Quindi, i compliance officer sono a rischio?
Per accertarlo, dobbiamo innanzitutto verificare se i compliance officer hanno la capacità di provare empatia o simpatia.
Scherzo!
Quello che dobbiamo vedere è cosa è ChatGPT e quali limitazioni ha.
Che cos’è ChatGPT?
Il GPT in ChatGPT sta per “Generative Pre-trained Transformer” (trasformatore generativo preaddestrato), che è un tipo di rete neurale LLM (Large Language Model) in grado di svolgere vari compiti di elaborazione del linguaggio naturale, come rispondere a domande, riassumere testi e persino generare righe di codice” – Al Jazeera
ChatGPT è un modello di intelligenza artificiale addestrato a fornire risposte alle istruzioni fornite dagli utenti. Lo fa utilizzando RLHF (Reinforcement Learning from Human Feedback) e PPO (Proximal Policy Optimisation).
Open AI (l’organizzazione che ha sviluppato Chat GPT) fornisce questa infografica per spiegare il processo di apprendimento.
Tenendo conto di questo processo, non è improbabile che ChatGPT possa essenzialmente imparare a spuntare le caselle di conformità per qualsiasi standard di conformità in futuro.
Tuttavia, dovrebbe prima essere addestrato a comprendere ogni aspetto di un’organizzazione, dai suoi protocolli di sicurezza, ai suoi sistemi, prodotti e personale. Per saperne di più su questa formazione specifica per l’organizzazione, si veda più avanti.
Quello che è altamente improbabile è che ChatGPT possa identificare le sfumature di grigio quando si tratta di conformità, soprattutto perché potrebbe non essere in grado di contestualizzare le prove all’interno dei parametri di situazioni e scenari specifici.
Inoltre, mentre un modello di IA come ChatGPT potrebbe generare un report per un auditor, assimilare le conoscenze sulla compliance, fornire sintesi e controllare gli aggiornamenti, sarà in grado di tenere il passo con il campo della compliance in continua evoluzione? La risposta è che, in futuro, probabilmente potrà farlo. O meglio, ComplianceGPT (quando sarà inventato) sarà probabilmente in grado di farlo.
Uno strumento di intelligenza artificiale per la compliance potrebbe essere addestrato alle politiche e alle procedure interne di un’organizzazione e fornire consulenza e documentazione ai responsabili della compliance all’interno di un’organizzazione sulle normative che si applicano alla loro azienda nello specifico.
Quindi, in teoria, ChatGPT potrebbe un giorno fare le basi del lavoro di un compliance officer.
Tuttavia, come tutte le cose umane e non umane, l’IA ha i suoi limiti.
I limiti della ChatGPT
Le basi
Il 2 febbraio 2023, l’amministratore delegato di Open AI, Sam Altman, ha twittato: “Sappiamo che ChatGPT ha delle carenze per quanto riguarda i pregiudizi e stiamo lavorando per migliorarlo”
Secondo un articolo del 23 febbraio di Business Insider, ChatGPT deve diventare più “sveglio” perché è improbabile che le aziende investano in una tecnologia che potrebbe causare loro grattacapi a livello di PR.
Come si relaziona l’operosità di Chat GPT con la sua capacità di assumere il ruolo di compliance officer? L’obiettività è una delle abilità più importanti per i compliance officer e, naturalmente, anche per gli auditor.
Questo non vuol dire che gli esseri umani non siano vittime di pregiudizi. La differenza è che un responsabile della conformità che mostra pregiudizi sarà ritenuto responsabile, mentre un automa potrebbe non esserlo.
“I responsabili della conformità devono fornire una visione obiettiva delle politiche aziendali. L’influenza di altri dipendenti, compresi i dirigenti e i quadri, nel trascurare le infrazioni può comportare multe o sanzioni significative che possono portare a perdite finanziarie o addirittura alla chiusura dell’azienda” – Investopedia
Mancanza di buon senso
Il ChatGPT non ha cervello, non ha emozioni, non ha storia, non ha famiglia. Non ha morale né capacità di ragionare e capire. Questo significa che manca di buon senso.
Tutti abbiamo bisogno di imparare attraverso l’esperienza. Quando sei un bambino metterai volentieri la mano sulla piastra del fornello perché non hai ancora imparato che potrebbe bruciarti. Una volta appreso che è probabile che ci si faccia male, diventa buon senso non mettere la mano sulla piastra della stufa. Naturalmente, è possibile sviluppare il buon senso imparando dalle esperienze degli altri, ma ciò richiede la capacità di ragionare e dedurre, cosa che a ChatGPT manca.
Oppure è così?
Facciamo un rapido test.
Abbiamo chiesto a ChatGPT: “È sicuro lasciare un laptop aperto su una scrivania?”
Ecco cosa diceva:
Lasciare un computer portatile aperto su una scrivania è generalmente sicuro, purché la scrivania sia stabile e il computer portatile non rischi di essere rovesciato o esposto ad altri potenziali pericoli. Tuttavia, ci sono alcuni fattori da considerare che potrebbero influire sulla sicurezza di lasciare un computer portatile aperto su una scrivania:
- Sicurezza: Se lasciate il vostro computer portatile incustodito in un luogo pubblico, potrebbe non essere al sicuro dal furto. È importante tenere il portatile al sicuro chiudendolo con una password o utilizzando un lucchetto per laptop.
- Temperatura: I computer portatili generano calore quando vengono utilizzati e lasciarli sulla scrivania per un periodo di tempo prolungato potrebbe causarne il surriscaldamento. Assicurarsi che la ventilazione del computer portatile non sia bloccata e che il computer portatile non sia esposto alla luce diretta del sole o vicino a una fonte di calore
- Alimentazione: Se il portatile non è collegato a una fonte di alimentazione, lasciarlo aperto su una scrivania per un periodo di tempo prolungato potrebbe causare lo scaricamento della batteria, con conseguenti ripercussioni sulle prestazioni e sulla durata della vita.
In sintesi, è generalmente sicuro lasciare un computer portatile aperto su una scrivania, ma è importante considerare i problemi di sicurezza, temperatura e alimentazione prima di farlo.
