استفاده امن از ابزارهای هوش مصنوعی برای شرکتها فقط به انتخاب یک چتبات معتبر محدود نمیشود. هر بار که کارمند متنی را برای خلاصهسازی، فایل را برای تحلیل یا کدی را برای اصلاح در اختیار یک سرویس هوش مصنوعی میگذارد، بخشی از داده و اعتبار سازمان در معرض یک زنجیره پردازشی تازه قرار میگیرد.
راهکار عملی، ممنوعیت کامل نیست؛ بلکه تعیین ابزارهای مجاز، طبقهبندی اطلاعات، محدود کردن دسترسی و بازبینی خروجیهاست. شرکت باید بداند چه دادهای وارد کدام سرویس میشود، چه کسی مسئول تأیید نتیجه است و در صورت اشتباه یا افشای اطلاعات چه اقدامی انجام خواهد شد.
اصول استفاده امن از ابزارهای هوش مصنوعی برای شرکتها
پیش از خرید یا فعالسازی هر ابزار، آن را بخشی از زیرساخت فناوری شرکت در نظر بگیرید؛ نه یک برنامه جانبی برای افزایش سرعت کار. داشتن حساب سازمانی، قرارداد مناسب و تنظیمات مدیریتی میتواند کنترل بیشتری ایجاد کند، اما هیچکدام جای سیاست داخلی و آموزش کارکنان را نمیگیرد.
در سیاست شرکت، دستکم این موارد باید روشن باشد:
- چه ابزارهایی برای کار سازمانی مجاز هستند و چه ابزارهایی ممنوع یا نیازمند تأییدند؛
- چه نوع اطلاعاتی میتواند وارد ابزار شود و چه اطلاعاتی باید خارج از آن بماند؛
- چه کارهایی به بازبینی اجباری انسان نیاز دارند؛
- چه کسی مالک حساب، داده، خروجی و تصمیم نهایی است؛
- خطا، انتشار ناخواسته یا مشاهده فعالیت مشکوک چگونه گزارش میشود.
پیش از وارد کردن داده، سطح محرمانگی آن را مشخص کنید
مهمترین کنترل امنیتی، قبل از نوشتن درخواست یا بارگذاری فایل انجام میشود. اطلاعات شرکت را میتوان بهصورت ساده در چهار گروه قرار داد: عمومی، داخلی، محرمانه و بسیار حساس. محتوای عمومی مانند متن معرفی یک محصول معمولاً ریسک کمتری دارد؛ اما اطلاعات مشتری، قرارداد، حقوق و دستمزد، پروندههای منابع انسانی، کد خصوصی و اسناد مالی به کنترل جدیتری نیاز دارند.
اطلاعات حساس را صرفاً با حذف نام، امن تلقی نکنید. ترکیب چند جزئیات مانند شهر، شغل، تاریخ رویداد و مبلغ قرارداد ممکن است هویت فرد یا شرکت را دوباره آشکار کند. اگر تحلیل هوش مصنوعی واقعاً لازم است، ابتدا داده را کمینه و تا حد امکان ناشناس کنید و مطمئن شوید ورود آن به ابزار از نظر قراردادی و سازمانی مجاز است.
دادههایی که نباید در ابزارهای عمومی وارد شوند
- رمز عبور، توکن، کلید API و فایل پیکربندی سامانهها؛
- شماره ملی، اطلاعات بانکی و دادههای تماس مشتریان یا کارکنان؛
- قراردادهای محرمانه، پیشنهادهای قیمت و برنامههای منتشرنشده؛
- کد منبع خصوصی، گزارش آسیبپذیری و جزئیات معماری شبکه؛
- اطلاعات پزشکی، خانوادگی یا ارزیابی عملکرد افراد، مگر با مجوز و کنترل مشخص.
ابزار مجاز را با حساب سازمانی و دسترسی محدود انتخاب کنید
استفاده پراکنده کارکنان از حسابهای شخصی، یکی از نشانههای شکلگیری «هوش مصنوعی سایه» در شرکت است؛ یعنی کار با ابزارهایی که واحد فناوری یا مدیریت از آنها خبر ندارد. در این وضعیت، خروج کارمند، تغییر رمز یا بررسی سابقه فعالیت دشوارتر میشود و شرکت نمیداند چه دادهای در کدام سرویس ذخیره شده است.
برای ابزارهای مورد تأیید، حسابهای سازمانی و ورود یکپارچه در صورت امکان، احراز هویت چندمرحلهای و نقشهای دسترسی جداگانه را فعال کنید. همه کارکنان به یک سطح دسترسی نیاز ندارند؛ تیم بازاریابی، برنامهنویسی و منابع انسانی باید بر اساس وظیفه خود به ابزار و داده دسترسی داشته باشند.
