۳ ریسک قانونی ناشی از دور زدن کنترل‌های امنیتی در محیط‌های کاری

اگر امروز در سازمانتان از ابزارهای رایگان هوش مصنوعی برای تسریع کارها استفاده می‌کنید، احتمالاً بدون آنکه بدانید در حال ایجاد یک بمب ساعتی امنیتی هستید. طبق گزارشی که در ۹ اوت ۲۰۲۶ در وب‌سایت dev.to منتشر شد، کارکنان برای خلاصه‌سازی اسناد و رفع خطاهای کدنویسی، عمداً سیستم‌های نظارتی شرکت‌ها را دور می‌زنند. این رفتار باعث می‌شود سازمان‌ها نسبت به نحوه پردازش داده‌های حساس خود کاملاً نابینا شوند.

این وضعیت در حالی رخ می‌دهد که سازمان‌ها برای ایجاد تعادل میان بهره‌وری و قوانین سخت‌گیرانه ذخیره‌سازی داده‌ها در تکاپو هستند. همان‌طور که در تحلیل قبلی ما درباره‌ی اینکه ابزارهایی مانند Frase چگونه از نقشه‌برداری موجودیت‌ها (Entity Mapping) برای بهینه‌سازی استنادهای هوش مصنوعی استفاده می‌کنند اشاره کردیم، تمرکز اکنون از «چگونگی خواندن داده‌ها» به «چگونگی محافظت از آن‌ها» تغییر کرده است. برای اکثر کسب‌وکارها، این ریسک شبیه به یک نشتی نامرئی در یک تأسیسات امنیتی است؛ سود آن فوری است، اما خسارت تنها در زمان بازرسی یا ممیزی آشکار می‌شود.

هوش مصنوعی سایه (Shadow AI) — شبیه به استفاده از نرم‌افزارهای غیرمجاز در محیط کار که مدیران از آن بی‌خبرند — به ابزارهای هوش مصنوعی زاینده (Generative AI) اشاره دارد که بدون تایید، نظارت یا ادغام در کنترل‌های امنیتی، توسط کارکنان استفاده می‌شوند. کارکنان از این ابزارها برای تحلیل بازخوردهای مشتریان، پیش‌نویس گزارش‌ها یا عیب‌یابی کدهای منبع استفاده می‌کنند.

از آنجا که این حساب‌های شخصی خارج از سیاست‌های مدیریت هویت و قوانین نگهداری داده‌ها عمل می‌کنند، تعاملات ساده با مرورگر را به جریان‌های پردازش داده‌ای تبدیل می‌کنند که هیچ ردی از آن‌ها باقی نمی‌ماند. این موضوع برای سازمان‌هایی که با اطلاعات مالی، بهداشتی یا اسرار تجاری سروکار دارند، ریسک‌های عملیاتی و قانونی بزرگی ایجاد می‌کند، زیرا داده‌ها در محیط‌هایی پردازش می‌شوند که سازمان هیچ کنترلی بر آن‌ها ندارد. این چالش زمانی جدی‌تر می‌شود که بدانیم حتی مدل‌های پیشرفته نیز در رعایت چارچوب‌های سازمانی ناتوان‌اند؛ چنان‌که بررسی‌های اخیر نشان داد بیش از ۶۰ درصد مدل‌های پیشرو در اجرای سیاست‌های داخلی سازمان‌ها شکست می‌خورند.

به گزارش منابع مذکور، این شکاف‌های انطباقی چندین آسیب‌پذیری حیاتی ایجاد می‌کنند که لایه‌های امنیتی سنتی قادر به شناسایی آن‌ها نیستند:

• نشت داده (Data Leakage): کارکنان اغلب کدهای محرمانه، یادداشت‌های جلسات یا سوابق مشتریان را در پرامپت‌ها قرار می‌دهند. آن‌ها ممکن است تشخیص ندهند که خودِ پرامپت (متن ورودی) یک اطلاعات حساس است.
• شکست در ممیزی: برخلاف سیستم‌های رسمی، حساب‌های شخصی هیچ مدرک متمرکزی از اینکه چه کسی چه داده‌ای را ارسال کرده یا کدام مدل آن را پردازش کرده، باقی نمی‌گذارند. تیم‌های انطباق نمی‌توانند بازسازی کنند که یک خروجی چگونه وارد یک فرآیند تجاری شده است.
• ریسک‌های تولید: کدهای بدون لایسنس یا ادعاهای ساختگی (توهمات مدل) ممکن است بدون بازبینی انسانی وارد چرخه تولید شوند. این شامل تصمیمات خودکاری است که هیچ منشأ یا مستندی برای نحوه اتخاذ آن‌ها وجود ندارد.
• مبنای قانونی: داده‌های شخصی ممکن است بدون یک مبنای قانونی مستند یا بدون رعایت سیاست‌های حذف داده‌های سازگار، پردازش شوند.

