسيع تغطية DLP إلى قناة الذكاء الاصطناعي التي تفوتها بنيات DLP القديمة. يتطلب هذا أدوات DLP مُهيَّأة خصيصاً لأنماط حركة مرور أدوات الذكاء الاصطناعي بدلاً من قنوات التسرب التقليدية فقط.

تمثل امتدادات المتصفح والضوابط المعتمدة على الوكلاء التي تفرض سياسات تصنيف البيانات في نقطة التقديم، وتمنع تقديم المحتوى المصنف فوق عتبة حساسية محددة إلى أدوات الذكاء الاصطناعي خارج البرنامج المعتمد، نهجاً أكثر استهدافاً من الحظر على مستوى الشبكة. يمكن تهيئة هذه الضوابط لتحذير المستخدمين الذين يقتربون من حدود السياسة بدلاً من الحظر فقط بعد تجاوزها، مما يخلق آلية تعزيز سلوكي إلى جانب الضابط التقني.

ظهرت منتجات بوابة الذكاء الاصطناعي للمؤسسات كفئة ضابطة مخصصة توجه كل حركة مرور الذكاء الاصطناعي التنظيمية عبر طبقة فحص وإنفاذ سياسة مركزية. توفر هذه المنتجات رؤية لاستخدام أدوات الذكاء الاصطناعي عبر المؤسسة، وتطبق تصنيف البيانات وفحص المحتوى على جميع تقديمات الذكاء الاصطناعي، وتنفذ سياسات الأدوات المعتمدة، وتنتج سجلات تدقيق بصيغ يمكن لفرق الامتثال والأمن العمل بها.

نوع الضابط	ما يعالجه	القيد
حظر الشبكة	يمنع الوصول إلى أدوات الذكاء الاصطناعي غير المعتمدة على شبكة الشركة	غير فعال على الشبكات الشخصية والأجهزة غير المُدارة
DLP نقطة النهاية للذكاء الاصطناعي	يفحص المحتوى المقدم عبر واجهات الذكاء الاصطناعي	يتطلب تهيئة خاصة بالذكاء الاصطناعي تتجاوز DLP القياسي
ضوابط امتداد المتصفح	إنفاذ السياسة عند نقطة تقديم الذكاء الاصطناعي	التغطية محدودة ببيئات المتصفح المُدار
بوابة الذكاء الاصطناعي للمؤسسات	رؤية وفحص وإنفاذ سياسة مركزية	يتطلب توجيه كل حركة مرور الذكاء الاصطناعي عبر البنية التحتية للبوابة
تسميات تصنيف البيانات	توجه قرارات الموظفين بشأن ملاءمة أداة الذكاء الاصطناعي	يعتمد على امتثال الموظف بدلاً من الإنفاذ التقني
ضوابط الوصول بانعدام الثقة	تقصر الوصول إلى أدوات الذكاء الاصطناعي على المستخدمين المصرح لهم في سياقات محددة	لا تعالج محتوى التقديمات المصرح بها

الضوابط التنظيمية التي تكمل الوقاية التقنية

تقلل الضوابط التقنية من التسرب عبر الإنفاذ الآلي. تقلل الضوابط التنظيمية من التسرب عبر حكم الموظف وسلوكه الذي يحدد ما إذا كانت الضوابط التقنية تُتجاوز أو يُحتال عليها أو تُدمج بصدق في كيفية إنجاز العمل.

تعطي سياسة تصنيف بيانات واضحة تربط مستويات الحساسية ببيئات معالجة الذكاء الاصطناعي المسموح بها الموظفين قاعدة قرار يمكنهم تطبيقها باستمرار دون استشارة وثائق السياسة لكل مهمة. عندما يعرف موظف أن البيانات المصنفة سرية لا يمكن معالجتها إلا عبر أدوات ذكاء اصطناعي محلية أو أدوات سحابية بمستوى المؤسسة مع اتفاقيات بيانات موقعة، يكون لديه دليل قابل للتنفيذ بدلاً من تعليمات غامضة بتوخي الحذر.