In nessun punto Chat GPT ha considerato la conformità, la privacy e la sicurezza dei dati. Una mancanza di buon senso? Sicuramente.
/wp:paragrafo –>
Va notato che quando è stato chiesto specificamente di considerare la conformità come parte dello stesso scenario, la risposta di Chat GPT è stata completamente diversa e conforme a ciò che ci si aspetterebbe come risposta a una domanda specifica sulla conformità.
Incapacità di comprendere il contesto
Nel loro articolo ‘Le 10 principali limitazioni di Chat GPT’, Forbes spiega che, “ChatGPT ha difficoltà a comprendere il contesto, specialmente il sarcasmo e l’umorismo. Pur essendo abile nell’elaborazione del linguaggio, ChatGPT può faticare a cogliere le sottili sfumature della comunicazione umana. Ad esempio, se un utente usa il sarcasmo o l’umorismo nel suo messaggio, ChatGPT potrebbe non cogliere il significato voluto e fornire invece una risposta inappropriata o irrilevante”
Dipendenza dai dati di addestramento
I dati di addestramento vengono utilizzati per addestrare gli algoritmi in modo che possano prevedere i risultati. Come si può vedere dal diagramma sottostante, estratto dall’articolo di Cloud Factory “La guida essenziale ai dati di addestramento di qualità per il Machine Learning”, quando si tratta di dati di addestramento, ci sono diversi punti in cui è necessario l’apporto umano.
Questo significa che:
- L’IA dipende dall’accuratezza dell’input umano
- L’IA non può funzionare senza un umano nel sistema
Come per la maggior parte delle cose che riguardano l’IA – e lo abbiamo visto con l’esempio del laptop di cui sopra – quello che si mette dentro è quello che si tira fuori. Quindi, se le informazioni e le conoscenze immesse dagli esseri umani sono imprecise, false o di scarsa qualità, anche l’output che l’utente finale riceve dall’IA sarà impreciso, falso o di scarsa qualità.
Conoscenza limitata del dominio
La conoscenza del dominio si riferisce all’intelligenza di un’area specifica all’interno di un settore specifico. Quindi, essenzialmente, conoscenza del dominio = competenza. ChatGPT non è un esperto in un campo particolare. Ciò significa che l’applicazione della compliance all’interno di un dominio specifico sarà difficile se l’utente non addestra Chat GPT a comprendere il proprio settore, la propria organizzazione o il proprio contesto.
Questo può essere fatto, naturalmente, ma di fatto aumenterebbe il tempo necessario per implementare i quadri di conformità, piuttosto che aumentare l’efficienza.
ChatGPT e GDPR: cosa sappiamo?
L’autorità italiana per la protezione dei dati ha ordinato a Open AI di interrompere il trattamento dei dati delle persone in Italia perché teme che Chat GPT stia violando il Regolamento generale sulla protezione dei dati dell’Unione europea.
Secondo la BBC, “l’ente di controllo ha dichiarato il 20 marzo 2023 che l’app aveva subito una violazione dei dati che coinvolgeva le conversazioni degli utenti e le informazioni sui pagamenti”
La società ha dichiarato che non esiste una base giuridica che giustifichi “la raccolta e l’archiviazione di massa di dati personali allo scopo di ‘addestrare’ gli algoritmi alla base del funzionamento della piattaforma”.
Si dice anche che, non essendoci modo di verificare l’età degli utenti, l’app “espone i minori a risposte assolutamente inadatte rispetto al loro grado di sviluppo e consapevolezza”.’
In superficie sembra che Chat GPT stia violando iprincipi chiave del GDPR, ma a giudicare dall’assenza di salto del carro, potrebbe trattarsi solo di una reazione impulsiva dell’Italia. La situazione, come per ogni cosa che riguarda l’AI, è in continua evoluzione.
Quindi, cosa sappiamo esattamente di ChatGPT e GDPR?
- Limitazione dello scopo
Secondo la Commissione per la protezione dei dati, “i dati personali devono essere raccolti solo per scopi specifici, espliciti e legittimi e non devono essere trattati in modo incompatibile con tali scopi”
Dovremo tenere d’occhio ciò che accadrà in seguito nello scenario italiano per poter sapere se Open AI sta praticando o meno la limitazione delle finalità come dovrebbe.
- Separazione dei dati
Per molte organizzazioni è di vitale importanza proteggere i dati archiviati su sistemi condivisi. Le ragioni di questa importanza sono molteplici. Uno di questi, ovviamente, è la conformità normativa.
“A causa del potenziale impatto che l’accesso non autorizzato può avere su un’azienda, è molto importante che le organizzazioni implementino solide misure di segregazione dei dati per limitare l’accesso ai dati sensibili” – Next Labs.
- Limitazione di spazio
Anche se ChatGPT non controlla i dati immessi e non ha la possibilità di cancellarli, i dati utilizzati per addestrare l’intelligenza artificiale sono conservati in grandi database. Le organizzazioni che utilizzano i dati per addestrare Chat GPT affermano di aver bisogno di conservare i dati per lunghi periodi di tempo a scopo di ricerca o di formazione.
ChatGPT e ISO 27001: a cosa fare attenzione?
- Controlli di accesso
La sottosezione A.9.1 della ISO 27001 richiede che un’organizzazione abbia una politica di controllo degli accessi, che definisca quali utenti hanno accesso a quali reti e servizi.
A questo punto Chat GPT non sarebbe in grado di svolgere questo compito a meno che non abbia ricevuto una formazione approfondita sui protocolli di controllo degli accessi di un’organizzazione. Sebbene possa fornire indicazioni, che variano a seconda del settore specifico della startup tecnologica, su come creare la policy, non sarebbe in grado di creare la policy stessa. Questo perché la creazione di una politica di controllo degli accessi completa ed efficace richiede una profonda comprensione delle esigenze aziendali specifiche, dei rischi e dei requisiti normativi di una determinata organizzazione. Infatti, ChatGPT stessa raccomanda alle organizzazioni di rivolgersi a professionisti esperti di sicurezza delle informazioni per creare e implementare una politica di controllo degli accessi personalizzata in base alle esigenze specifiche dell’organizzazione
- Gestione degli incidenti
La ISO 27001 definisce un incidente di sicurezza come “un evento indesiderato che potrebbe mettere in pericolo la riservatezza, l’integrità o la disponibilità delle informazioni”.
