Liebe es oder hasse es, ChatGPT, und in der Tat, AI (Künstliche Intelligenz) im Allgemeinen ist hier zu bleiben.
Alle Befürworter sagen, dass KI als ein Werkzeug gesehen werden sollte, das Organisationen und Einzelpersonen effizienter machen kann, während alle Gegner sich fragen, ob wir nicht in die Falle der Quantität gegenüber der Qualität tappen.
Es ist ein riesiges Thema mit Raum für eine Vielzahl von Meinungen und endlosen Debatten.
Beschränken wir es also darauf, wie es uns betrifft. Tauchen wir ein in die Welt der ChatGPT-Konformität.
ChatGPT und die Einhaltung der Vorschriften: Sind die Beauftragten für die Einhaltung der Vorschriften in Gefahr?
AlsChatGPT aufkam, gerieten Werbetexter, Grafikdesigner, Musiker und so gut wie alle anderen kreativen Köpfe in Panik. Würden Arbeitsplätze verloren gehen? Würden wir vergessen, wie man schreibt, entwirft, zeichnet, kreiert?
Die Möglichkeit liegt nicht außerhalb des Bereichs der Vorstellungskraft. Es ist nicht unwahrscheinlich, dass wir weniger kreativ werden, weniger in der Lage sind, selbst zu denken, und eher von der KI abhängig werden, die unsere Arbeit für uns erledigt. Jüngste Studien haben gezeigt, dass KI tatsächlich für den Verlust von Hunderttausenden von Arbeitsplätzen verantwortlich sein wird.
Aber auch wenn ChatGPT in mancher Hinsicht das Menschsein nachahmt (und sogar von sich selbst als “ich” und “ich” spricht), dürfen wir nicht vergessen, dass die KI nicht hat:
- Persönliche Erfahrungen
- Gefühle
- Intrinsisches menschliches Gedächtnis
- Die Fähigkeit zur Sympathie
- Die Fähigkeit zur Empathie
Sind Compliance-Beauftragte also ein Risiko?
Um dies herauszufinden, müssen wir zunächst untersuchen, ob Compliance-Beauftragte die Fähigkeit haben, sich in andere hineinzuversetzen oder mit ihnen mitzufühlen.
Witzig!
Was wir uns ansehen müssen, ist, was ChatGPT ist und welche Einschränkungen es hat.
Was ist ChatGPT?
Das GPT in ChatGPT steht für “Generative Pre-trained Transformer”, eine Art neuronales Netzwerk für große Sprachmodelle (LLM), das verschiedene Aufgaben der Verarbeitung natürlicher Sprache übernehmen kann, z. B. die Beantwortung von Fragen, die Zusammenfassung von Texten und sogar die Erstellung von Codezeilen – Al Jazeera
ChatGPT ist ein KI-Modell, das darauf trainiert wurde, Antworten auf Anweisungen von Nutzern zu geben. Es tut dies mit Hilfe von RLHF (Reinforcement Learning from Human Feedback) und PPO (Proximal Policy Optimisation).
Open AI (die Organisation, die Chat GPT entwickelt hat) stellt diese Infografik zur Verfügung, um den Lernprozess zu erklären.
Unter Berücksichtigung dieses Prozesses ist es nicht unwahrscheinlich, dass ChatGPT in Zukunft im Wesentlichen lernen könnte, die Konformitätskästchen für alle Konformitätsstandards anzukreuzen.
Es müsste jedoch zunächst geschult werden, um jeden Aspekt einer Organisation zu verstehen, von ihren Sicherheitsprotokollen bis hin zu ihren Systemen, Produkten und Mitarbeitern. Mehr über diese organisationsspezifische Schulung später.
Es ist höchst unwahrscheinlich, dass ChatGPT Grautöne bei der Einhaltung der Vorschriften erkennen kann, vor allem, weil es möglicherweise nicht in der Lage ist, Beweise innerhalb der Parameter bestimmter Situationen und Szenarien zu kontextualisieren.