يُنتج التدريب الذي يستخدم سيناريوهات محددة وخاصة بالدور بدلاً من محتوى التوعية العام لحماية البيانات تغييراً سلوكياً لا يحققه التدريب المجرد. مهندس يستطيع وصف ما يحدث للشيفرة المصدرية المقدمة إلى مساعد ترميز شائع وفقاً لشروط خدمته الافتراضية لديه معرفة عملية تغير سلوكه. مهندس حضر تدريباً على مبادئ حماية البيانات لديه وعي قد يترجم أو لا يترجم إلى سلوك مختلف عندما يخلق موعد نهائي ضغطاً لاستخدام أسرع أداة متاحة.

تخلق عمليات الإفصاح عن الحوادث التي تعامل الإفصاحات الأولى عن الاستخدام السابق للذكاء الاصطناعي الظلي كفرص تعلم بدلاً من انتهاكات امتثال السلامة النفسية التي تشجع الموظفين على إظهار التعرض الحالي بدلاً من إخفائه. التكلفة التنظيمية للتسرب غير المعروف أعلى من تكلفة التسرب المعروف الذي يمكن تقييمه ومعالجته.

يساعد فهم كيفية توصيل ميزات الذكاء الاصطناعي في أدوات الذكاء الاصطناعي للمؤسسات المعتمدة لممارسات معالجة بياناتها للمستخدمين المؤسسات على بناء تدريب يربط متطلبات السياسة بسلوكيات الأدوات المحددة التي يواجهها الموظفون في الممارسة بدلاً من معاملة الارتباط بين السياسة والأداة كشيء يجب على الموظفين اكتشافه بشكل مستقل.

بناء برنامج لمنع تسرب بيانات الذكاء الاصطناعي

أساس الجرد والتقييم

تبدأ برامج منع تسرب بيانات الذكاء الاصطناعي الناجحة بصورة دقيقة لأدوات الذكاء الاصطناعي قيد الاستخدام عبر المؤسسة، وليس فقط الأدوات التي تمت الموافقة عليها رسمياً. تحدد الفجوة بين هذين الجردين النطاق الفوري لبرنامج الوقاية.

يتطلب بناء جرد أدوات الذكاء الاصطناعي الفعلي الجمع بين مصادر بيانات متعددة لأن أي مصدر وحيد لا يلتقط الصورة الكاملة. تلتقط جرد البرامج المُدارة من قِبَل تكنولوجيا المعلومات الأدوات المُشتراة رسمياً. تكشف تحليلات حركة الشبكة عن النطاقات التي تصل إليها حركة أدوات الذكاء الاصطناعي عبر المؤسسة. تكشف استطلاعات الموظفين والمقابلات الإدارية الأدوات التي يستخدمها الموظفون والتي لا تراها مشتريات تكنولوجيا المعلومات. تحدد جرد امتداد المتصفح ونقطة النهاية أدوات الذكاء الاصطناعي المثبتة على مستوى الجهاز الفردي. الجرد الكامل هو اتحاد كل هذه المصادر، وهو دائماً تقريباً أكبر وأكثر تنوعاً مما تتوقعه أي مؤسسة قبل القيام بالتمرين.

بمجرد وجود الجرد، تحتاج كل أداة إلى تقييم مقابل متطلبات أمن البيانات التي تغطي ممارسات معالجة بيانات البائع وحالة الشهادة وتوافر الحماية التعاقدية وفئات البيانات التي يستخدمها الموظفون فعلاً معها. ناتج التقييم هو تصنيف متدرج المخاطر لكل أداة ذكاء اصطناعي في الجرد، من معتمد لجميع فئات البيانات إلى معتمد بقيود إلى محظور بانتظار المراجعة إلى محظور بشكل تام.

