AI nástroje dnes zamestnancom pomáhajú písať e-maily, sumarizovať dokumenty, analyzovať dáta, pripravovať prezentácie či programovať. Firma pritom o ich používaní nemusí vôbec vedieť. A spolu s pracovným zadaním môžu do verejne dostupnej AI služby putovať aj informácie, ktoré mali zostať vo firme.
Na prvý pohľad ide o praktickú pomoc. Zamestnanec potrebuje rýchlo spracovať dlhý dokument, preto ho vloží do AI nástroja a požiada o zhrnutie. Obchodník si nechá upraviť ponuku pre konkrétneho zákazníka. Vývojár požiada AI o pomoc s časťou zdrojového kódu. Personalista si dá preformulovať interný dokument.
Práca je hotová rýchlejšie. Málokto však rieši, aké údaje nástroj dostal, kde ich spracoval a čo sa s nimi bude diať ďalej.
AI sa vo firmách rozšírila rýchlejšie než pravidlá
Podľa prieskumu Bezpečnosť slovenských firiem v ére AI od spoločnosti ESET používa AI aplikácie 59 % slovenských organizácií. Internú politiku, ktorá obmedzuje používanie AI mimo schválených procesov alebo platforiem, má však zavedenú iba približne každá piata firma.
Skutočné používanie môže byť ešte rozšírenejšie. Zamestnanci totiž môžu AI nástroje využívať z vlastnej iniciatívy, bez vedomia IT oddelenia alebo vedenia.
Tento jav sa označuje ako shadow AI, teda tieňová umelá inteligencia. Zahŕňa používanie neschválených chatbotov, generátorov obsahu, prekladacích služieb, nástrojov na prácu s dokumentmi či programátorských asistentov.
Nie vždy ide o vedomé obchádzanie pravidiel. Firma žiadne pravidlá možno zatiaľ nemá alebo ich zamestnancom nevysvetlila. Pracovník potom siahne po nástroji, ktorý pozná zo súkromia, pretože mu umožní dokončiť úlohu rýchlejšie.
Keď neexistujú pravidlá, rozhoduje každý sám
Bez jasných pokynov musí zamestnanec sám posúdiť, čo ešte môže do AI vložiť a čo už nie. Od človeka mimo oblasti IT bezpečnosti sa pritom očakáva, že správne vyhodnotí technické, právne aj obchodné riziká služby, ktorú možno začal používať pred niekoľkými minútami.
Do AI nástroja sa tak môžu dostať napríklad:
- osobné údaje zamestnancov alebo zákazníkov,
- interné finančné informácie,
- zmluvy a obchodné ponuky,
- zdrojový kód,
- zápisnice zo stretnutí,
- prihlasovacie alebo technické údaje,
- pripravované stratégie a obchodné plány,
- dokumenty určené iba pre interné použitie.
Problémom nemusí byť iba prípadný únik dát. Firma stráca prehľad o tom, ktoré nástroje pracujú s jej informáciami, akej legislatíve podliehajú, ako dlho údaje uchovávajú a či ich môžu použiť na ďalšie zlepšovanie svojich služieb.
Zodpovednosť za výsledný pracovný výstup navyše zostáva na organizácii. AI môže vytvoriť nepresnú analýzu, nesprávne interpretovať dokument, vygenerovať chybný kód alebo odkázať používateľa na nebezpečný zdroj. Presvedčivá formulácia ešte neznamená, že je odpoveď správna.
Firmy si riziko uvedomujú, ale prax zaostáva
Až 65 % respondentov prieskumu súhlasí s tým, že využívanie AI aplikácií prináša ďalšie bezpečnostné riziká. Napriek tomu má pravidlá pre ich používanie zavedených iba 21 % organizácií.
Tento rozdiel naznačuje, že problémom nie je iba nízke povedomie. Mnohé firmy vedia, že AI prináša nové riziká, ale zatiaľ ich nepremenili na konkrétne opatrenia.
