ανάγνωση σε: 9 λεπτά
Του Νίκου Μαρκόπουλου | CEO & Founder, AEGIS CyberOps
Λογιστές, δικηγόροι και επιχειρήσεις χρησιμοποιούν καθημερινά εργαλεία Τεχνητής Νοημοσύνης. Το πραγματικό ερώτημα όμως δεν είναι μόνο τι μπορούν να κάνουν με αυτά, αλλά τι δεδομένα βάζουν μέσα.
Στο λογιστικό γραφείο των 200 πελατών που ακολουθούμε σε αυτή τη σειρά, ένας βοηθός λογιστή έχει μπροστά του ένα δύσκολο ερώτημα πελάτη και ένα έγγραφο με ονοματεπώνυμο, ΑΦΜ, οικονομικά στοιχεία, στοιχεία εργαζομένων και πληροφορίες μισθοδοσίας. Αντιγράφει το έγγραφο σε ένα εργαλείο AI και ζητά: «Διάβασε αυτό και ετοίμασέ μου μια απάντηση για τον πελάτη.» Μέσα σε λίγα δευτερόλεπτα έχει μια καλοδιατυπωμένη απάντηση. Το πρόβλημα δεν βρίσκεται εκεί, αλλά σε μια ερώτηση που έπρεπε να έχει προηγηθεί: τι δεδομένα μόλις έδωσε σε ένα τρίτο σύστημα, και είχε δικαίωμα να τα δώσει;
Η Τεχνητή Νοημοσύνη έχει ήδη μπει στην καθημερινή εργασία λογιστών, δικηγόρων, ασφαλιστών και επιχειρηματιών, και μέσα σε δευτερόλεπτα μπορεί να γίνει ένας εξαιρετικά αποτελεσματικός επαγγελματικός βοηθός. Το AI δεν είναι το πρόβλημα. Το πρόβλημα αρχίζει όταν ξεχνάμε τι ακριβώς του δίνουμε.
Ένα απλό παράδειγμα
Χρειαζόταν πραγματικά το AI να γνωρίζει το ονοματεπώνυμο του πελάτη, το ΑΦΜ του, τα πραγματικά ποσά της μισθοδοσίας, τα στοιχεία των εργαζομένων; Ή θα μπορούσε ο λογιστής να είχε αφαιρέσει τα αναγνωριστικά στοιχεία και να πάρει ουσιαστικά την ίδια βοήθεια; Υπάρχει και ένα δεύτερο επίπεδο που αξίζει να γνωρίζει κάθε επαγγελματίας: σε ποια ακριβώς υπηρεσία έδωσε τα δεδομένα, με ποιους όρους γίνεται η επεξεργασία τους, αν και για πόσο διατηρούνται, ποιες εγγυήσεις προστασίας παρέχονται. Εκεί βρίσκεται η ουσία.
Το «το έβαλα στο AI» παραμένει επεξεργασία δεδομένων
Ο GDPR δεν σταματά να εφαρμόζεται επειδή χρησιμοποιήσαμε Τεχνητή Νοημοσύνη. Οι βασικές του αρχές παραμένουν: νομιμότητα της επεξεργασίας, συγκεκριμένος σκοπός, ελαχιστοποίηση των δεδομένων, κατάλληλη προστασία τους. Αν θέλουμε απλώς να βελτιώσουμε τη διατύπωση μιας επιστολής, χρειάζεται πραγματικά να δώσουμε στο AI το ονοματεπώνυμο, το ΑΦΜ, το IBAN και τα υπόλοιπα στοιχεία του πελάτη; Πολλές φορές όχι· μπορούμε να αφαιρέσουμε τα αναγνωριστικά στοιχεία και να πάρουμε ακριβώς την ίδια βοήθεια, ενώ σε δεδομένα υγείας ή άλλες ειδικές κατηγορίες προσωπικών δεδομένων οι απαιτήσεις γίνονται ακόμη αυστηρότερες. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων έχει ήδη ασχοληθεί ειδικά με τη χρήση προσωπικών δεδομένων στο πλαίσιο μοντέλων AI: η χρήση AI δεν εξαφανίζει τις υποχρεώσεις που απορρέουν από τον GDPR. Στην Ευρωπαϊκή Ένωση υπάρχει πλέον και ειδικό κανονιστικό πλαίσιο για την Τεχνητή Νοημοσύνη, ο Κανονισμός (ΕΕ) 2024/1689 γνωστός ως AI Act, όμως τα δύο πλαίσια λειτουργούν παράλληλα: όταν η χρήση ενός AI περιλαμβάνει προσωπικά δεδομένα εξετάζονται οι υποχρεώσεις του GDPR, και ανάλογα με το σύστημα μπορεί να προκύπτουν παράλληλα και υποχρεώσεις από το νέο πλαίσιο.
Ο δικηγόρος και η δικογραφία
Ένας δικηγόρος με μια δικογραφία εκατοντάδων σελίδων μπορεί να την ανεβάσει σε ένα AI και να ζητήσει τα σημαντικότερα σημεία, κάτι που πράγματι μπορεί να του εξοικονομήσει ώρες εργασίας. Μέσα στη δικογραφία όμως υπάρχουν ονόματα, διευθύνσεις, οικονομικά στοιχεία, προσωπικές επικοινωνίες, εμπορικά μυστικά, ίσως πληροφορίες υγείας ή στοιχεία που καλύπτονται από επαγγελματική εμπιστευτικότητα. Η σωστή ερώτηση επομένως δεν είναι αν το AI μπορεί τεχνικά να διαβάσει τη δικογραφία, αλλά αν επιτρέπεται και είναι ασφαλές να δοθεί σε αυτό το συγκεκριμένο AI, με αυτούς τους όρους χρήσης και προστασίας δεδομένων. Είναι τελείως διαφορετική ερώτηση.