حماية البائع والحماية التعاقدية

برامج الوقاية التي تعتمد فقط على الضوابط السلوكية والتقنية دون حماية تعاقدية مقابلة تخلق هيكلاً للحوكمة غير مكتمل في أساسه. تقلل الضوابط التقنية من احتمالية التسرب عبر الأدوات غير المصرح بها. تحدد الحماية التعاقدية الحماية المطبقة عند استخدام الأدوات المصرح بها وما هو الحل المتاح للمؤسسة عند عدم احترام تلك الحماية.

يحتاج كل بائع ذكاء اصطناعي تعالج أدواته بيانات تنظيمية فوق أدنى مستوى حساسية إلى اتفاقية معالجة بيانات موقعة تحظر صراحةً استخدام بيانات التدريب، وتحدد حدود الاحتفاظ، وتلتزم بإخطار الخرق ضمن الأطر الزمنية المطلوبة، وتوثق ضوابط الأمن المطبقة على البيانات التنظيمية. بالنسبة للمؤسسات الصحية، تعتبر اتفاقية شريك أعمال تغطي منتج الذكاء الاصطناعي المحدد شرطاً قانونياً مسبقاً بدلاً من تفضيل تعاقدي.

يحتاج برنامج الحماية التعاقدية إلى صيانة تماماً مثل الضوابط التقنية. يحدّث البائعون شروط خدمتهم. قد تنفصل المنتجات التي كانت مشمولة باتفاقية واحدة عنها بسبب تغيير محفظة المنتجات. تنتهي فترات الشهادات. يمنع بناء دورة مراجعة سنوية لاتفاقيات البائع في البرنامج الموقف الذي تتم فيه معالجة البيانات التنظيمية بموجب اتفاقيات لم تعد تعكس الممارسات الفعلية للبائع.

دليل ذكاء اصطناعي شامل حول هيكلة برامج منع تسرب بيانات الذكاء الاصطناعي من الجرد والتقييم عبر الضوابط التقنية وإدارة البائعين يساعد المؤسسات على بناء برامج تعالج تحدي الوقاية الكامل بدلاً من الجزء الأكثر وضوحاً منه.

أشياء يجب معرفتها

عدة حقائق مهمة حول منع تسرب بيانات الذكاء الاصطناعي تواجهها المؤسسات باستمرار أثناء بناء برامجها:

تختلف منتجات المستوى الاستهلاكي من بائعي الذكاء الاصطناعي للمؤسسات في ممارسات معالجة البيانات عن منتجاتها المؤسسية، وأحياناً بشكل كبير. قد يكون لقدرة الذكاء الاصطناعي الأساسية نفسها التي يتم الوصول إليها عبر حساب شخصي وعبر حساب مؤسسي سياسات بيانات تدريب مختلفة تماماً، وممارسات احتفاظ، وتوافر حماية تعاقدية. الموظفون الذين يصلون إلى أدوات الذكاء الاصطناعي للمؤسسات عبر حسابات شخصية لأن الحسابات التنظيمية تتطلب موافقة أو تكلف مالاً يستخدمون حماية مستوى استهلاكي على بيانات العمل دون إدراك الفرق.

تنطبق قاعدة الـ 30٪ للذكاء الاصطناعي بشكل مفيد على تصميم برنامج منع تسرب البيانات. يجب أن تتعامل الضوابط التقنية الآلية مع ما يقرب من 30٪ من عمل الوقاية، وتحديداً مهام إنفاذ السياسة عالية التردد التي تتعامل معها الأتمتة باستمرار على نطاق واسع. يغطي الحكم البشري والحوكمة التنظيمية الـ 70٪ المتبقية التي تشمل تقييم المخاطر وتقييم البائعين والاستجابة للحوادث والتدريب وبناء الثقافة الذي يحدد ما إذا كانت الضوابط التقنية مدمجة في كيفية إنجاز العمل فعلاً أم تُعامل كعقبات يجب التحايل عليها.

