שיקולים ליצירת מסגרת ממשל ואמצעי הגנה של בינה מלאכותית
לאורך שנת 2025 ותחילת 2026, צוות של אנשי מקצוע בתחום האבטחה המתמקדים בבינה מלאכותית בקבוצת העבודה Health-ISAC לבינה מלאכותית התכנס כדי ליצור מסמך עמדה המציע הנחיות לפיתוח מסגרות ניהול בינה מלאכותית. המסמך העומד בבסיסו מספק מדיניות שימוש מקובלת לדוגמה בבינה מלאכותית והנחיות מפורטות לניהול סיכוני בינה מלאכותית. המסמך קובע הגדרות ברורות לשימוש אחראי בבינה מלאכותית גנרית וב-LLMs, אוסר חשיפת מידע רפואי, מידע אישי מזהה ונתונים סודיים לכלי עבודה ציבוריים, ודורש אישור, פיקוח וביקורת אנושית של תפוקות בינה מלאכותית בהקשרים קליניים, משאבי אנוש, משפטיים ופיננסיים.
חלק מהמאפיינים של המסמך כוללים:
מבנה ממשל רשמי של בינה מלאכותית. המסמך מציג מודל קונקרטי של ועדת ממשל בתחום הבינה המלאכותית, עם ייצוג חוצה תפקידים (משפט, פרטיות, אבטחה, טכנולוגיה, מדעי הנתונים, עסקים, אתיקה) המדווח להנהלה הבכירה או לדירקטוריון. הוא מגדיר אחריות, מציג מדדים לדוגמה ומדגיש כי ממשל הוא חובה, לא אופציונלי.
מסגרת ניהול בינה מלאכותית מבוססת עמודי תווך. המסמך מתאר מסגרת בת שבעה עמודי תווך: חקיקה/רגולציה/מדיניות, פרטיות ואתיקה של בינה מלאכותית, ניהול מקרי שימוש, ניהול מחזור חיי מודל, הטמעת חוזים וצד שלישי, תגובה לאירועים וניהול פרצות בתחום הבינה המלאכותית, והכשרה וחינוך בתחום הבינה המלאכותית. לכל עמוד תווך יש מטרות ובעלים ספציפיים.
מפת דרכים מעשית ליישום. מפת דרכים ליישום מחלקת את העבודה לארבעה שלבים: ייזום (ועדה, עקרונות, מלאי), הערכת סיכונים והשפעה (DPIAs, ביקורות הטיה, סקירות אבטחה), פריסת מסגרת (מדיניות, רישום מקרי שימוש, בקרות מחזור חיים), וניטור ובקרה (סקירות תקופתיות, הכשרה מחדש, ביקורות).
מדיניות שימוש מקובל מפורטת וניתנת לשימוש חוזר בבינה מלאכותית. המסמך כולל מדיניות לדוגמה מלאה הכוללת מטרה והיקף, עקרונות מנחים, שקיפות ואתיקה, אחריות ופיקוח, פרטיות ואבטחת נתונים, סודיות, שימושים מקובלים ואסורים, אכיפה והגדרות, בנוסף לטבלה של "מותר לעומת אסור" עבור כלי בינה מלאכותית ציבוריים.
שמונה קטגוריות סיכון של בינה מלאכותית ממופות לאמצעי הגנה ספציפיים. זה מכסה באופן שיטתי פרטיות ואבטחת נתונים, סיכון בשרשרת האספקה וסיכון צד שלישי, סיכון מודל ופלט, הטיה והגינות, רגולציה ותאימות, פגיעויות אבטחה, סיכון ממשל ופיקוח, ובינה מלאכותית צללית, ומשלב כל אחד מהם עם אמצעי הגנה קונקרטיים כגון מזעור נתונים, SBOMs, בדיקת נאותות ספקים, שיתוף פעולה עם גורמים חיצוניים (red teaming), בקרות חוזיות וזיהוי של בינה מלאכותית צללית.