Un incidente può variare da abbastanza innocuo a estremamente minaccioso per un’organizzazione. La gestione di un incidente richiede non solo una profonda comprensione degli asset, delle vulnerabilità e delle procedure di risposta di una particolare organizzazione, ma anche una sensibilità nella comunicazione dell’incidente.
Le procedure di segnalazione, le revisioni post incidente e le raccomandazioni di miglioramento sono meglio formulate da una persona professionale che ha una comprensione complessa dell’organizzazione coinvolta.
Anche se il ChatGPT può fornirvi istruzioni passo-passo su cosa fare, a meno che non sia stato ampiamente addestrato su ogni aspetto della vostra organizzazione, non sarà in grado di gestire l’incidente o di creare comunicazioni e rapporti accurati sull’incidente.
- Monitoraggio e test
Quando gli è stato chiesto se è in grado di eseguire il monitoraggio e il test ISO 27001, Chat GPT ha fornito indicazioni e consigli sulle attività di monitoraggio e test, tra cui:
Scansione della vulnerabilità e test di penetrazione
Test di controllo degli accessi
Test di risposta agli incidenti
Test di continuità aziendale
Perché ChatGPT non è adatto alla conformità, in generale?
La compliance si basa su una comprensione accurata e meticolosa dei quadri normativi. Dipende intrinsecamente da input e output onesti ed esatti.
Open AI elenca due dei limiti di Chat GPT come:
- ChatGPT a volte scrive risposte plausibili ma non corrette o senza senso…
- Il modello è spesso eccessivamente prolisso…
Come start-up tecnologica, non avete certo bisogno di informazioni errate quando vi accingete ad affrontare l’audit ISO 27001 e volete anche mantenere le informazioni il più sintetiche e trasparenti possibile (sì, umanamente).
Come potreste usare ChatGPT per la compliance
ChatGPT è in grado di fornirvi il classico “cosa fare” e “come fare” della conformità ISO 27001. Ciò che non può fare è creare contenuti su misura per il vostro percorso di conformità in base alle informazioni e alle esigenze specifiche della vostra organizzazione.
Per quanto riguarda l’IA, il professore di legge Matthew Sag della Emory University dice: “C’è un detto che dice che un numero infinito di scimmie alla fine ti darà Shakespeare”
È importante che ci rendiamo conto che Chat GPT è davvero solo questo (per ora, comunque) – il risultato di una quantità infinita di dati provenienti da fonti sconosciute che vengono compilati in “fatti”.
I risultati di ciò quando si tratta di conformità a standard come la ISO 27001 potrebbero essere disastrosi.
Quindi, se si intende utilizzare Chat GPT o qualsiasi altra IA per la conformità (o qualsiasi altra cosa, se è per questo), è consigliabile controllare e ricontrollare il contenuto che l’IA crea.
Un viaggio migliore verso la conformità vi aspetta
La ChatGPT Compliance potrebbe essere il futuro della compliance?
Forse.
Per ora, mentre potreste apparentemente usare ChatGPT per creare una roadmap generica per il vostro viaggio ISO 27001, esiste già uno strumento collaudato e affidabile (con relative indicazioni)… creato da esperti nel campo della lean compliance.
Si chiama Compleye Online ed è possibile prenotare una demo gratuita qui!
- Esperienze personali
- Emozioni
- Memoria umana intrinseca
- La capacità di simpatia
- La capacità di empatia.
Quindi, i compliance officer sono a rischio?
Per accertarlo, dobbiamo innanzitutto verificare se i compliance officer hanno la capacità di provare empatia o simpatia.
Scherzo!
Quello che dobbiamo vedere è cosa è ChatGPT e quali limitazioni ha.
Che cos’è ChatGPT?
Il GPT in ChatGPT sta per “Generative Pre-trained Transformer” (trasformatore generativo preaddestrato), che è un tipo di rete neurale LLM (Large Language Model) in grado di svolgere vari compiti di elaborazione del linguaggio naturale, come rispondere a domande, riassumere testi e persino generare righe di codice” – Al Jazeera
ChatGPT è un modello di intelligenza artificiale addestrato a fornire risposte alle istruzioni fornite dagli utenti. Lo fa utilizzando RLHF (Reinforcement Learning from Human Feedback) e PPO (Proximal Policy Optimisation).
Open AI (l’organizzazione che ha sviluppato Chat GPT) fornisce questa infografica per spiegare il processo di apprendimento.
Tenendo conto di questo processo, non è improbabile che ChatGPT possa essenzialmente imparare a spuntare le caselle di conformità per qualsiasi standard di conformità in futuro.
Tuttavia, dovrebbe prima essere addestrato a comprendere ogni aspetto di un’organizzazione, dai suoi protocolli di sicurezza, ai suoi sistemi, prodotti e personale. Per saperne di più su questa formazione specifica per l’organizzazione, si veda più avanti.
Quello che è altamente improbabile è che ChatGPT possa identificare le sfumature di grigio quando si tratta di conformità, soprattutto perché potrebbe non essere in grado di contestualizzare le prove all’interno dei parametri di situazioni e scenari specifici.
Inoltre, mentre un modello di IA come ChatGPT potrebbe generare un report per un auditor, assimilare le conoscenze sulla compliance, fornire sintesi e controllare gli aggiornamenti, sarà in grado di tenere il passo con il campo della compliance in continua evoluzione? La risposta è che, in futuro, probabilmente potrà farlo. O meglio, ComplianceGPT (quando sarà inventato) sarà probabilmente in grado di farlo.
Uno strumento di intelligenza artificiale per la compliance potrebbe essere addestrato alle politiche e alle procedure interne di un’organizzazione e fornire consulenza e documentazione ai responsabili della compliance all’interno di un’organizzazione sulle normative che si applicano alla loro azienda nello specifico.
Quindi, in teoria, ChatGPT potrebbe un giorno fare le basi del lavoro di un compliance officer.