استخدام أدوات الذكاء الاصطناعي القائمة على المتصفح هو الفئة الأصعب في التحكم عبر الحظر على مستوى الشبكة وحده. يمثل الموظفون العاملون عن بُعد على شبكات شخصية، الذين يستخدمون أجهزة شخصية لمهام العمل، أو يصلون إلى أدوات الذكاء الاصطناعي عبر واجهات متصفح تشبه استخدام الويب العام، تحدياً تحكمياً تعالجه النهج المعتمدة على نقطة النهاية بشكل أفضل من تلك المعتمدة على الشبكة.

تخلق أدوات الذكاء الاصطناعي التوليدي المُضمنة في برامج الإنتاجية المستخدمة على نطاق واسع تعرضاً للتسرب لا يبدو وكأنه استخدام أداة ذكاء اصطناعي لمعظم الموظفين. عندما يستخدم معالج النصوص الذكاء الاصطناعي لاقتراح إكمالات النص، أو يستخدم جدول بيانات الذكاء الاصطناعي لتفسير إدخال البيانات، أو يستخدم عميل بريد إلكتروني الذكاء الاصطناعي لصياغة الردود، يستخدم الموظف الذكاء الاصطناعي دون أي من اتخاذ القرارات المتعمد الذي قد يدفعه للنظر في تصنيف البيانات. برامج الحوكمة التي تعالج فقط أدوات الذكاء الاصطناعي المستقلة لها نقاط عمياء هنا.

تمحور تحذير ستيفن هوكينغ بشأن الذكاء الاصطناعي حول الخطر الوجودي من الأنظمة فائقة الذكاء بدلاً من تسرب البيانات تحديداً، لكن حذره الأوسع بشأن التحرك بسرعة أكبر مع قدرة الذكاء الاصطناعي مقارنة بحوكمة الذكاء الاصطناعي يترجم مباشرة إلى مشكلة تسرب البيانات. المؤسسات التي تنشر أدوات الذكاء الاصطناعي بشكل أسرع مما يمكن لأطر حماية البيانات التكيف معه تخلق بالضبط التعرض غير المُدار الذي كان قلق هوكينغ العام بشأن حوكمة الذكاء الاصطناعي غير الكافية يشير إليه. الدرس العملي لمنع تسرب البيانات هو أن البنية التحتية للحوكمة بحاجة إلى التطور قبل نطاق النشر بدلاً من اللحاق به.

تحدد جودة سجل التدقيق مدى قدرة المؤسسات على الاستجابة لحوادث التسرب عند حدوثها. معرفة أن موظفاً قدم بيانات حساسة إلى أداة ذكاء اصطناعي غير مصرح بها أمر مفيد. معرفة البيانات المحددة التي تم تقديمها، ومتى، وماذا كانت استجابة أداة الذكاء الاصطناعي، وماذا فعل الموظف بتلك الاستجابة هو ما يجعل الاستجابة الفعالة للحوادث ممكنة. تحتاج البنية التحتية للتسجيل لمنع تسرب بيانات الذكاء الاصطناعي إلى البناء من أجل فائدة التحقيق في الحوادث، وليس مجرد رضا قائمة الامتثال.

يضيف الموظفون الدوليون والمكاتب تعقيد إقامة البيانات إلى منع التسرب. قد تثير أداة ذكاء اصطناعي معتمدة للاستخدام مع بيانات الأعمال غير الشخصية في ولاية قضائية واحدة انتهاكات إقامة البيانات عند استخدامها مع نفس فئات البيانات في ولاية أخرى. تحتاج المؤسسات متعددة الجنسيات إلى برامج منع تسرب البيانات تأخذ في الاعتبار التباين بين الولايات القضائية بدلاً من تطبيق سياسات عالمية موحدة دون حساسية جغرافية.

