Zgodność w czasach rewolucji AI

Sztuczna inteligencja zmieni świat poprzez automatyzację zadań, co zwiększy wydajność i umożliwi nowe odkrycia w różnych dziedzinach. Ponadto AI wpłynie na sposób, w jaki podejmujemy decyzje, zarówno w biznesie, jak i w życiu codziennym, oferując bardziej zaawansowane i spersonalizowane rozwiązania.

Agnieszka Butor-Keler konsultant, dział zarządzania ryzykiem nadużyć, EY Polska

materiały prasowe

Taką odpowiedź wygenerował ChatGPT 4.0 na pytanie: „Jak sztuczna inteligencja (Artifical Intelligence – AI) może zmienić świat?” Zapewne niewielu czytelników byłoby w stanie stwierdzić, że wymyśliła to maszyna.

Sztuczna inteligencja posiada potencjał, by zmienić realia funkcjonowania praktycznie wszystkich firm na świecie. Przedsiębiorstwa coraz częściej wykorzystują bowiem AI do usprawnienia procesów, poprawienia wydajności, obniżenia kosztów swojej działalności i budowania przewagi konkurencyjnej. Rozwój nowych narzędzi i oprogramowania zmienia się w postępie geometrycznym.

AI budzi ogromne zainteresowanie przedsiębiorstw

Potencjał AI jest wykorzystywany w coraz większej liczbie przedsiębiorstw. Potwierdza to również badanie „EY Reimagining Industry Futures Study 2024”. Co drugi ankietowany (43 proc.) deklaruje, że zainwestował w generatywną sztuczną inteligencję (GenAI). Co istotne, niemal co trzecie przedsiębiorstwo dostrzega potrzebę wyważonego i stopniowego podejścia do implementacji AI.

Ma to związek z ich zawodową etyką i poczuciem odpowiedzialności. Zdecydowana większość respondentów (73 proc.) opowiedziała się również za chęcią lepszego poznania i zrozumienia AI, a 69 proc. firm chce zrozumieć również zagrożenia związane z użyciem tej technologii.

Z kolei badanie Forbes Advisor „How Businesses Are Using Artificial Intelligence In 2024” wykazało, że niemal wszystkie przedsiębiorstwa (97 proc.) uważają, że ChatGPT wesprze ich działalność. Najczęstszym kierunkiem wykorzystania AI przez firmy jest obsługa klienta (56 proc.) oraz sfera cyberbezpieczeństwa i zarządzania ryzykiem oszustw/fraudów (51 proc.). Blisko trzy czwarte firm (73 proc.) korzysta lub planuje używać chatbotów opartych na AI do komunikacji.

GenAI towarzyszą liczne obawy

Wraz z rozwojem nowych technologii oczywistym stało się, że oprócz niewątpliwych korzyści spotkamy się również z zagrożeniami. Nie wszystkie z nich były nam dotąd znane. Do wyzwań tych zaliczyć należy np. ochronę prywatności i danych osobowych, nowe rodzaje oszustw, kwestie praw własności intelektualnej czy też zarządzanie danymi oraz ryzykiem.

W badaniu przeprowadzonym przez firmę Cisco pod nazwą „Data Privacy Benchmark Study 2024” niemal wszyscy respondenci (91 proc.) potwierdzili, że powinni podjąć dodatkowe działania, aby zapewnić klientów o odpowiednim wykorzystaniu ich danych przez AI. Apetyt na nowe ryzyko bywa pod tym względem zróżnicowany.

Co czwarta firma (27 proc.) zakazała korzystania z wszelkich narzędzi opartych na GenAI. Większość firm (63 proc.) posiada mechanizmy ograniczające dane, jakie można do tego celu zastosować, a 61 proc. ograniczyło korzystanie z części z nich. Według doniesień prasowych niektóre duże korporacje zakazują obecnie wykorzystywania publicznie dostępnych modeli LLM w codziennej pracy. Wynika to z obawy o wyciek danych oraz zagrożenia dotyczące ewentualnego ujawnienia tajemnicy przedsiębiorstwa. Zdarzały się już bowiem przypadki, w których pracownicy przesyłali np. wrażliwe kody źródłowe. Powyższe badania potwierdzają, że niemal w co drugiej organizacji (48 proc.) może dojść do wprowadzania niepublicznych danych do aplikacji. Odestek ten jest podobny w przypadku wykorzystania danych osobowych pracowników (45 proc.). Większość firm (69 proc.) obawia się również, że GenAI może zagrozić prawom własności intelektualnej i wyjawić tajemnice przedsiębiorstwa.