Tuttavia, come tutte le cose umane e non umane, l’IA ha i suoi limiti.
I limiti della ChatGPT
Le basi
Il 2 febbraio 2023, l’amministratore delegato di Open AI, Sam Altman, ha twittato: “Sappiamo che ChatGPT ha delle carenze per quanto riguarda i pregiudizi e stiamo lavorando per migliorarlo”
Secondo un articolo del 23 febbraio di Business Insider, ChatGPT deve diventare più “sveglio” perché è improbabile che le aziende investano in una tecnologia che potrebbe causare loro grattacapi a livello di PR.
Come si relaziona l’operosità di Chat GPT con la sua capacità di assumere il ruolo di compliance officer? L’obiettività è una delle abilità più importanti per i compliance officer e, naturalmente, anche per gli auditor.
Questo non vuol dire che gli esseri umani non siano vittime di pregiudizi. La differenza è che un responsabile della conformità che mostra pregiudizi sarà ritenuto responsabile, mentre un automa potrebbe non esserlo.
“I responsabili della conformità devono fornire una visione obiettiva delle politiche aziendali. L’influenza di altri dipendenti, compresi i dirigenti e i quadri, nel trascurare le infrazioni può comportare multe o sanzioni significative che possono portare a perdite finanziarie o addirittura alla chiusura dell’azienda” – Investopedia
Mancanza di buon senso
Il ChatGPT non ha cervello, non ha emozioni, non ha storia, non ha famiglia. Non ha morale né capacità di ragionare e capire. Questo significa che manca di buon senso.
Tutti abbiamo bisogno di imparare attraverso l’esperienza. Quando sei un bambino metterai volentieri la mano sulla piastra del fornello perché non hai ancora imparato che potrebbe bruciarti. Una volta appreso che è probabile che ci si faccia male, diventa buon senso non mettere la mano sulla piastra della stufa. Naturalmente, è possibile sviluppare il buon senso imparando dalle esperienze degli altri, ma ciò richiede la capacità di ragionare e dedurre, cosa che a ChatGPT manca.
Oppure è così?
Facciamo un rapido test.
Abbiamo chiesto a ChatGPT: “È sicuro lasciare un laptop aperto su una scrivania?”
Ecco cosa diceva:
Lasciare un computer portatile aperto su una scrivania è generalmente sicuro, purché la scrivania sia stabile e il computer portatile non rischi di essere rovesciato o esposto ad altri potenziali pericoli. Tuttavia, ci sono alcuni fattori da considerare che potrebbero influire sulla sicurezza di lasciare un computer portatile aperto su una scrivania:
- Sicurezza: Se lasciate il vostro computer portatile incustodito in un luogo pubblico, potrebbe non essere al sicuro dal furto. È importante tenere il portatile al sicuro chiudendolo con una password o utilizzando un lucchetto per laptop.
- Temperatura: I computer portatili generano calore quando vengono utilizzati e lasciarli sulla scrivania per un periodo di tempo prolungato potrebbe causarne il surriscaldamento. Assicurarsi che la ventilazione del computer portatile non sia bloccata e che il computer portatile non sia esposto alla luce diretta del sole o vicino a una fonte di calore
- Alimentazione: Se il portatile non è collegato a una fonte di alimentazione, lasciarlo aperto su una scrivania per un periodo di tempo prolungato potrebbe causare lo scaricamento della batteria, con conseguenti ripercussioni sulle prestazioni e sulla durata della vita.
In sintesi, è generalmente sicuro lasciare un computer portatile aperto su una scrivania, ma è importante considerare i problemi di sicurezza, temperatura e alimentazione prima di farlo.
In nessun punto Chat GPT ha considerato la conformità, la privacy e la sicurezza dei dati. Una mancanza di buon senso? Sicuramente.
/wp:paragrafo –>
Va notato che quando è stato chiesto specificamente di considerare la conformità come parte dello stesso scenario, la risposta di Chat GPT è stata completamente diversa e conforme a ciò che ci si aspetterebbe come risposta a una domanda specifica sulla conformità.
Incapacità di comprendere il contesto
Nel loro articolo ‘Le 10 principali limitazioni di Chat GPT’, Forbes spiega che, “ChatGPT ha difficoltà a comprendere il contesto, specialmente il sarcasmo e l’umorismo. Pur essendo abile nell’elaborazione del linguaggio, ChatGPT può faticare a cogliere le sottili sfumature della comunicazione umana. Ad esempio, se un utente usa il sarcasmo o l’umorismo nel suo messaggio, ChatGPT potrebbe non cogliere il significato voluto e fornire invece una risposta inappropriata o irrilevante”
Dipendenza dai dati di addestramento
I dati di addestramento vengono utilizzati per addestrare gli algoritmi in modo che possano prevedere i risultati. Come si può vedere dal diagramma sottostante, estratto dall’articolo di Cloud Factory “La guida essenziale ai dati di addestramento di qualità per il Machine Learning”, quando si tratta di dati di addestramento, ci sono diversi punti in cui è necessario l’apporto umano.
Questo significa che:
- L’IA dipende dall’accuratezza dell’input umano
- L’IA non può funzionare senza un umano nel sistema
Come per la maggior parte delle cose che riguardano l’IA – e lo abbiamo visto con l’esempio del laptop di cui sopra – quello che si mette dentro è quello che si tira fuori. Quindi, se le informazioni e le conoscenze immesse dagli esseri umani sono imprecise, false o di scarsa qualità, anche l’output che l’utente finale riceve dall’IA sarà impreciso, falso o di scarsa qualità.
Conoscenza limitata del dominio
La conoscenza del dominio si riferisce all’intelligenza di un’area specifica all’interno di un settore specifico. Quindi, essenzialmente, conoscenza del dominio = competenza. ChatGPT non è un esperto in un campo particolare. Ciò significa che l’applicazione della compliance all’interno di un dominio specifico sarà difficile se l’utente non addestra Chat GPT a comprendere il proprio settore, la propria organizzazione o il proprio contesto.
Questo può essere fatto, naturalmente, ma di fatto aumenterebbe il tempo necessario per implementare i quadri di conformità, piuttosto che aumentare l’efficienza.