منع تسرب بيانات الذكاء الاصطناعي كانضباط مستمر

منع تسرب بيانات الذكاء الاصطناعي ليس مشروعاً له تاريخ إكمال. إنه انضباط تشغيلي مستمر يحتاج إلى التطور بوتيرة مشهد أدوات الذكاء الاصطناعي والبيئة التنظيمية والبصمة التنظيمية للذكاء الاصطناعي التي يحكمها. الأدوات التي لم تكن موجودة قبل اثني عشر شهراً هي أجزاء قياسية من سير عمل العديد من الموظفين اليوم. اللوائح التي كانت طموحة قبل عام هي متطلبات قابلة للتنفيذ الآن. قدرات الذكاء الاصطناعي التي كانت مقتصرة على الأدوات المستقلة مضمنة في البنية التحتية التشغيلية بطرق تطمس الحدود بين استخدام أداة الذكاء الاصطناعي واستخدام النظام العادي.

المؤسسات التي تبني منع تسرب بيانات الذكاء الاصطناعي كبرنامج تشغيلي مستدام، مع البنية التحتية للرؤية، وعمليات الحوكمة، والأسس الثقافية التي تجعله ذاتي التعزيز بدلاً من معتمد على الإنفاذ، تبني حماية تتراكم بمرور الوقت. كل أداة معتمدة تُضاف إلى البرنامج تقلل من جاذبية البدائل الظلية. كل دورة تدريبية تحسن حكم الموظف بشأن تصنيف البيانات واختيار الأداة. كل مراجعة لاتفاقية البائع تكتشف الانحراف بين الحماية الموثقة والفعلية قبل أن يخلق تعرضاً غير مكتشف.

البيانات التي تتدفق عبر أدوات الذكاء الاصطناعي في مؤسستك هي بعض من أكثر المعلومات حساسية التي تنتجها شركتك، تتم معالجتها في سياقات تكون فيها الضوابط العادية التي تحكم معالجة البيانات أقل نضجاً. بناء برنامج الوقاية الذي يحميها بشكل مناسب ليس تمريناً للامتثال. إنه استثمار أمني تأسيسي في الأعمال التي يمكّنها الذكاء الاصطناعي التي تصبحها مؤسستك بالفعل.

الأسئلة الشائعة

ما هو تسرب البيانات في الذكاء الاصطناعي؟

يشير تسرب البيانات في الذكاء الاصطناعي إلى تعرض المعلومات التنظيمية الحساسة من خلال استخدام أداة الذكاء الاصطناعي، يحدث عندما يقدم الموظفون بيانات سرية إلى أنظمة الذكاء الاصطناعي التي تخلق ممارسات معالجة بيانات بائعها أو سياسات الاحتفاظ بها أو استخدام بيانات التدريب إفصاحاً غير مصرح به يتجاوز الغرض المعالجي المقصود. يختلف عن تسرب البيانات التقليدي لأنه يحدث عبر قناة لا تراقبها أدوات DLP الحالية في الغالب، عبر إجراءات الموظفين المنتجة فعلاً بدلاً من الإهمال أو الضرر، ومع عواقب قد لا تشمل فقط التعرض الفوري ولكن التشفير المستمر للمعلومات الحساسة في البنية التحتية لنموذج البائع.

ما هي قاعدة الـ 30٪ للذكاء الاصطناعي؟

قاعدة الـ 30٪ للذكاء الاصطناعي هي المبدأ القائل بأن أنظمة الذكاء الاصطناعي والضوابط الآلية يجب أن تتعامل مع ما يقرب من 30٪ من سير عمل أو وظيفة برنامج، وتحديداً المهام عالية التردد، والمحددة جيداً، والقابلة للتنفيذ باستمرار حيث توفر الأتمتة فوائد كفاءة وموثوقية واضحة، بينما يغطي الحكم البشري والحوكمة الـ 70٪ المتبقية التي تشمل التقييم السياقي وقرارات المخاطر والمساءلة التي يجب أن تقع على عاتق الناس بدلاً من الأنظمة الآلية. في منع تسرب بيانات الذكاء الاصطناعي تحديداً، يعني هذا أن الضوابط التقنية الآلية تتعامل مع إنفاذ السياسة الروتيني بينما تمتلك الحوكمة البشرية تقييم المخاطر وتقييم البائعين والاستجابة للحوادث والأبعاد الثقافية والتدريبية التي تحدد ما إذا كانت الضوابط التقنية مدمجة في السلوك الفعلي.

