Love it or hate it, ChatGPT, en in feite AI (Artificial Intelligence) in het algemeen is here to stay.
Alle voorstanders zeggen dat AI moet worden gezien als een hulpmiddel dat kan worden gebruikt om organisaties en individuen efficiënter te maken, terwijl alle tegenstanders zich afvragen of we niet in de val lopen van kwantiteit versus kwaliteit.
Het is een enorm onderwerp met ruimte voor een veelheid aan meningen en eindeloze discussies.
Dus, laten we het beperken tot hoe het ons beïnvloedt. Laten we ons verdiepen in de ChatGPT compliance wereld.
ChatGPT en compliance: lopen compliance officers risico?
Toen ChatGPT opkwam, raakten tekstschrijvers, grafisch ontwerpers, muzikanten en zo’n beetje iedereen met een creatieve inslag in paniek. Zouden er banen verloren gaan? Zouden we vergeten hoe we moeten schrijven, ontwerpen, tekenen, creëren?
De mogelijkheid ligt niet buiten het bereik van de verbeelding. Het is niet onwaarschijnlijk dat we minder creatief worden, minder zelf kunnen denken en afhankelijker worden van AI om ons werk te doen. Recente studies hebben zelfs aangetoond dat AI verantwoordelijk zal zijn voor het verlies van honderdduizenden banen.
Maar, ook al bootst ChatGPT in sommige opzichten menselijkheid na (verwijst zelfs naar zichzelf als ‘ik’ en ‘I’), iets wat we moeten onthouden is dat AI niet heeft:
- Persoonlijke ervaringen
- Emoties
- Intrinsiek menselijk geheugen
- Het vermogen om mee te voelen
- Het vermogen tot inleven
Zo, zijn compliance officers een risico?
Om dit vast te stellen, moeten we eerst kijken of compliance officers het vermogen hebben om zich in te leven of mee te voelen.
Gokje!
Waar we naar moeten kijken is wat ChatGPT is en welke beperkingen het heeft.
Wat is ChatGPT?
De GPT in ChatGPT staat voor “Generative Pre-trained Transformer wat een soort groot taalmodel (LLM) neuraal netwerk is dat verschillende natuurlijke taalverwerkingstaken kan uitvoeren zoals het beantwoorden van vragen, het samenvatten van tekst en zelfs het genereren van regels code.” – Al Jazeera
ChatGPT is een AI-model dat is getraind om antwoorden te geven op instructies van gebruikers. Het doet dit met behulp van RLHF (Reinforcement Learning from Human Feedback) en PPO (Proximal Policy Optimisation).
Open AI (de organisatie die Chat GPT heeft ontwikkeld) geeft deze infographic om het leerproces uit te leggen.
Rekening houdend met dit proces is het niet onwaarschijnlijk dat ChatGPT in wezen zou kunnen leren om de compliance-vakjes voor alle compliance-normen in de toekomst aan te vinken.
Het zou echter eerst moeten worden opgeleid om elk aspect van een organisatie te begrijpen, van de beveiligingsprotocollen tot de systemen, producten en het personeel. Over deze organisatiespecifieke training later meer.
Wat zeer onwaarschijnlijk is, is dat ChatGPT grijstinten zou kunnen identificeren als het gaat om naleving, vooral omdat het misschien niet in staat is om bewijsmateriaal te contextualiseren binnen de parameters van specifieke situaties en scenario’s.
En hoewel een AI-model zoals ChatGPT een rapport zou kunnen genereren voor een auditor, kennis over compliance zou kunnen assimileren, samenvattingen zou kunnen geven en zou kunnen controleren op updates, zal het dan in staat zijn om het steeds veranderende gebied van compliance bij te houden? Het antwoord is dat – in de toekomst – waarschijnlijk wel. Of beter gezegd, ComplianceGPT (als het is uitgevonden) zal het waarschijnlijk kunnen.
Een AI-tool voor naleving zou kunnen worden getraind op het interne beleid en de interne procedures van een organisatie en advies en documentatie kunnen geven aan nalevingsfunctionarissen binnen een organisatie over regelgeving die specifiek op hun bedrijf van toepassing is.
Dus, in theorie, zou ChatGPT op een dag de basis van het werk van een compliance officer kunnen doen.
Maar zoals alles wat menselijk en niet-menselijk is, heeft AI zijn beperkingen.
De beperkingen van ChatGPT
Biases
Op 2 februari 2023 tweette de CEO van Open AI, Sam Altman: “We weten dat ChatGPT tekortkomingen heeft op het gebied van bias, en we werken eraan om het te verbeteren.”