Regulacje są niezbędne

Stojąc w obliczu nowych wyzwań związanych z dynamicznym i niekontrolowanym rozwojem AI, Unia Europejska już od kilku lat podejmuje szereg działań związanych z tworzeniem ram prawnych dla funkcjonowania sztucznej inteligencji. Wyrazem tego jest pakiet tworzonych rozwiązań legislacyjnych, w tym – przede wszystkim – rozporządzenie, tzw. AI Act. Projektowana regulacja w centrum uwagi stawia prawa człowieka i nasze bezpieczeństwo. Oczywiście nie brak jest również krytycznych głosów wyrażających obawę o możliwość wyhamowania rozwoju AI w UE. Niemniej brak norm i reguł postępowania w tym zakresie może zrodzić tylko kolejne zagrożenia.

Ambicją Unii jest zapewnienie, aby systemy sztucznej inteligencji stosowane na jej terytorium były bezpieczne, przejrzyste, identyfikowalne, niedyskryminujące i przyjazne dla środowiska naturalnego – oczywiście nie zapominając przy tym o korzyściach płynących z rozwoju AI. AI Act koncentruje się na podejściu opartym na analizie ryzyka (risk-based approach), tworząc podział na cztery związane ze sobą kategorie:

1. Ryzyko całkowicie nieakceptowalne (unacceptable risk) – dotyczy np. systemów rozpoznawania twarzy czy scoringu punktowego obywateli.

2. Systemy wysokiego ryzyka (high risk), gdzie występuje podział na dwa typy:

a. pierwszy związany jest z bezpieczeństwem produktów, takich jak np. zabawki, samochody, sprzęt lotniczy.

b. drugi został podzielony na osiem obszarów. Wśród nich znalazły się: edukacja, ściganie przestępstw czy też pomoc prawna.

3. Systemy AI ogólnego przeznaczenia i generatywne (limited risk), co obejmie np. ChatGPT. Wobec tych narzędzi pojawi się szereg wymogów związanych z przejrzystością ich działania, m.in. obowiązki informacyjne, po to, aby odbiorcy mieli wiedzę, że określone treści zostały wygenerowane przez AI. Wymagane będzie również, by modele nie generowały nielegalnych treści. Te ogólnego przeznaczenia o dużym oddziaływaniu poddane zostaną ocenie Komisji Europejskiej. Nałożony zostanie również obowiązek zgłaszania poważnych incydentów z nimi związanych do Komisji Europejskiej.

4. Najniższy poziom ryzyka systemów AI (minimal risk), dot. głównie prostszych aplikacji. Takie rozwiązania będą musiały również spełniać minimalne wymogi, jak chociażby informacyjny, w celu zapewnienia, że interakcja odbywa się z AI, a nie z człowiekiem.

W lutym 2024 r. osiągnięto porozumienie w zakresie kształtu AI Act, czego wyrazem było zatwierdzenie projektu przez dwie komisje Parlamentu Europejskiego. Z zapowiedzi prasowych wynika, że eurodeputowani mogą zatwierdzić AI Act już podczas najbliższej sesji plenarnej. Rozpoczyna się ona 26 lutego. Ostatnim krokiem pozostanie już tylko zatwierdzenie rozporządzenia przez Radę UE. AI Act wejdzie do porządku prawnego 20 dni po opublikowaniu w Dzienniku Urzędowym UE, a okres dostosowawczy wyniesie 24 miesiące.

Samoregulacja odpowiedzią na bieżące potrzeby

Na obecnym etapie, tj. przy braku przepisów normujących funkcjonowanie AI, wymagana jest samoregulacja. Możemy już dzisiaj znaleźć szereg wymogów i wytycznych, które mogą wspierać proces zarządzania GenAI w organizacji. Przykłady takich praktyk i wytycznych wskazaliśmy w publikacji EY – „How Gen AI governance framework can help build trust in tomorrow’s tech”. Należą do nich ramy zarządzania ryzykiem AI – „AI Risk Management Framework” opublikowane przez National Institute of Standards and Technology (NIST). Warto też przyjrzeć się dyskusji w obszarze cyberbezpieczeństwa związanego z AI, którą podejmuje European Union Agency for Cybersecurity (ENISA), oraz zapoznać się z publikacją HITRUST Common Security Framework (CSF v11.2.0).

Zagrożenia trzeba dostrzegać i na nie reagować

W erze cyfryzacji rozprzestrzenianie się fałszywych danych i komunikatów na niewyobrażalną dotąd skalę zagraża wiarygodności podawanych w przestrzeni publicznej informacji. Jak wynika z raportu Światowego Forum Ekonomicznego (WEF) w Davos, największym zagrożeniem dla współczesnego świata jest właśnie dezinformacja i misinformacja (czyli rozpowszechnianie fałszywych informacji bez świadomości, że nie są one prawdziwe) oraz zmiany klimatyczne. Wiele nieprawdziwych informacji, które próbują manipulować opinią publiczną, może być generowane właśnie przy użyciu AI. Tym bardziej może to zwiększać skalę zagrożeń związanych z zalewaniem nas nieprawdziwymi komunikatami. Mamy już tego pierwsze negatywne przykłady.

