Shadow AI felmérés AI használati szabályzattal
Feltárjuk, milyen AI-eszközöket használnak a munkatársak, milyen adatokkal, és hol szivároghat ki érzékeny információ. Az eredményre épülő használati szabályzatot is elkészítjük.
Mikor van rá szükség
Az AI-használat, amiről senki nem tud
A munkatársak akkor is használnak AI-eszközöket, ha a cég hivatalosan még nem vezetett be egyet sem. A jelenségről az árnyék-AI-ról szóló cikkünkben írtunk.
Előfizetés a tudtuk nélkül
Egy-egy osztály bankkártyával előfizet egy AI-eszközre, feltölti a saját adatait, és senki nem tud róla. Ez az árnyék-IT új változata.
Ügyféladat egy nyilvános szolgáltatásban
Ha valaki szerződéstervezetet vagy ügyféladatot illeszt be egy nyilvános AI-szolgáltatásba, az adat elhagyja a szervezetet. Ez jellemzően jogalap és adatfeldolgozói szerződés nélküli adattovábbítás, az üzleti titok védelme pedig elveszhet.
A bevezetés megelőzi az átgondolást
Az AI-t sok szervezet üzleti nyomásra vezeti be, ezért a biztonsági kérdések gyakran csak utólag kerülnek elő.
A felmérés menete
A leltártól a szabályzatig
Előbb azt nézzük meg, mi történik ma a szervezetben, és csak utána írjuk le a szabályokat.
-
Feltárás
A proxy- és tűzfalnaplókból kilistázzuk, mely AI-szolgáltatásokat érik el a szervezetből, és milyen mennyiségben. Tapasztalatunk szerint az eredmény szinte mindig meglepő.
-
Kockázati besorolás
Eszközönként megnézzük, milyen érzékenységű adat kerül bele, elhagyja-e az adat a szervezetet, és ha igen, van-e hozzá szerződés és jogalap.
-
Használati szabályzat
A munkatársaknak szóló szabályzat a leltárban talált eszközökre és adatokra épül.
-
Technikai kontrollok
A szabályzat önmagában nem akadályozza meg, hogy érzékeny adat kerüljön egy AI-eszközbe. Ahol ehhez technikai védelem kell, javaslatot teszünk rá.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A használt AI-eszközök és adatfolyamok leltára
- Kockázati besorolás eszközönként
- AI használati szabályzat a munkatársaknak
- Javaslat a szükséges technikai kontrollokra
Kapcsolódó szolgáltatások
A felmérés után
A javasolt kontrollokat és a munkatársak felkészítését külön szolgáltatásként is elvégezzük.
AI-védelmi kontrollok bevezetése
Gyártói AI-védelmi megoldások, amelyek láthatóvá teszik és szabályozzák az AI-szolgáltatások használatát, és kiszűrik a kártékony utasításokat.
GenAI adatszivárgás-védelem
Adatszivárgás-védelmi szabályok kifejezetten az AI-szolgáltatások felé menő forgalomra.
Biztonsági és AI-használati tréning
Cégre szabott élő képzés vezetőknek és munkatársaknak. A képzés célja, hogy a munkatársak a szabályzatot a napi munkában is alkalmazzák.
Gyakori kérdések
Mielőtt szabályozná az AI-használatot
Nem elég letiltani a nyilvános AI-szolgáltatásokat?
A tiltás önmagában nem működik, mert a munkatársak megkerülik. Használható alternatíva kell mellé, például vállalati előfizetés adatfeldolgozói szerződéssel, vagy helyben futó modell.
Mit tartalmaz az AI használati szabályzat?
Azt teszi világossá a munkatársaknak, mely AI-eszközöket használhatják, és milyen adatot szabad beléjük írni.
Helyben futó modellnél is vannak kockázatok?
Igen. A helyi telepítésnél az adat nem kerül harmadik félhez, a prompt-injekció és a jogosultsági kérdések viszont a telepítés helyétől függetlenül fennállnak. Részletesen a vállalati AI-bevezetés kockázatairól szóló cikkünkben írtunk róluk.