Volgens een artikel van 23 februari in Business Insider, moet ChatGPT ‘wakkerder’ worden omdat het onwaarschijnlijk is dat bedrijven zullen investeren in technologie die hen PR-hoofdpijn kan bezorgen.
Hoe verhoudt de waakzaamheid van Chat GPT zich tot zijn vermogen om de rol van compliance officer op zich te nemen? Objectiviteit is een van de belangrijkste vaardigheden voor compliance officers, en – uiteraard – ook voor auditors.
Dit wil niet zeggen dat mensen geen last hebben van vooroordelen. Het verschil is dat een compliance officer die vooringenomenheid vertoont, ter verantwoording wordt geroepen, terwijl een automaat dat misschien niet is.
“Van compliance officers wordt verwacht dat ze een objectief beeld geven van het bedrijfsbeleid. Beïnvloeding door andere werknemers, waaronder management en leidinggevenden, om overtredingen over het hoofd te zien, kan leiden tot aanzienlijke boetes of sancties die kunnen leiden tot financieel verlies of zelfs sluiting van het bedrijf.” – Investopedia
Geen gezond verstand
ChatGPT heeft geen hersenen, geen emotie, geen geschiedenis, geen familie. Het heeft geen moraal of het vermogen om te redeneren en te begrijpen. Dat betekent dat het gezond verstand ontbreekt.
We moeten allemaal leren door ervaring op te doen. Als peuter leg je graag je hand op een kachelplaat omdat je nog niet weet dat je je eraan kunt branden. Als je eenmaal hebt geleerd dat je je waarschijnlijk pijn zult doen, wordt het een kwestie van gezond verstand om je hand niet op de kachelplaat te leggen. Natuurlijk kun je gezond verstand ontwikkelen door te leren van de ervaringen van andere mensen, maar dat vereist het vermogen om te redeneren en af te leiden – iets dat ChatGPT mist.
Of toch niet?
Laten we een snelle test doen.
We vroegen ChatGPT: “Is het veilig om een laptop open op een bureau achter te laten?”
En dit is wat er stond:
Een laptop open op een bureau laten staan is over het algemeen veilig zolang het bureau stabiel is en de laptop niet kan worden omgestoten of blootgesteld aan andere potentiële gevaren. Er zijn echter een paar factoren die van invloed kunnen zijn op de veiligheid van het open laten staan van een laptop op een bureau:
- Veiligheid: Als u uw laptop onbeheerd achterlaat op een openbare plaats, is deze mogelijk niet veilig voor diefstal. Het is belangrijk om je laptop goed te beveiligen door hem te vergrendelen met een wachtwoord of door een laptopslot te gebruiken.
- Temperatuur: Laptops genereren warmte tijdens het gebruik en als je een laptop langere tijd op een bureau laat staan, kan deze oververhit raken. Zorg ervoor dat de ventilatie van de laptop niet wordt geblokkeerd en plaats de laptop niet in direct zonlicht of in de buurt van een warmtebron.
- Voeding: Als uw laptop niet is aangesloten op een voedingsbron, kan het open laten liggen op een bureau gedurende langere tijd ertoe leiden dat de batterij leegraakt, wat de prestaties en levensduur kan beïnvloeden.
Samenvattend is het over het algemeen veilig om een laptop open op een bureau te laten staan, maar het is belangrijk om rekening te houden met beveiligings-, temperatuur- en stroomproblemen voordat u dit doet.
Op geen enkel moment heeft Chat GPT rekening gehouden met compliance, privacy en gegevensbeveiliging. Een gebrek aan gezond verstand? Zeker
Opgemerkt moet worden dat toen Chat GPT specifiek werd gevraagd om compliance te beschouwen als onderdeel van hetzelfde scenario, het antwoord van Chat GPT totaal anders was en voldeed aan wat zou worden verwacht als antwoord op een compliance-specifieke vraag.
Onvermogen om context te begrijpen
In hun artikel ‘The Top 10 Limitations of Chat GPT’, legt Forbes uit dat, “ChatGPT moeite heeft met het begrijpen van context, vooral sarcasme en humor. Hoewel ChatGPT bedreven is in taalverwerking, kan het moeite hebben om de subtiele nuances van menselijke communicatie te begrijpen. Als een gebruiker bijvoorbeeld sarcasme of humor gebruikt in zijn bericht, kan ChatGPT de bedoelde betekenis niet oppikken en in plaats daarvan een antwoord geven dat ongepast of irrelevant is.”