Darüber hinaus könnte ein KI-Modell wie ChatGPT zwar einen Bericht für einen Prüfer erstellen, Compliance-Wissen aufnehmen, Zusammenfassungen liefern und auf Aktualisierungen prüfen, aber wird es mit dem sich ständig weiterentwickelnden Bereich der Compliance Schritt halten können? Die Antwort ist, dass es das – in der Zukunft – wahrscheinlich könnte. Oder besser gesagt, ComplianceGPT (wenn es erfunden wird) wird wahrscheinlich dazu in der Lage sein.
Ein KI-Tool für die Einhaltung von Vorschriften könnte auf die internen Richtlinien und Verfahren eines Unternehmens geschult werden und den für die Einhaltung von Vorschriften zuständigen Mitarbeitern eines Unternehmens Ratschläge und Unterlagen zu den für ihr Unternehmen geltenden Vorschriften geben.
Theoretisch könnte ChatGPT also eines Tages die Aufgaben eines Compliance-Beauftragten übernehmen.
Allerdings hat KI, wie alle menschlichen und nicht-menschlichen Dinge, ihre Grenzen.
Die Grenzen von ChatGPT
Gegenstände
Am 2. Februar 2023 twitterte der CEO von Open AI, Sam Altman: “Wir wissen, dass ChatGPT Unzulänglichkeiten in Bezug auf Vorurteile hat und arbeiten daran, es zu verbessern.”
Nach einem Artikel vom 23. Februar in Business Insider muss ChatGPT “wacher” werden, weil es unwahrscheinlich ist, dass Unternehmen in eine Technologie investieren, die ihnen PR-Kopfschmerzen bereiten könnte.
Wie verhält sich die Wachsamkeit von Chat GPT zu seiner Fähigkeit, die Rolle eines Compliance-Beauftragten zu übernehmen? Objektivität ist eine der wichtigsten Fähigkeiten für Compliance-Beauftragte und – natürlich – auch für Prüfer.
Das soll nicht heißen, dass Menschen nicht auch Opfer von Voreingenommenheit werden können. Der Unterschied besteht darin, dass ein Compliance-Beauftragter, der Voreingenommenheit zeigt, zur Rechenschaft gezogen wird, während dies bei einem Automaten vielleicht nicht der Fall ist.
“Von Compliance-Beauftragten wird erwartet, dass sie eine objektive Sicht der Unternehmensrichtlinien vermitteln. Die Beeinflussung durch andere Mitarbeiter, einschließlich des Managements und der Führungskräfte, Verstöße zu übersehen, kann zu erheblichen Geldstrafen oder Sanktionen führen, die finanzielle Verluste oder sogar die Schließung des Unternehmens zur Folge haben können.” – Investopedia
Mangel an gesundem Menschenverstand
ChatGPT hat kein Gehirn, keine Gefühle, keine Geschichte, keine Familie. Es hat keine Moral oder die Fähigkeit zu denken und zu verstehen. Das bedeutet, dass es keinen gesunden Menschenverstand hat.”
Wir alle müssen durch Erfahrung lernen. Als Kleinkind legt man gerne die Hand auf eine Herdplatte, weil man noch nicht gelernt hat, dass man sich daran verbrennen kann. Wenn man erst einmal gelernt hat, dass man sich dabei verletzen kann, wird es zum gesunden Menschenverstand, seine Hand nicht auf die Herdplatte zu legen. Natürlich kann man gesunden Menschenverstand entwickeln, indem man aus den Erfahrungen anderer Menschen lernt, aber das erfordert die Fähigkeit, zu schlussfolgern und abzuleiten – etwas, das ChatGPT fehlt.
Oder tut es das?
Lassen Sie uns einen kurzen Test machen.
Wir haben ChatGPT gefragt: “Ist es sicher, einen Laptop offen auf dem Schreibtisch zu lassen?”
Und das steht da:
Einen Laptop offen auf einem Schreibtisch stehen zu lassen, ist im Allgemeinen sicher, solange der Schreibtisch stabil ist und der Laptop nicht Gefahr läuft, umgestoßen zu werden oder anderen potenziellen Gefahren ausgesetzt zu sein. Es gibt jedoch einige Faktoren zu beachten, die die Sicherheit eines Laptops auf dem Schreibtisch beeinträchtigen können:
- Sicherheit: Wenn Sie Ihren Laptop an einem öffentlichen Ort unbeaufsichtigt lassen, ist er möglicherweise nicht vor Diebstahl sicher. Es ist wichtig, dass Sie Ihren Laptop sicher aufbewahren, indem Sie ihn mit einem Passwort abschließen oder ein Laptopschloss verwenden.