ChatGPT e GDPR: cosa sappiamo?
L’autorità italiana per la protezione dei dati ha ordinato a Open AI di interrompere il trattamento dei dati delle persone in Italia perché teme che Chat GPT stia violando il Regolamento generale sulla protezione dei dati dell’Unione europea.
Secondo la BBC, “l’ente di controllo ha dichiarato il 20 marzo 2023 che l’app aveva subito una violazione dei dati che coinvolgeva le conversazioni degli utenti e le informazioni sui pagamenti”
La società ha dichiarato che non esiste una base giuridica che giustifichi “la raccolta e l’archiviazione di massa di dati personali allo scopo di ‘addestrare’ gli algoritmi alla base del funzionamento della piattaforma”.
Si dice anche che, non essendoci modo di verificare l’età degli utenti, l’app “espone i minori a risposte assolutamente inadatte rispetto al loro grado di sviluppo e consapevolezza”.’
In superficie sembra che Chat GPT stia violando iprincipi chiave del GDPR, ma a giudicare dall’assenza di salto del carro, potrebbe trattarsi solo di una reazione impulsiva dell’Italia. La situazione, come per ogni cosa che riguarda l’AI, è in continua evoluzione.
Quindi, cosa sappiamo esattamente di ChatGPT e GDPR?
- Limitazione dello scopo
Secondo la Commissione per la protezione dei dati, “i dati personali devono essere raccolti solo per scopi specifici, espliciti e legittimi e non devono essere trattati in modo incompatibile con tali scopi”
Dovremo tenere d’occhio ciò che accadrà in seguito nello scenario italiano per poter sapere se Open AI sta praticando o meno la limitazione delle finalità come dovrebbe.
- Separazione dei dati
Per molte organizzazioni è di vitale importanza proteggere i dati archiviati su sistemi condivisi. Le ragioni di questa importanza sono molteplici. Uno di questi, ovviamente, è la conformità normativa.
“A causa del potenziale impatto che l’accesso non autorizzato può avere su un’azienda, è molto importante che le organizzazioni implementino solide misure di segregazione dei dati per limitare l’accesso ai dati sensibili” – Next Labs.
- Limitazione di spazio
Anche se ChatGPT non controlla i dati immessi e non ha la possibilità di cancellarli, i dati utilizzati per addestrare l’intelligenza artificiale sono conservati in grandi database. Le organizzazioni che utilizzano i dati per addestrare Chat GPT affermano di aver bisogno di conservare i dati per lunghi periodi di tempo a scopo di ricerca o di formazione.
ChatGPT e ISO 27001: a cosa fare attenzione?
- Controlli di accesso
La sottosezione A.9.1 della ISO 27001 richiede che un’organizzazione abbia una politica di controllo degli accessi, che definisca quali utenti hanno accesso a quali reti e servizi.
A questo punto Chat GPT non sarebbe in grado di svolgere questo compito a meno che non abbia ricevuto una formazione approfondita sui protocolli di controllo degli accessi di un’organizzazione. Sebbene possa fornire indicazioni, che variano a seconda del settore specifico della startup tecnologica, su come creare la policy, non sarebbe in grado di creare la policy stessa. Questo perché la creazione di una politica di controllo degli accessi completa ed efficace richiede una profonda comprensione delle esigenze aziendali specifiche, dei rischi e dei requisiti normativi di una determinata organizzazione. Infatti, ChatGPT stessa raccomanda alle organizzazioni di rivolgersi a professionisti esperti di sicurezza delle informazioni per creare e implementare una politica di controllo degli accessi personalizzata in base alle esigenze specifiche dell’organizzazione
- Gestione degli incidenti
La ISO 27001 definisce un incidente di sicurezza come “un evento indesiderato che potrebbe mettere in pericolo la riservatezza, l’integrità o la disponibilità delle informazioni”.
Un incidente può variare da abbastanza innocuo a estremamente minaccioso per un’organizzazione. La gestione di un incidente richiede non solo una profonda comprensione degli asset, delle vulnerabilità e delle procedure di risposta di una particolare organizzazione, ma anche una sensibilità nella comunicazione dell’incidente.
Le procedure di segnalazione, le revisioni post incidente e le raccomandazioni di miglioramento sono meglio formulate da una persona professionale che ha una comprensione complessa dell’organizzazione coinvolta.
Anche se il ChatGPT può fornirvi istruzioni passo-passo su cosa fare, a meno che non sia stato ampiamente addestrato su ogni aspetto della vostra organizzazione, non sarà in grado di gestire l’incidente o di creare comunicazioni e rapporti accurati sull’incidente.
- Monitoraggio e test
Quando gli è stato chiesto se è in grado di eseguire il monitoraggio e il test ISO 27001, Chat GPT ha fornito indicazioni e consigli sulle attività di monitoraggio e test, tra cui:
Scansione della vulnerabilità e test di penetrazione
Test di controllo degli accessi
Test di risposta agli incidenti
Test di continuità aziendale
Perché ChatGPT non è adatto alla conformità, in generale?
La compliance si basa su una comprensione accurata e meticolosa dei quadri normativi. Dipende intrinsecamente da input e output onesti ed esatti.
Open AI elenca due dei limiti di Chat GPT come:
- ChatGPT a volte scrive risposte plausibili ma non corrette o senza senso…
- Il modello è spesso eccessivamente prolisso…
Come start-up tecnologica, non avete certo bisogno di informazioni errate quando vi accingete ad affrontare l’audit ISO 27001 e volete anche mantenere le informazioni il più sintetiche e trasparenti possibile (sì, umanamente).
Come potreste usare ChatGPT per la compliance
ChatGPT è in grado di fornirvi il classico “cosa fare” e “come fare” della conformità ISO 27001. Ciò che non può fare è creare contenuti su misura per il vostro percorso di conformità in base alle informazioni e alle esigenze specifiche della vostra organizzazione.
Per quanto riguarda l’IA, il professore di legge Matthew Sag della Emory University dice: “C’è un detto che dice che un numero infinito di scimmie alla fine ti darà Shakespeare”
È importante che ci rendiamo conto che Chat GPT è davvero solo questo (per ora, comunque) – il risultato di una quantità infinita di dati provenienti da fonti sconosciute che vengono compilati in “fatti”.