Afhankelijkheid van trainingsgegevens
Trainingsgegevens worden gebruikt om algoritmen te trainen zodat ze uitkomsten kunnen voorspellen. Zoals je kunt zien in het onderstaande diagram, afkomstig uit Cloud Factory’s artikel “The Essential Guide to Quality Training Data for Machine Learning”, als het gaat om trainingsgegevens, zijn er meerdere punten waarop menselijke input nodig is.
Dit betekent dat:
- De AI is afhankelijk van de nauwkeurigheid van menselijke invoer
- De AI kan niet functioneren zonder een mens in het systeem
Zoals met de meeste AI-dingen – en we zagen dit met het laptopvoorbeeld hierboven – geldt ook hier: wat je erin stopt, krijg je eruit. Dus als de informatie en kennis die door mensen wordt ingevoerd onnauwkeurig, onwaar of van slechte kwaliteit is, dan zal de output die de eindgebruiker van de AI ontvangt ook onnauwkeurig, onwaar of van slechte kwaliteit zijn.
Beperkte domeinkennis
Domeinkennis verwijst naar de intelligentie die iemand heeft over een specifiek gebied binnen een specifieke branche. Dus, in wezen, domeinkennis = expertise. ChatGPT is geen expert op een bepaald gebied. Dit betekent dat het toepassen van compliance binnen een specifiek domein moeilijk zal zijn, tenzij de gebruiker ChatGPT eerst traint om hun industrie, organisatie of context te begrijpen.
Dit kan natuurlijk, maar het zou in feite de tijd verhogen die nodig is om compliance frameworks te implementeren, in plaats van de efficiëntie te verhogen.
ChatGPT en GDPR: wat weten we?
De gegevensbeschermingsautoriteit van Italië heeft Open AI opgedragen te stoppen met het verwerken van gegevens van mensen in Italië, omdat het bezorgd is dat Chat GPT de Algemene Verordening Gegevensbescherming van de Europese Unie schendt.
Volgens de BBC “zei de waakhond op 20 maart 2023 dat de app een datalek had ervaren waarbij gesprekken en betalingsinformatie van gebruikers betrokken waren.
Het bedrijf zei dat er geen wettelijke basis was om “het massaal verzamelen en opslaan van persoonsgegevens met als doel het ‘trainen’ van de algoritmen die ten grondslag liggen aan de werking van het platform” te rechtvaardigen.
Er werd ook gezegd dat aangezien er geen manier was om de leeftijd van gebruikers te verifiëren, de app “minderjarigen blootstelt aan absoluut ongeschikte antwoorden in verhouding tot hun graad van ontwikkeling en bewustzijn”.’
Op het eerste gezicht lijkt het erop dat Chat GPT in strijd is met de belangrijkste GDPR-principes, maar te oordelen naar het gebrek aan bandwagon-springen, zou dit gewoon een knieval van Italië kunnen zijn. De situatie is – zoals met alles wat met AI te maken heeft – voortdurend in ontwikkeling.
Dus, wat weten we precies over ChatGPT en GDPR?
- Doel beperking
Volgens de gegevensbeschermingscommissie “mogen persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden.”
We zullen in de gaten moeten houden wat er verder gebeurt in het Italië-scenario om te kunnen weten of Open AI al dan niet doelbinding toepast zoals het hoort.
- Scheiding van gegevens
Veel organisaties maken zich zorgen over de bescherming van gegevens die zijn opgeslagen op gedeelde systemen. Er zijn een aantal redenen waarom dit belangrijk is. Een daarvan is natuurlijk naleving van de regelgeving.
“Vanwege de potentiële impact die ongeautoriseerde toegang kan hebben op een bedrijf, is het erg belangrijk dat organisaties robuuste maatregelen voor datascheiding implementeren om de toegang tot gevoelige gegevens te beperken.” – Next Labs.
- Beperking opslag
Hoewel ChatGPT zelf geen controle heeft over de gegevens die worden ingevoerd en ook niet de mogelijkheid heeft om gegevens te verwijderen, worden de gegevens die worden gebruikt om de AI te trainen opgeslagen in grote databases. De organisaties die de gegevens gebruiken om ChatGPT te trainen, beweren dat ze gegevens voor lange tijd moeten bewaren voor onderzoeks- of trainingsdoeleinden.
ChatGPT en ISO 27001: waar moet u op letten?
- Toegangscontroles
Subsectie A.9.1 van ISO 27001 vereist dat een organisatie een toegangscontrolebeleid heeft, waarin wordt vastgelegd welke gebruikers toegang hebben tot welke netwerken en diensten.