پیش از تصویب سرویس، فقط به عبارتهایی مانند «امن» یا «محرمانه» اکتفا نکنید. شرایط نگهداری و حذف داده، استفاده احتمالی از ورودیها برای بهبود مدل، محل پردازش، امکان مدیریت حسابها، ثبت فعالیت و روش خروج داده را بررسی کنید. اگر این اطلاعات شفاف نیست، داده حساس را وارد سرویس نکنید.
خروجی هوش مصنوعی را پاسخ نهایی و واقعیت قطعی ندانید
مدلهای هوش مصنوعی میتوانند متن روان، کد قابل اجرا یا جدول ظاهراً دقیق تولید کنند و با این حال بخشی از پاسخ را اشتباه بسازند. خطا ممکن است در عدد، منبع، نام فرد، تفسیر قرارداد یا دستور فنی پنهان بماند؛ بنابراین ظاهر حرفهای خروجی معیار درستی آن نیست.
برای کارهای کمریسک، یک بررسی کوتاه محتوایی و نگارشی کافی است. اما در تصمیمهای حقوقی، مالی، استخدامی، امنیتی و پزشکی باید دادههای اصلی، محاسبات، مجوزها و پیامد تصمیم توسط فرد متخصص بررسی شود. خروجی تولیدشده را بدون اصلاح و تأیید برای مشتری، رسانه یا سامانه عملیاتی ارسال نکنید.
- مشخص کنید درخواست دقیقاً چه نتیجهای میخواهد.
- ادعاها، عددها و ارجاعهای مهم را با منبع اصلی مقایسه کنید.
- اطمینان یابید متن، داده یا کد متعلق به شخص یا سازمان دیگری را ناخواسته افشا نمیکند.
- نسخه تأییدشده و فرد تأییدکننده را برای کارهای حساس ثبت کنید.
در برابر درخواستهای مخرب و فریبنده آماده باشید
خطر فقط از کارمند یا کاربر ناشناس نمیآید. یک فایل، صفحه وب یا ایمیل ممکن است دستوری پنهان داشته باشد که از سامانه هوش مصنوعی بخواهد اطلاعات داخلی را افشا کند، قواعد شرکت را نادیده بگیرد یا اقدامی خارج از وظیفه انجام دهد. این نوع فریب، بهویژه زمانی مهم است که ابزار به ایمیل، اسناد، نرمافزارهای فروش یا سامانههای داخلی متصل باشد.
اتصال ابزار به سامانههای سازمانی را مرحلهای انجام دهید و ابتدا آن را در محیط آزمایشی با داده غیرواقعی بسنجید. دسترسی خواندن را از دسترسی ویرایش یا ارسال جدا کنید، برای اقدامات حساس تأیید انسانی بگذارید و هرگز اجازه ندهید یک خروجی هوش مصنوعی بهتنهایی رمز عبور بسازد، پرداختی انجام دهد یا دادهای را حذف کند.
آموزش و واکنش به خطا، بخشی از امنیت است
یک صفحه دستورالعمل کوتاه معمولاً از مقررات طولانی و خواندهنشده مؤثرتر است. به کارکنان نمونههای واقعی از داده حساس، روش ناشناسسازی، نشانههای خروجی نادرست و مسیر گزارش حادثه را نشان دهید. آموزش باید برای کارهای مختلف تنظیم شود؛ نیاز برنامهنویس با کارشناس منابع انسانی یکسان نیست.
اگر اطلاعاتی اشتباه در ابزار وارد شد، کارمند را به پنهانکاری وادار نکنید. حساب یا نشست مرتبط را بررسی و در صورت نیاز دسترسی را محدود کنید، مشخص کنید چه دادهای و چه زمانی ارسال شده، وضعیت حذف یا نگهداری آن را از سرویس بپرسید و موضوع را طبق فرآیند داخلی به مسئول امنیت یا مدیریت اطلاع دهید. ثبت حادثه به شرکت کمک میکند همان خطا دوباره تکرار نشود.
جمعبندی: استفاده امن از ابزارهای هوش مصنوعی برای شرکتها با سه تصمیم عملی شروع میشود: اطلاعات را قبل از ورود طبقهبندی کنید، فقط از ابزار و حساب مورد تأیید استفاده کنید و هیچ خروجی حساسی را بدون بررسی انسان منتشر یا اجرا نکنید. این چارچوب هم بهرهوری را حفظ میکند و هم احتمال افشای داده و تصمیمگیری اشتباه را پایین میآورد.