Dôvodom môže byť obava, že pravidlá spomalia inovácie. Nedáva však zmysel postaviť zamestnancov pred voľbu medzi úplným zákazom a nekontrolovaným používaním.
Funkčná AI politika má vytvoriť bezpečný priestor, v ktorom môžu ľudia technológiu využívať. Mala by im zrozumiteľne povedať:
- ktoré AI nástroje sú vo firme schválené,
- na aké úlohy ich možno používať,
- aké informácie do nich nesmú zadávať,
- ako majú overovať vytvorené výstupy,
- na koho sa obrátiť pri pochybnostiach.
Takéto pravidlá by mali vychádzať z reálnej práce zamestnancov. Ak budú príliš všeobecné alebo komplikované, ľudia ich pri každodennej práci nebudú vedieť použiť.
Zákaz AI nemusí problém vyriešiť
Úplný zákaz môže pôsobiť ako najjednoduchšie riešenie. V praxi však môže presunúť používanie AI mimo dohľadu firmy. Zamestnanci budú nástroje využívať cez súkromné účty alebo zariadenia a organizácia stratí aj tú časť kontroly, ktorú by mohla mať.
Lepším východiskom je zistiť, ako už dnes pracovníci AI používajú a kde im prináša najväčší úžitok. Firma potom môže vybrať bezpečnejšie nástroje, nastaviť prístupové oprávnenia a vytvoriť pravidlá primerané konkrétnym situáciám.
Dôležitou súčasťou je aj vzdelávanie. Zamestnanec by nemal poznať iba zoznam zakázaných údajov. Mal by rozumieť tomu, prečo môžu byť určité informácie citlivé a prečo nestačí odstrániť z dokumentu meno zákazníka, ak ho možno identifikovať podľa ďalších údajov.
AI už nie je iba chatbot
Riziká sa rozširujú spolu so schopnosťami umelej inteligencie. Do pracovného prostredia prichádzajú AI agenti, ktorí dokážu pristupovať k dokumentom, komunikovať s ďalšími aplikáciami a samostatne vykonávať viacero krokov.
Ich schopnosti môžu rozširovať takzvané AI skilly, teda balíčky inštrukcií, skriptov a podporných materiálov. Výskumníci spoločnosti ESET analyzovali takmer 900-tisíc takýchto skillov a identifikovali medzi nimi desaťtisíce podozrivých a tisíce škodlivých prípadov.
Čím viac oprávnení AI nástroj dostane, tým dôležitejšie je vedieť, odkiaľ pochádza, k čomu má prístup a či je jeho správanie monitorované. Nástroj, ktorý iba navrhne text e-mailu, predstavuje iný typ rizika než agent, ktorý môže pracovať so súbormi alebo vykonávať úlohy v interných systémoch.
Na nové výzvy súvisiace s umelou inteligenciou reaguje aj ponuka spoločnosti ESET. Do nových balíkov firemných riešení ESET PROTECT pridala funkcie na ochranu pri konverzáciách s AI chatbotmi, monitorovanie správania umelej inteligencie aj ochranu AI agentov.
Prvým krokom je získať prehľad
Bezpečné používanie AI sa začína otázkou: Ako naši zamestnanci používajú AI už dnes?
Firma by mala poznať najčastejšie používané nástroje, pracovné situácie, v ktorých pomáhajú, aj typy informácií, s ktorými pracujú. Až potom môže nastaviť pravidlá, ktoré budú dostatočne bezpečné a zároveň použiteľné.
Umelá inteligencia môže firmám priniesť vyššiu produktivitu a uľahčiť každodennú prácu. Ak sa však používa bez prehľadu a spoločných pravidiel, produktivita môže rásť na úkor bezpečnosti.
Ako je na tom vaša firma?
Ako rozšírené je používanie AI v slovenských organizáciách, aké riziká firmy vnímajú a kde chcú umelú inteligenciu využiť pri ochrane svojho podnikania?
Odpovede na tieto a mnohé ďalšie otázky prináša prieskum Bezpečnosť slovenských firiem v ére AI.