Op dit moment zou Chat GPT deze taak niet kunnen uitvoeren, tenzij het uitgebreid getraind zou zijn in de toegangscontroleprotocollen van een organisatie. Hoewel het richtlijnen zou kunnen geven, die zouden variëren afhankelijk van de specifieke industrie van de tech startup, over hoe het beleid moet worden gemaakt, zou het niet in staat zijn om het beleid zelf te maken. Dit komt omdat het creëren van een uitgebreid en effectief toegangscontrolebeleid een diepgaand begrip vereist van de specifieke zakelijke behoeften, risico’s en wettelijke vereisten van een specifieke organisatie. ChatGPT raadt organisaties zelfs aan om in zee te gaan met ervaren informatiebeveiligingsprofessionals om een toegangscontrolebeleid op te stellen en te implementeren dat is afgestemd op de specifieke behoeften van hun organisatie.
- Incident management
ISO 27001 definieert een beveiligingsincident als “een ongewenste gebeurtenis die de vertrouwelijkheid, integriteit of beschikbaarheid van informatie in gevaar kan brengen”.
Een incident kan variëren van redelijk onschuldig tot extreem bedreigend voor een organisatie. Het managen van een incident vereist niet alleen een grondige kennis van de middelen, kwetsbaarheden en reactieprocedure van een bepaalde organisatie, maar ook een gevoeligheid met betrekking tot de communicatie rond het incident.
Rapportageprocedures, post-incident reviews en verbeteraanbevelingen worden het best geformuleerd door een professioneel persoon die een complex begrip heeft van de betrokken organisatie.
Wederom, hoewel ChatGPT u kan voorzien van stap-voor-stap instructies over wat te doen, tenzij het uitgebreid is getraind in elk aspect van uw organisatie, zal het niet in staat zijn om het incident te beheren of nauwkeurige communicatie en rapporten rond het incident te creëren.
- Monitoring en testen
Op de vraag of het ISO 27001-monitoring en -tests kan uitvoeren, gaf Chat GPT richtlijnen en advies over monitoring- en testactiviteiten, waaronder:
Vulnerability Scanning en Penetratietesten
Toegangscontroletesten
Ongevalsresponstesten
Business Continuity Testing
Waarom is ChatGPT niet geschikt voor compliance in het algemeen?
Compliance is afhankelijk van een nauwkeurig en nauwgezet begrip van regelgevende kaders. Het is inherent afhankelijk van eerlijke en exacte inputs en outputs.
Open AI noemt twee van de beperkingen van Chat GPT:
- ChatGPT schrijft soms plausibel klinkende maar onjuiste of onzinnige antwoorden…
- Het model is vaak overdreven langdradig …
Als tech start-up wilt u absoluut geen onjuiste informatie wanneer u uw ISO 27001 audit ingaat en u wilt ook de informatie zo beknopt en transparant houden als menselijkerwijs (ja, menselijkerwijs) mogelijk is.
Hoe je ChatGPT zou kunnen gebruiken in compliance
ChatGPT kan u de alledaagse wat-te-doen en hoe-te-doen van ISO 27001 compliance geven. Wat het niet kan, is content op maat maken voor uw compliance traject op basis van de specifieke informatie en behoeften van uw organisatie.
Met betrekking tot AI zegt professor in de rechten Matthew Sag van Emory University: “Er is een gezegde dat een oneindig aantal apen je uiteindelijk Shakespeare zal geven.”
Het is belangrijk dat we ons realiseren dat Chat GPT eigenlijk niet meer is dan dat (voorlopig, in ieder geval) – het resultaat van een oneindige hoeveelheid gegevens uit onbekende bronnen die zijn samengevoegd tot ‘feiten’.
De resultaten hiervan als het gaat om naleving van normen zoals ISO 27001 kunnen desastreus zijn.
Dus, het is raadzaam, als je Chat GPT of een andere AI gaat gebruiken voor compliance (of wat dan ook), dat je de content die de AI creëert controleert en dubbel controleert.
Er wacht een betere reis naar compliance
Kan ChatGPT Compliance de toekomst van compliance zijn?
Misschien.
Voor nu, terwijl u ChatGPT zou kunnen gebruiken om een algemeen stappenplan te maken voor uw ISO 27001 reis, bestaat er al een beproefd en vertrouwd hulpmiddel (met bijbehorende aanwijzingen)… dat is gemaakt door experts op het gebied van lean compliance.
Het heet Compleye Online en u kunt een gratis demo boeken hier!