W lutym 2024 r. świat obiegła informacja, że jedna z firm w Hongkongu padła ofiarą starannie zaplanowanego fraudu typu deepfake i zapłaciła oszustom ponad 25 mln dol. Schemat tej prowokacji opierał się na wykorzystaniu AI. W pierwszej kolejności pracownik międzynarodowej firmy odebrał wiadomość od „dyrektora finansowego” z poleceniem przeprowadzenia poufnej transakcji. Pracownik początkowo był przekonany, że jest to próba phishingu. Następnie jednak prośba rzekomego dyrektora finansowego została potwierdzona w trakcie wideokonferencji. Brały w niej udział znane pracownikowi osoby. Uśpiło to jego czujność. Dokonał więc feralnego transferu pieniędzy. W rzeczywistości wziął on udział w wideokonferencji, w której wygenerowano wizerunki i podszyto się pod kierownictwo jego firmy.

AI w służbie przeciwdziałaniu nadużyciom

Nie należy zapominać, że AI niesie ze sobą wiele korzyści dla firm. Sprawdza się na wielu polach, w tym również w procesie przeciwdziałania oszustwom. Potwierdzenie tej tezy znajdziemy w raporcie „Association of Certified Fraud Examiners (ACFE) – Anti-Fraud Technology Benchmarking”. Liczba podmiotów oczekujących na wykorzystanie AI oraz machine learning w procesie wykrywania oszustw zwiększyła się w przeciągu ostatnich dwóch lat. Zdecydowana większość organizacji (83 proc.) chciałaby wdrożenia GenAI do programów związanych z obsługą oszustw w dwuletniej perspektywie czasu.

AI z polskiej perspektywy

Zdaniem polskich przedsiębiorców narzędzia AI mogą pomóc w budowaniu pozycji rynkowej i wpływać na zwiększenie przewagi konkurencyjnej firm. Potwierdza to badanie EY – „Jak polskie firmy wdrażają AI”. Co czwarta organizacja wskazała, że zaimplementowała systemy oparte na GenAI, a niemal połowa jest w trakcie ich wdrażania. Najwyższy poziom wykorzystania aplikacji odnotowano w dziedzinie obsługi klienta (50 proc.) i sprzedaży (40 proc.). Jednak tylko 6 proc. korzysta z tego rozwiązania w procesach compliance. Może to oznaczać, że w tym obszarze wciąż najważniejsza pozostaje wiedza i doświadczenie pracowników.

Większość polskich przedsiębiorstw (80 proc.), które wdrożyły już rozwiązania oparte na AI, podkreśla zalety związane z ich wykorzystaniem. Największą barierą są jednak wysokie koszty ich implementacji oraz obawa o bezpieczeństwo.

Do czasu uregulowania kwestii dotyczących AI polskie przedsiębiorstwa powinny podjąć własne działania związane z zarządzaniem wiążącym się z tym ryzykiem. Nie oznacza to, że wdrażane obecnie narzędzia oparte na AI funkcjonują w próżni. Obowiązuje przecież szereg wymogów regulacyjnych, począwszy od RODO, po wytyczne organów, takich jak KNF czy PUODO, które winny być brane pod uwagę przy tworzeniu przedmiotowych rozwiązań. Należy również bacznie śledzić zmiany regulacyjne związane z AI oraz zarządzaniem ryzykiem, gdyż na horyzoncie oprócz AI Act jest również implementacja do polskiego porządku prawnego NIS2 oraz okres przejściowy obowiązujący w przypadku DORA.

Efektywne wykorzystanie AI w firmach powinno rozpocząć się od zdefiniowania celów biznesowych i oczekiwań, które AI pomoże nam osiągnąć. Proces taki powinniśmy poprzedzić wewnętrznym audytem zasobów infrastruktury IT oraz danych. To ważny krok, w którym możemy ustalić gotowość przedsiębiorstwa do adopcji AI. Firmy powinny także stworzyć plan jej wdrażania i skalowania. Proces ten powinien zostać wspierany przez stałe monitorowanie realizacji ustalonych celów i adaptacji procesów. Może to bowiem znacząco przyczynić się do odniesienia sukcesu na tym polu. Budowa ram zarządzania AI powinna uwzględniać m.in. bezstronność, odporność, zrozumiałość i przejrzystość. Etyczne i przejrzyste systemy AI powinny zapewniać ochronę danych i prywatności oraz być wolne od jakichkolwiek uprzedzeń (tzw. biasów technologicznych).

Firmy powinny przygotować swoich pracowników na zmiany w tym zakresie. Z jednej strony GenAI może wspierać produktywność personelu i być wykorzystywana na wielu polach. Z drugiej zaś każdy z pracowników powinien być świadomy, w jaki sposób umiejętnie korzystać z takich narzędzi. Dobrą praktyką jest stworzenie wewnętrznych reguł korzystania z GenAI i wskazanie, jakich rodzajów danych nie należy wykorzystywać do pracy. Taki kodeks wewnętrznego postępowania może być drogowskazem pomocnym w prawidłowym, bezpiecznym i efektywnym wykorzystaniu AI.