- Temperatur: Laptops erzeugen Wärme, wenn sie in Gebrauch sind, und wenn Sie einen Laptop längere Zeit auf dem Schreibtisch stehen lassen, kann er überhitzen. Vergewissern Sie sich, dass die Belüftung des Laptops nicht blockiert ist und der Laptop nicht in direktem Sonnenlicht oder in der Nähe einer Wärmequelle steht.
- Strom: Wenn Ihr Laptop nicht an eine Stromquelle angeschlossen ist, kann es dazu führen, dass sich der Akku entlädt, wenn Sie ihn längere Zeit offen auf dem Schreibtisch stehen lassen, was sich auf seine Leistung und Lebensdauer auswirken kann.
Zusammenfassend lässt sich sagen, dass es im Allgemeinen sicher ist, einen Laptop offen auf dem Schreibtisch stehen zu lassen, aber es ist wichtig, vorher Sicherheits-, Temperatur- und Stromversorgungsaspekte zu berücksichtigen.
An keinem Punkt hat Chat GPT die Einhaltung von Vorschriften, den Datenschutz und die Datensicherheit berücksichtigt. Ein Mangel an gesundem Menschenverstand? Definitiv.
Anzumerken ist, dass die Antwort von Chat GPT, als er ausdrücklich aufgefordert wurde, die Einhaltung der Vorschriften als Teil desselben Szenarios zu betrachten, völlig anders ausfiel und dem entsprach, was man als Antwort auf eine Frage zur Einhaltung der Vorschriften erwarten würde.
Unfähigkeit, Zusammenhänge zu verstehen
In ihrem Artikel ‘The Top 10 Limitations of Chat GPT’ erklärt Forbes, dass “ChatGPT Schwierigkeiten hat, Kontext zu verstehen, insbesondere Sarkasmus und Humor. ChatGPT kann zwar Sprache gut verarbeiten, hat aber Schwierigkeiten, die feinen Nuancen der menschlichen Kommunikation zu erfassen. Wenn ein Benutzer beispielsweise Sarkasmus oder Humor in seiner Nachricht verwendet, kann es sein, dass ChatGPT die beabsichtigte Bedeutung nicht erkennt und stattdessen eine unangemessene oder irrelevante Antwort gibt.”
Abhängigkeit von Trainingsdaten
Trainingsdaten werden verwendet, um Algorithmen zu trainieren, damit sie Ergebnisse vorhersagen können. Wie Sie dem folgenden Diagramm aus dem Cloud Factory Artikel “The Essential Guide to Quality Training Data for Machine Learning” entnehmen können, gibt es bei Trainingsdaten mehrere Punkte, an denen menschlicher Input notwendig ist.
Das bedeutet, dass:
- Die KI hängt von der Genauigkeit der menschlichen Eingabe ab
- Die KI kann ohne einen Menschen im System nicht funktionieren
Wie bei den meisten Dingen der künstlichen Intelligenz – und das haben wir oben am Beispiel des Laptops gesehen – ist das, was man hineinsteckt, auch das, was man herausbekommt. Wenn also die Informationen und das Wissen, die von Menschen eingegeben werden, ungenau, unwahr oder von schlechter Qualität sind, dann wird auch die Ausgabe, die der Endnutzer von der KI erhält, ungenau, unwahr oder von schlechter Qualität sein.
Beschränktes Fachwissen
Domänenwissen bezieht sich auf das Wissen, das man über einen bestimmten Bereich innerhalb einer bestimmten Branche hat. Also, im Grunde genommen, Fachwissen = Expertise. ChatGPT ist kein Experte auf einem bestimmten Gebiet. Das bedeutet, dass die Anwendung der Compliance in einem bestimmten Bereich schwierig sein wird, wenn der Benutzer ChatGPT nicht zuerst trainiert, seine Branche, Organisation oder seinen Kontext zu verstehen.
Dies ist natürlich möglich, würde aber den Zeitaufwand für die Implementierung von Compliance-Rahmenwerken erhöhen, anstatt die Effizienz zu steigern.