I risultati di ciò quando si tratta di conformità a standard come la ISO 27001 potrebbero essere disastrosi.
Quindi, se si intende utilizzare Chat GPT o qualsiasi altra IA per la conformità (o qualsiasi altra cosa, se è per questo), è consigliabile controllare e ricontrollare il contenuto che l’IA crea.
Un viaggio migliore verso la conformità vi aspetta
La ChatGPT Compliance potrebbe essere il futuro della compliance?
Forse.
Per ora, mentre potreste apparentemente usare ChatGPT per creare una roadmap generica per il vostro viaggio ISO 27001, esiste già uno strumento collaudato e affidabile (con relative indicazioni)… creato da esperti nel campo della lean compliance.
Si chiama Compleye Online ed è possibile prenotare una demo gratuita qui!
Amate o odiate, ChatGPT, e in effetti, l’AI (Intelligenza Artificiale) in generale è qui per restare.
Tutti coloro che sono a favore dicono che l’IA dovrebbe essere vista come uno strumento che può essere usato per rendere le organizzazioni e gli individui più efficienti, mentre tutti coloro che sono contrari si chiedono se stiamo cadendo nella trappola della quantità contro la qualità.
È un argomento enorme, con spazio per una moltitudine di opinioni e un dibattito infinito.
Riduciamo quindi l’argomento a come ci riguarda. Addentriamoci nel mondo della conformità alla ChatGPT.
ChatGPT e compliance: i compliance officer sono a rischio?
Quando è emersa la ChatGPT, i copywriter, i grafici, i musicisti e chiunque altro abbia un’inclinazione creativa è entrato in modalità panico. Si sarebbero persi posti di lavoro? Avremmo dimenticato come si scrive, si progetta, si disegna, si crea?
La possibilità non va oltre la portata dell’immaginazione. Non è improbabile che diventeremo meno creativi, meno capaci di pensare con la nostra testa e più propensi a dipendere dall’intelligenza artificiale che farà il lavoro al posto nostro. In effetti, studi recenti hanno dimostrato che l’IA sarà effettivamente responsabile della perdita di centinaia di migliaia di posti di lavoro.
Ma, anche se la ChatGPT imita l’umanità in alcuni modi (persino riferendosi a se stessa come ‘io’ e ‘me’), qualcosa che dobbiamo ricordare è che l’AI non ha:
- Esperienze personali
- Emozioni
- Memoria umana intrinseca
- La capacità di simpatia
- La capacità di empatia.
Quindi, i compliance officer sono a rischio?
Per accertarlo, dobbiamo innanzitutto verificare se i compliance officer hanno la capacità di provare empatia o simpatia.
Scherzo!
Quello che dobbiamo vedere è cosa è ChatGPT e quali limitazioni ha.
Che cos’è ChatGPT?
Il GPT in ChatGPT sta per “Generative Pre-trained Transformer” (trasformatore generativo preaddestrato), che è un tipo di rete neurale LLM (Large Language Model) in grado di svolgere vari compiti di elaborazione del linguaggio naturale, come rispondere a domande, riassumere testi e persino generare righe di codice” – Al Jazeera
ChatGPT è un modello di intelligenza artificiale addestrato a fornire risposte alle istruzioni fornite dagli utenti. Lo fa utilizzando RLHF (Reinforcement Learning from Human Feedback) e PPO (Proximal Policy Optimisation).
Open AI (l’organizzazione che ha sviluppato Chat GPT) fornisce questa infografica per spiegare il processo di apprendimento.
Tenendo conto di questo processo, non è improbabile che ChatGPT possa essenzialmente imparare a spuntare le caselle di conformità per qualsiasi standard di conformità in futuro.
Tuttavia, dovrebbe prima essere addestrato a comprendere ogni aspetto di un’organizzazione, dai suoi protocolli di sicurezza, ai suoi sistemi, prodotti e personale. Per saperne di più su questa formazione specifica per l’organizzazione, si veda più avanti.
Quello che è altamente improbabile è che ChatGPT possa identificare le sfumature di grigio quando si tratta di conformità, soprattutto perché potrebbe non essere in grado di contestualizzare le prove all’interno dei parametri di situazioni e scenari specifici.
Inoltre, mentre un modello di IA come ChatGPT potrebbe generare un report per un auditor, assimilare le conoscenze sulla compliance, fornire sintesi e controllare gli aggiornamenti, sarà in grado di tenere il passo con il campo della compliance in continua evoluzione? La risposta è che, in futuro, probabilmente potrà farlo. O meglio, ComplianceGPT (quando sarà inventato) sarà probabilmente in grado di farlo.
Uno strumento di intelligenza artificiale per la compliance potrebbe essere addestrato alle politiche e alle procedure interne di un’organizzazione e fornire consulenza e documentazione ai responsabili della compliance all’interno di un’organizzazione sulle normative che si applicano alla loro azienda nello specifico.
Quindi, in teoria, ChatGPT potrebbe un giorno fare le basi del lavoro di un compliance officer.
Tuttavia, come tutte le cose umane e non umane, l’IA ha i suoi limiti.
I limiti della ChatGPT
Le basi
Il 2 febbraio 2023, l’amministratore delegato di Open AI, Sam Altman, ha twittato: “Sappiamo che ChatGPT ha delle carenze per quanto riguarda i pregiudizi e stiamo lavorando per migliorarlo”
Secondo un articolo del 23 febbraio di Business Insider, ChatGPT deve diventare più “sveglio” perché è improbabile che le aziende investano in una tecnologia che potrebbe causare loro grattacapi a livello di PR.
Come si relaziona l’operosità di Chat GPT con la sua capacità di assumere il ruolo di compliance officer? L’obiettività è una delle abilità più importanti per i compliance officer e, naturalmente, anche per gli auditor.
Questo non vuol dire che gli esseri umani non siano vittime di pregiudizi. La differenza è che un responsabile della conformità che mostra pregiudizi sarà ritenuto responsabile, mentre un automa potrebbe non esserlo.