ما كان تحذير ستيفن هوكينغ بشأن الذكاء الاصطناعي؟

تعلق تحذير ستيفن هوكينغ الأساسي بشأن الذكاء الاصطناعي بالخطر الوجودي المحتمل من الذكاء الاصطناعي العام الذي يتجاوز القدرات المعرفية البشرية ويسعى إلى أهداف غير متوافقة مع رفاهية الإنسان، معبراً عن قلقه من أن البشرية كانت تتحرك بسرعة كبيرة في تطوير قدرة الذكاء الاصطناعي دون اهتمام كافٍ بالسلامة والحوكمة. بينما كان قلقه موجهاً إلى الخطر الوجودي طويل المدى بدلاً من أمن بيانات الأعمال قصير المدى، فإن مبدأ الحوكمة الأساسي يترجم مباشرة إلى نشر الذكاء الاصطناعي العملي: المؤسسات التي تتقدم في قدرة الذكاء الاصطناعي بشكل أسرع مما يمكن لأطر الحوكمة لديها التكيف معه تخلق المخاطر غير المُدارة الناتجة عن القدرة دون المساءلة.

كيفية استخدام الذكاء الاصطناعي دون تسريب البيانات؟

يتطلب استخدام الذكاء الاصطناعي دون تسريب البيانات أربع ممارسات مطبقة باستمرار: تقديم البيانات التي تم تقييمها فقط مقابل فئات البيانات المعتمدة لأداة الذكاء الاصطناعي قبل كل استخدام، والاعتماد حصرياً على أدوات الذكاء الاصطناعي بمستوى المؤسسة مع اتفاقيات معالجة بيانات موقعة تحظر استخدام بيانات التدريب، وفهم ممارسات معالجة البيانات المحددة لكل أداة ذكاء اصطناعي تُستخدم في مهام العمل بما في ذلك تلك المضمنة في برامج الإنتاجية، واتباع سياسات تصنيف البيانات التنظيمية التي تحدد مستويات الحساسية المسموح بها مع أدوات الذكاء الاصطناعي. بالنسبة لفئات البيانات ذات الحساسية الأعلى، فإن النهج الوحيد المضاد للتسرب بالكامل هو استخدام أدوات الذكاء الاصطناعي المنشورة على بنية تحتية خاصة حيث لا تغادر البيانات أبداً محيط شبكة المؤسسة الخاصة.

ما الذي لا يجب أن تخبر به ChatGPT؟

من خلال واجهة المستخدم القياسية لـ ChatGPT، يجب على الموظفين عدم تقديم معلومات شخصية للعملاء، أو سجلات الموظفين، أو الاتصالات المحمية قانونياً، أو الشيفرة المصدرية الملكية أو الخوارزميات، أو مسودات الإفصاحات المالية أو المعلومات غير العلنية الجوهرية، أو الأسرار التجارية، أو معلومات العميل السرية، أو أي بيانات أخرى يخلق إفصاحها غير المصرح به عواقب قانونية أو تنظيمية أو تنافسية أو تعاقدية للمؤسسة. تعمل النسخة الاستهلاكية من ChatGPT بموجب شروط خدمة لا تشمل اتفاقيات معالجة البيانات، وحظر بيانات التدريب، والحماية التعاقدية التي تجعل أدوات الذكاء الاصطناعي بمستوى المؤسسة مناسبة لبيانات الأعمال، مما يعني أن المحتوى المقدم عبر الحسابات الشخصية قد يُحتفظ به ويُستخدم محتملاً بطرق لا يمكن للمؤسسات التحكم فيها أو حتى اكتشافها.