ChatGPT und GDPR: Was wissen wir?
Die italienische Datenschutzbehörde hat Open AI angewiesen, die Verarbeitung von Personendaten in Italien zu stoppen, weil sie befürchtet, dass Chat GPT gegen die Allgemeine Datenschutzverordnung der Europäischen Union verstößt.
Nach Angaben der BBC erklärte die Aufsichtsbehörde am 20. März 2023, dass es bei der App zu einem Datenschutzverstoß gekommen sei, bei dem Nutzergespräche und Zahlungsinformationen betroffen waren.
Es gebe keine Rechtsgrundlage, die “die massenhafte Erhebung und Speicherung personenbezogener Daten zum Zwecke des ‘Trainings’ der Algorithmen, die dem Betrieb der Plattform zugrunde liegen”, rechtfertige.
Da es keine Möglichkeit gebe, das Alter der Nutzer zu überprüfen, setze die App “Minderjährige im Vergleich zu ihrem Entwicklungs- und Bewusstseinsstand absolut ungeeigneten Antworten aus”.’
Oberflächlich betrachtet scheint es, dass Chat GPT gegen Schlüsselprinzipien der GDPR verstößt, aber nach dem Fehlen von Zugpferden zu urteilen, könnte es sich um eine Kurzschlussreaktion Italiens handeln. Die Situation ist – wie bei allem, was mit künstlicher Intelligenz zu tun hat – in ständiger Entwicklung begriffen.
Was genau wissen wir also über ChatGPT und GDPR?
- Zweckbindung
Der Datenschutzkommission zufolge sollten “personenbezogene Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist.”
Wir werden beobachten müssen, wie es mit dem Italien-Szenario weitergeht, um zu wissen, ob Open AI die Zweckbindung so praktiziert, wie es sein sollte.
- Trennung der Daten
Der Schutz von Daten, die auf gemeinsam genutzten Systemen gespeichert sind, ist für viele Unternehmen ein wichtiges Anliegen. Es gibt eine Reihe von Gründen, warum dies wichtig ist. Einer davon ist natürlich die Einhaltung von Vorschriften.
“Aufgrund der potenziellen Auswirkungen, die ein unbefugter Zugriff auf ein Unternehmen haben kann, ist es sehr wichtig, dass Unternehmen robuste Maßnahmen zur Datentrennung implementieren, um den Zugriff auf sensible Daten zu begrenzen.” – Next Labs.
- Speicherplatzbeschränkung
Obwohl ChatGPT selbst keine Kontrolle über die eingegebenen Daten hat und auch nicht die Möglichkeit, Daten zu löschen, werden die Daten, die zum Training der KI verwendet werden, in großen Datenbanken gespeichert. Die Organisationen, die die Daten zum Trainieren von ChatGPT verwenden, geben an, dass sie die Daten zu Forschungs- oder Trainingszwecken unter Umständen über lange Zeiträume aufbewahren müssen.
ChatGPT und ISO 27001: worauf ist zu achten?
- Zugangskontrollen
Abschnitt A.9.1 der ISO 27001 verlangt, dass eine Organisation über eine Zugangskontrollpolitik verfügt, in der festgelegt ist, welche Benutzer Zugang zu welchen Netzwerken und Diensten haben.
In diesem Stadium wäre Chat GPT nicht in der Lage, diese Aufgabe zu erfüllen, es sei denn, es wurde umfassend in den Zugangskontrollprotokollen einer Organisation geschult. Es könnte zwar Anleitungen zur Erstellung der Richtlinie erstellen, die je nach Branche des Tech-Start-ups variieren würden, aber es wäre nicht in der Lage, die Richtlinie selbst zu erstellen. Der Grund dafür ist, dass die Erstellung einer umfassenden und effektiven Zugangskontrollrichtlinie ein tiefes Verständnis der spezifischen geschäftlichen Bedürfnisse, Risiken und rechtlichen Anforderungen eines bestimmten Unternehmens erfordert. Tatsächlich empfiehlt ChatGPT selbst, dass Unternehmen erfahrene Informationssicherheitsexperten hinzuziehen sollten, um eine Zugangskontrollpolitik zu erstellen und zu implementieren, die auf die speziellen Bedürfnisse ihres Unternehmens zugeschnitten ist
- Störfallmanagement
ISO 27001 definiert einen Sicherheitsvorfall als “ein unerwünschtes Ereignis, das die Vertraulichkeit, die Integrität oder die Verfügbarkeit von Informationen gefährden könnte”.