“I responsabili della conformità devono fornire una visione obiettiva delle politiche aziendali. L’influenza di altri dipendenti, compresi i dirigenti e i quadri, nel trascurare le infrazioni può comportare multe o sanzioni significative che possono portare a perdite finanziarie o addirittura alla chiusura dell’azienda” – Investopedia
Mancanza di buon senso
Il ChatGPT non ha cervello, non ha emozioni, non ha storia, non ha famiglia. Non ha morale né capacità di ragionare e capire. Questo significa che manca di buon senso.
Tutti abbiamo bisogno di imparare attraverso l’esperienza. Quando sei un bambino metterai volentieri la mano sulla piastra del fornello perché non hai ancora imparato che potrebbe bruciarti. Una volta appreso che è probabile che ci si faccia male, diventa buon senso non mettere la mano sulla piastra della stufa. Naturalmente, è possibile sviluppare il buon senso imparando dalle esperienze degli altri, ma ciò richiede la capacità di ragionare e dedurre, cosa che a ChatGPT manca.
Oppure è così?
Facciamo un rapido test.
Abbiamo chiesto a ChatGPT: “È sicuro lasciare un laptop aperto su una scrivania?”
Ecco cosa diceva:
Lasciare un computer portatile aperto su una scrivania è generalmente sicuro, purché la scrivania sia stabile e il computer portatile non rischi di essere rovesciato o esposto ad altri potenziali pericoli. Tuttavia, ci sono alcuni fattori da considerare che potrebbero influire sulla sicurezza di lasciare un computer portatile aperto su una scrivania:
- Sicurezza: Se lasciate il vostro computer portatile incustodito in un luogo pubblico, potrebbe non essere al sicuro dal furto. È importante tenere il portatile al sicuro chiudendolo con una password o utilizzando un lucchetto per laptop.
- Temperatura: I computer portatili generano calore quando vengono utilizzati e lasciarli sulla scrivania per un periodo di tempo prolungato potrebbe causarne il surriscaldamento. Assicurarsi che la ventilazione del computer portatile non sia bloccata e che il computer portatile non sia esposto alla luce diretta del sole o vicino a una fonte di calore
- Alimentazione: Se il portatile non è collegato a una fonte di alimentazione, lasciarlo aperto su una scrivania per un periodo di tempo prolungato potrebbe causare lo scaricamento della batteria, con conseguenti ripercussioni sulle prestazioni e sulla durata della vita.
In sintesi, è generalmente sicuro lasciare un computer portatile aperto su una scrivania, ma è importante considerare i problemi di sicurezza, temperatura e alimentazione prima di farlo.
In nessun punto Chat GPT ha considerato la conformità, la privacy e la sicurezza dei dati. Una mancanza di buon senso? Sicuramente.
/wp:paragrafo –>
Va notato che quando è stato chiesto specificamente di considerare la conformità come parte dello stesso scenario, la risposta di Chat GPT è stata completamente diversa e conforme a ciò che ci si aspetterebbe come risposta a una domanda specifica sulla conformità.
Incapacità di comprendere il contesto
Nel loro articolo ‘Le 10 principali limitazioni di Chat GPT’, Forbes spiega che, “ChatGPT ha difficoltà a comprendere il contesto, specialmente il sarcasmo e l’umorismo. Pur essendo abile nell’elaborazione del linguaggio, ChatGPT può faticare a cogliere le sottili sfumature della comunicazione umana. Ad esempio, se un utente usa il sarcasmo o l’umorismo nel suo messaggio, ChatGPT potrebbe non cogliere il significato voluto e fornire invece una risposta inappropriata o irrilevante”
Dipendenza dai dati di addestramento
I dati di addestramento vengono utilizzati per addestrare gli algoritmi in modo che possano prevedere i risultati. Come si può vedere dal diagramma sottostante, estratto dall’articolo di Cloud Factory “La guida essenziale ai dati di addestramento di qualità per il Machine Learning”, quando si tratta di dati di addestramento, ci sono diversi punti in cui è necessario l’apporto umano.
Questo significa che:
- L’IA dipende dall’accuratezza dell’input umano
- L’IA non può funzionare senza un umano nel sistema
Come per la maggior parte delle cose che riguardano l’IA – e lo abbiamo visto con l’esempio del laptop di cui sopra – quello che si mette dentro è quello che si tira fuori. Quindi, se le informazioni e le conoscenze immesse dagli esseri umani sono imprecise, false o di scarsa qualità, anche l’output che l’utente finale riceve dall’IA sarà impreciso, falso o di scarsa qualità.
Conoscenza limitata del dominio
La conoscenza del dominio si riferisce all’intelligenza di un’area specifica all’interno di un settore specifico. Quindi, essenzialmente, conoscenza del dominio = competenza. ChatGPT non è un esperto in un campo particolare. Ciò significa che l’applicazione della compliance all’interno di un dominio specifico sarà difficile se l’utente non addestra Chat GPT a comprendere il proprio settore, la propria organizzazione o il proprio contesto.
Questo può essere fatto, naturalmente, ma di fatto aumenterebbe il tempo necessario per implementare i quadri di conformità, piuttosto che aumentare l’efficienza.
ChatGPT e GDPR: cosa sappiamo?
L’autorità italiana per la protezione dei dati ha ordinato a Open AI di interrompere il trattamento dei dati delle persone in Italia perché teme che Chat GPT stia violando il Regolamento generale sulla protezione dei dati dell’Unione europea.
Secondo la BBC, “l’ente di controllo ha dichiarato il 20 marzo 2023 che l’app aveva subito una violazione dei dati che coinvolgeva le conversazioni degli utenti e le informazioni sui pagamenti”
La società ha dichiarato che non esiste una base giuridica che giustifichi “la raccolta e l’archiviazione di massa di dati personali allo scopo di ‘addestrare’ gli algoritmi alla base del funzionamento della piattaforma”.
Si dice anche che, non essendoci modo di verificare l’età degli utenti, l’app “espone i minori a risposte assolutamente inadatte rispetto al loro grado di sviluppo e consapevolezza”.’