Το AI που η επιχείρηση δεν ξέρει ότι χρησιμοποιεί
Υπάρχει και δεύτερο πρόβλημα. Αν ρωτήσετε τους εργαζομένους μιας επιχείρησης ποια εργαλεία AI χρησιμοποιούν στην καθημερινή τους δουλειά, οι απαντήσεις μπορεί να είναι πολύ διαφορετικές από αυτές που περιμένει η διοίκηση: κάποιος διορθώνει emails με ένα δωρεάν chatbot, άλλος ανεβάζει ένα Excel για ανάλυση ή μια σύμβαση για περίληψη, κάποιος επεξεργάζεται ένα CV ή μια μισθοδοσία μέσα από προσωπικό του λογαριασμό. Η διοίκηση μπορεί να πιστεύει ότι η εταιρεία δεν χρησιμοποιεί AI, ενώ στην πραγματικότητα το χρησιμοποιούν ήδη πολλοί άνθρωποι μέσα σε αυτήν. Αυτό συχνά περιγράφεται ως Shadow AI, χρήση εργαλείων Τεχνητής Νοημοσύνης χωρίς κεντρική έγκριση ή έλεγχο από την επιχείρηση, και δημιουργεί ένα πολύ απλό πρόβλημα: δεν γνωρίζεις πού πηγαίνουν τα δεδομένα σου.
Ούτε όλα τα εργαλεία AI είναι ίδια. Άλλο ένα δημόσια διαθέσιμο consumer εργαλείο και άλλο μια εταιρική υπηρεσία αξιολογημένη από την επιχείρηση, με συγκεκριμένους όρους, ελέγχους πρόσβασης και πολιτικές διατήρησης δεδομένων. Αυτό δεν σημαίνει ότι ένα δημόσιο εργαλείο είναι αυτομάτως επικίνδυνο, ούτε ότι μια enterprise υπηρεσία είναι αυτομάτως ασφαλής· σημαίνει ότι πρέπει να γνωρίζουμε με ποιους όρους λειτουργεί η συγκεκριμένη υπηρεσία πριν της δώσουμε πραγματικά επαγγελματικά δεδομένα. Το ότι είναι «μεγάλη και γνωστή εταιρεία» δεν αποτελεί από μόνο του πολιτική προστασίας δεδομένων.
Κανόνες, όχι απαγόρευση
Η λύση δεν είναι να πούμε στους εργαζομένους ότι από αύριο απαγορεύεται το AI. Είναι ήδη εδώ και θα χρησιμοποιείται όλο και περισσότερο. Η σωστή προσέγγιση είναι να υπάρχουν κανόνες: ποια εργαλεία επιτρέπονται, ποια δεδομένα μπορούν να χρησιμοποιηθούν, πότε απαιτείται αφαίρεση αναγνωριστικών στοιχείων, ποιος εγκρίνει μια νέα υπηρεσία AI, και τι κάνει ένας εργαζόμενος αν κατά λάθος ανεβάσει κάτι που δεν έπρεπε. Αυτό είναι το AI Governance στην πρακτική του μορφή: όχι προσπάθεια να σταματήσουμε την τεχνολογία, αλλά να τη χρησιμοποιήσουμε χωρίς να μετατρέψουμε την παραγωγικότητα σε νέο επιχειρηματικό κίνδυνο.
Δεν θα ρωτούσα έναν λογιστή ή έναν δικηγόρο μόνο αν χρησιμοποιεί AI. Θα τον ρωτούσα τι έβαλε μέσα σε αυτό σήμερα. Γιατί εκεί βρίσκεται η πραγματική διαφορά: το AI μπορεί να μας βοηθήσει να γράψουμε καλύτερα, να αναλύσουμε γρηγορότερα, να οργανώσουμε τεράστιο όγκο πληροφοριών σε λίγα λεπτά, αλλά υπάρχει κάτι που δεν μπορεί να αποφασίσει αντί για εμάς: αν είχαμε το δικαίωμα να του δώσουμε τα δεδομένα ενός άλλου ανθρώπου.
5 ΠΡΑΓΜΑΤΑ ΠΟΥ ΠΡΕΠΕΙ ΝΑ ΚΑΝΕΤΕ ΑΥΡΙΟ ΤΟ ΠΡΩΙ
1. Καταγράψτε ποια εργαλεία AI χρησιμοποιούνται πραγματικά από εσάς και τους εργαζομένους σας.
2. Ορίστε ποια εργαλεία επιτρέπονται για επαγγελματική χρήση· μη θεωρείτε δεδομένο ότι κάθε δημόσια υπηρεσία είναι κατάλληλη για εταιρικά δεδομένα.
3. Μην εισάγετε προσωπικά, φορολογικά, οικονομικά ή εμπιστευτικά δεδομένα τρίτων σε μη εγκεκριμένο AI χωρίς προηγούμενη αξιολόγηση.
4. Αφαιρείτε τα αναγνωριστικά στοιχεία όταν δεν είναι απαραίτητα· το AI πολλές φορές μπορεί να σας βοηθήσει χωρίς να γνωρίζει ποιος είναι ο πραγματικός πελάτης.
5. Πριν πατήσετε Enter, σκεφτείτε: αν ο πελάτης σας καθόταν αυτή τη στιγμή δίπλα σας, θα αισθανόσασταν άνετα να του δείξετε ακριβώς ποια δικά του δεδομένα μόλις δώσατε σε αυτό το AI; Αν η απάντηση είναι «όχι» ή «δεν ξέρω», μην πατήσετε ακόμη.