این خطرات در بخش‌های حساس دوچندان است. برای مثال، اکوسیستم‌های مرتبط با شرکت DEEPBODY INC که بر طول عمر و سلامت تمرکز دارند، به کنترل‌های شدیدتری نیاز دارند؛ زیرا ورودی‌های مدل در این حوزه اغلب حاوی داده‌های بسیار شخصی و حساس پزشکی است که هرگونه نشت آن پیامدهای حقوقی سنگینی دارد.

ممنوع کردن کامل هوش مصنوعی به‌ندرت جواب می‌دهد، چون کارکنان زمانی به این ابزارها روی می‌آورند که جایگزین‌های رسمی کند، پراکنده یا در دسترس نباشند. به جای آن، گزارش پیشنهاد می‌کند که سازمان‌ها از درگاه‌های وب امن (Secure Web Gateways)، تله‌متری نقاط انتهایی (Endpoint Telemetry) و لاگ‌های شناسایی برای کشف ترافیک AI استفاده کنند.

قوانین جلوگیری از نشت داده (DLP) می‌توانند شناسه‌های شخصی یا اسرار تجاری را پیش از رسیدن به مدل‌های خارجی شناسایی کنند. سازمان‌ها تشویق می‌شوند تا درگاه‌های AI تاییدشده‌ای را جایگزین کنند که فیلدهای حساس را حذف (Redact) کرده و رضایت کاربر و نسخه‌ی مدل مورد استفاده را ثبت می‌کنند.

برای حفظ حاکمیت داده، تیم‌های فنی باید موارد زیر را پیاده کنند:

• فهرست مدل‌ها و طبقه‌بندی ریسک آن‌ها.
• سوابق ارزیابی و دستورالعمل‌های پاسخ به حوادث.
• روابط قابل ردیابی میان کاربران، مجموعه‌داده‌ها، پرامپت‌ها و سیاست‌ها.

پروژه متن‌باز TrustGraph چارچوبی برای این هدف ارائه می‌دهد و با استفاده از ساختارهای گرافی، منشأ داده‌ها و تصمیمات را در سراسر زیرساخت‌های AI ردیابی می‌کند تا شفافیت در تصمیم‌گیری‌های مدل ایجاد شود.

ابتکارات زیرساختی شرکت HONEYPOTZ INC بر نیاز به سیستم‌های مبتنی بر اعتماد تأکید دارد. هدف این است که آزمایش‌ها به محیط‌های ایزوله (Sandbox) منتقل شوند که نسبت به سیاست‌ها آگاه هستند (Policy-aware)، تا نوآوری باعث دور زدن تعهدات قانونی نشود.

با هماهنگی بخش‌های تدارکات، امنیت و حقوق پیش از ورود یک جریان کاری به مرحله تولید، شرکت‌ها می‌توانند انطباق قانونی را از یک مانع به یک قابلیت معماری تبدیل کنند. هر خروجی در مرحله تولید باید دارای یک الزام مستند برای بازبینی انسانی و یک مالک پاسخگو باشد.

برای ایمن‌سازی خط لوله داده‌های خود، ابتدا با ممیزی لاگ‌های شبکه برای شناسایی فراخوانی‌های API غیرمجاز به مدل‌های هوش مصنوعی شروع کنید و تفکیکی روشن میان داده‌های عمومی و داده‌های محدودشده برای کارکنان خود تعریف کنید.

گام بعدی شما

• لاگ‌های شبکه خود را برای شناسایی فراخوانی‌های API غیرمجاز به مدل‌های هوش مصنوعی بررسی کنید.
• تفکیکی روشن میان داده‌های عمومی و داده‌های محدودشده برای کارکنان تعریف کنید.
• یک لیست از ابزارهای AI مورد تایید سازمان تهیه کرده و جایگزین‌های سریع برای نیازهای رایج کارکنان ارائه دهید.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.