רוב מה שנכתב על סיכוני AI עוסק בתרחישים גדולים ורחוקים. לעסק קטן הסיכונים אחרים לגמרי: הם יומיומיים, נובעים מהתנהגות ולא מטכנולוגיה, ורובם נסגרים במדיניות של עמוד אחד. שלוש נקודות: החשיפה הנפוצה ביותר היא הדבקה של מידע רגיש לכלי חיצוני; אחריות על מידע אישי של לקוחות נשארת שלך גם כשהעיבוד אצל ספק; והסיכון הכי יקר הוא דווקא פלט שגוי שנשלח החוצה ולא דליפה.
חמשת הסיכונים בסדר שכיחות
מה באמת קורה
- ›הדבקה של מידע רגיש לכלי חיצוני. עובד מדביק חוזה, רשימת לקוחות או דוח כספי כדי לקבל סיכום. זה קורה כל יום, בתום לב מוחלט, וזו החשיפה הנפוצה ביותר.
- ›פלט שגוי שנשלח ללקוח. מחיר שהומצא, תאריך לא נכון, או התחייבות שלא קיימת. זה הסיכון הכי יקר בפועל, כי הוא מייצר חבות ולא רק מבוכה.
- ›מידע אישי של לקוחות בכלי שלא בדקת. שמות, טלפונים, פרטי בריאות או פיננסים. כאן נכנסת רגולציית הגנת הפרטיות, והאחריות נשארת עליך גם כשהעיבוד מתבצע אצל ספק.
- ›גישה שנשארה פתוחה. עובד שעזב ועדיין יש לו גישה לכלי עם היסטוריית השיחות של העסק. זה נשכח כמעט תמיד, כי כלי AI לא נמצאים ברשימת המערכות שמנתקים.
- ›תלות בספק בלי יצוא. לא סיכון אבטחה קלאסי אבל סיכון עסקי אמיתי: כל הידע הארגוני יושב בכלי שאי אפשר להוציא ממנו נתונים.
הכלל הפשוט שסוגר את הרוב
אל תדביק לכלי חיצוני שום דבר שלא היית מוכן לשלוח במייל לאדם שאינך מכיר. זה כלל שקל לזכור, קל להסביר, ותופס את רוב המקרים בלי לדרוש מהצוות להבין ארכיטקטורה או מדיניות שמירת נתונים.
מדיניות בעמוד אחד
לא צריך מסמך אבטחת מידע ארגוני. צריך עמוד שכל אחד בצוות קורא בחמש דקות ומבין. ארבעה חלקים: אילו כלים מאושרים לשימוש, מה מותר להזין ומה אסור, מה חייב אישור אנושי לפני שנשלח החוצה, ולמי פונים כשלא בטוחים.
החלק האחרון הוא החשוב ביותר ובדרך כלל נשכח. בלי כתובת ברורה, עובד שמתלבט יבחר לבד, ובלחץ הוא יבחר במה שמהיר. עם כתובת, השאלה נשאלת, וזה הופך אירוע פוטנציאלי לשיחה של דקה.
מה לבדוק אצל ספק
ארבע שאלות
- ›האם הנתונים שלך משמשים לאימון המודל, וכיצד מבטלים את זה. ברוב הכלים העסקיים יש הגדרה כזו והיא לא תמיד ברירת המחדל.
- ›איפה הנתונים נשמרים וכמה זמן. רלוונטי במיוחד כשמדובר במידע אישי של לקוחות.
- ›האם יש בקרת גישה לפי משתמש, כך שאפשר לנתק אדם בלי לנתק את כולם.
- ›איך מייצאים את הנתונים החוצה, ובאיזה פורמט.
תרגיל מעשי, 40 דקות
רשום את כל כלי ה-AI שמישהו בעסק משתמש בהם, כולל חשבונות אישיים. לכל אחד ענה על שתי שאלות: מי יש לו גישה, והאם הוזן לשם מידע של לקוחות. סביר שתגלה כלי אחד לפחות שלא ידעת עליו, וגישה אחת של מישהו שכבר לא אצלך. שתי התגליות האלה שוות את התרגיל לבדן.
הפרופורציה
שווה לסיים באיזון. הסיכון של לא להשתמש ב-AI בכלל, ולפגר תפעולית מול מתחרים, אמיתי גם הוא. המטרה של מדיניות היא לאפשר שימוש ולא לחסום אותו. מדיניות שאוסרת הכל מייצרת בדיוק את המצב הגרוע ביותר: שימוש שקורה בכל מקרה, בכלים אישיים, בלי שאף אחד יודע ובלי שום בקרה.