Ein Vorfall kann von relativ harmlos bis extrem bedrohlich für eine Organisation reichen. Die Bewältigung eines Vorfalls erfordert nicht nur ein tiefes Verständnis der Anlagen, Schwachstellen und Reaktionsverfahren einer bestimmten Organisation, sondern auch Sensibilität in Bezug auf die Kommunikation rund um den Vorfall.
Berichtsverfahren, Überprüfungen nach einem Vorfall und Verbesserungsempfehlungen werden am besten von einer professionellen Person formuliert, die ein komplexes Verständnis der betroffenen Organisation hat.
Auch wenn ChatGPT Ihnen Schritt-für-Schritt-Anweisungen geben kann, was zu tun ist, wird es nicht in der Lage sein, den Vorfall zu managen oder genaue Mitteilungen und Berichte über den Vorfall zu erstellen, es sei denn, es wurde in allen Aspekten Ihrer Organisation umfassend geschult.
- Überwachung und Prüfung
Auf die Frage, ob es die Überwachung und Prüfung nach ISO 27001 durchführen kann, gab Chat GPT Hinweise und Ratschläge zu Überwachungs- und Prüfungsaktivitäten, darunter:
Vulnerability Scanning und Penetration Testing
Zugangskontrolltests
Prüfung der Reaktion auf einen Vorfall
Testen der Geschäftskontinuität
Warum ChatGPT im Allgemeinen schlecht für die Einhaltung von Vorschriften geeignet ist?
Die Einhaltung von Vorschriften setzt ein genaues und akribisches Verständnis der rechtlichen Rahmenbedingungen voraus. Sie ist von Natur aus abhängig von ehrlichen und exakten Ein- und Ausgaben.
Open AI nennt zwei der Einschränkungen von Chat GPT:
- ChatGPT schreibt manchmal plausibel klingende, aber falsche oder unsinnige Antworten…
- Das Modell ist oft übermäßig langatmig …
Als Technologie-Start-up brauchen Sie definitiv keine falschen Informationen, wenn Sie zu Ihrem ISO 27001-Audit antreten, und Sie möchten die Informationen auch so knapp und transparent wie möglich halten
Wie Sie ChatGPT für die Einhaltung der Vorschriften nutzen können
ChatGPT kann Ihnen das übliche Was-zu-Tun und Wie-zu-Tun der ISO 27001-Konformität vermitteln. Was es nicht kann, ist die Erstellung von maßgeschneiderten Inhalten für Ihre Compliance-Reise auf der Grundlage der spezifischen Informationen und Bedürfnisse Ihrer Organisation
Im Hinblick auf KI sagt der Rechtsprofessor Matthew Sag von der Emory University: “Es gibt ein Sprichwort, das besagt, dass eine unendliche Anzahl von Affen irgendwann Shakespeare ergibt.”
Es ist wichtig, dass wir uns darüber im Klaren sind, dass Chat GPT wirklich nur das ist (zumindest im Moment) – das Ergebnis einer unendlichen Menge von Daten aus unbekannten Quellen, die zu “Fakten” zusammengestellt wurden
Die Folgen für die Einhaltung von Normen wie ISO 27001 könnten katastrophal sein
So ist es ratsam, wenn Sie Chat GPT oder eine andere KI für die Einhaltung von Normen (oder irgendetwas anderes) verwenden, dass Sie den Inhalt, den die KI erstellt, überprüfen und doppelt überprüfen.
Eine bessere Reise zur Einhaltung der Vorschriften erwartet Sie
Kann ChatGPT Compliance die Zukunft der Compliance sein?
Vielleicht.
Während Sie angeblich ChatGPT verwenden könnten, um einen allgemeinen Fahrplan für Ihre ISO 27001-Reise zu erstellen, gibt es bereits ein bewährtes Tool (mit begleitender Anleitung), das von Experten auf dem Gebiet der schlanken Compliance entwickelt wurde.
Es heißt Compleye Online und Sie können eine kostenlose Demo hier buchen!