In superficie sembra che Chat GPT stia violando iprincipi chiave del GDPR, ma a giudicare dall’assenza di salto del carro, potrebbe trattarsi solo di una reazione impulsiva dell’Italia. La situazione, come per ogni cosa che riguarda l’AI, è in continua evoluzione.
Quindi, cosa sappiamo esattamente di ChatGPT e GDPR?
- Limitazione dello scopo
Secondo la Commissione per la protezione dei dati, “i dati personali devono essere raccolti solo per scopi specifici, espliciti e legittimi e non devono essere trattati in modo incompatibile con tali scopi”
Dovremo tenere d’occhio ciò che accadrà in seguito nello scenario italiano per poter sapere se Open AI sta praticando o meno la limitazione delle finalità come dovrebbe.
- Separazione dei dati
Per molte organizzazioni è di vitale importanza proteggere i dati archiviati su sistemi condivisi. Le ragioni di questa importanza sono molteplici. Uno di questi, ovviamente, è la conformità normativa.
“A causa del potenziale impatto che l’accesso non autorizzato può avere su un’azienda, è molto importante che le organizzazioni implementino solide misure di segregazione dei dati per limitare l’accesso ai dati sensibili” – Next Labs.
- Limitazione di spazio
Anche se ChatGPT non controlla i dati immessi e non ha la possibilità di cancellarli, i dati utilizzati per addestrare l’intelligenza artificiale sono conservati in grandi database. Le organizzazioni che utilizzano i dati per addestrare Chat GPT affermano di aver bisogno di conservare i dati per lunghi periodi di tempo a scopo di ricerca o di formazione.
ChatGPT e ISO 27001: a cosa fare attenzione?
- Controlli di accesso
La sottosezione A.9.1 della ISO 27001 richiede che un’organizzazione abbia una politica di controllo degli accessi, che definisca quali utenti hanno accesso a quali reti e servizi.
A questo punto Chat GPT non sarebbe in grado di svolgere questo compito a meno che non abbia ricevuto una formazione approfondita sui protocolli di controllo degli accessi di un’organizzazione. Sebbene possa fornire indicazioni, che variano a seconda del settore specifico della startup tecnologica, su come creare la policy, non sarebbe in grado di creare la policy stessa. Questo perché la creazione di una politica di controllo degli accessi completa ed efficace richiede una profonda comprensione delle esigenze aziendali specifiche, dei rischi e dei requisiti normativi di una determinata organizzazione. Infatti, ChatGPT stessa raccomanda alle organizzazioni di rivolgersi a professionisti esperti di sicurezza delle informazioni per creare e implementare una politica di controllo degli accessi personalizzata in base alle esigenze specifiche dell’organizzazione
- Gestione degli incidenti
La ISO 27001 definisce un incidente di sicurezza come “un evento indesiderato che potrebbe mettere in pericolo la riservatezza, l’integrità o la disponibilità delle informazioni”.
Un incidente può variare da abbastanza innocuo a estremamente minaccioso per un’organizzazione. La gestione di un incidente richiede non solo una profonda comprensione degli asset, delle vulnerabilità e delle procedure di risposta di una particolare organizzazione, ma anche una sensibilità nella comunicazione dell’incidente.
Le procedure di segnalazione, le revisioni post incidente e le raccomandazioni di miglioramento sono meglio formulate da una persona professionale che ha una comprensione complessa dell’organizzazione coinvolta.
Anche se il ChatGPT può fornirvi istruzioni passo-passo su cosa fare, a meno che non sia stato ampiamente addestrato su ogni aspetto della vostra organizzazione, non sarà in grado di gestire l’incidente o di creare comunicazioni e rapporti accurati sull’incidente.
- Monitoraggio e test
Quando gli è stato chiesto se è in grado di eseguire il monitoraggio e il test ISO 27001, Chat GPT ha fornito indicazioni e consigli sulle attività di monitoraggio e test, tra cui:
Scansione della vulnerabilità e test di penetrazione
Test di controllo degli accessi
Test di risposta agli incidenti
Test di continuità aziendale
Perché ChatGPT non è adatto alla conformità, in generale?
La compliance si basa su una comprensione accurata e meticolosa dei quadri normativi. Dipende intrinsecamente da input e output onesti ed esatti.
Open AI elenca due dei limiti di Chat GPT come:
- ChatGPT a volte scrive risposte plausibili ma non corrette o senza senso…
- Il modello è spesso eccessivamente prolisso…
Come start-up tecnologica, non avete certo bisogno di informazioni errate quando vi accingete ad affrontare l’audit ISO 27001 e volete anche mantenere le informazioni il più sintetiche e trasparenti possibile (sì, umanamente).
Come potreste usare ChatGPT per la compliance
ChatGPT è in grado di fornirvi il classico “cosa fare” e “come fare” della conformità ISO 27001. Ciò che non può fare è creare contenuti su misura per il vostro percorso di conformità in base alle informazioni e alle esigenze specifiche della vostra organizzazione.
Per quanto riguarda l’IA, il professore di legge Matthew Sag della Emory University dice: “C’è un detto che dice che un numero infinito di scimmie alla fine ti darà Shakespeare”
È importante che ci rendiamo conto che Chat GPT è davvero solo questo (per ora, comunque) – il risultato di una quantità infinita di dati provenienti da fonti sconosciute che vengono compilati in “fatti”.
I risultati di ciò quando si tratta di conformità a standard come la ISO 27001 potrebbero essere disastrosi.
Quindi, se si intende utilizzare Chat GPT o qualsiasi altra IA per la conformità (o qualsiasi altra cosa, se è per questo), è consigliabile controllare e ricontrollare il contenuto che l’IA crea.
Un viaggio migliore verso la conformità vi aspetta
La ChatGPT Compliance potrebbe essere il futuro della compliance?
Forse.
Per ora, mentre potreste apparentemente usare ChatGPT per creare una roadmap generica per il vostro viaggio ISO 27001, esiste già uno strumento collaudato e affidabile (con relative indicazioni)… creato da esperti nel campo della lean compliance.
Si chiama Compleye Online ed è possibile prenotare una demo gratuita qui!
