Love it or hate it, ChatGPT, og faktisk AI (kunstig intelligens) generelt, er kommet for at blive.
Alle tilhængere siger, at AI skal ses som et værktøj, der kan bruges til at gøre organisationer og enkeltpersoner mere effektive, mens alle modstandere spekulerer på, om vi er ved at falde i fælden med kvantitet kontra kvalitet.
Det er et enormt emne med plads til et væld af meninger og endeløs debat.
Så lad os indsnævre det til, hvordan det påvirker os. Lad os dykke ned i ChatGPT-compliance-verdenen.
ChatGPT og compliance: Er compliance officers i fare?
DaChatGPT dukkede op, gik tekstforfattere, grafiske designere, musikere og stort set alle andre med en kreativ åre i panik. Ville der gå jobs tabt? Ville vi glemme, hvordan man skriver, designer, tegner, skaber?
Muligheden er ikke uden for fantasiens rækkevidde. Det er ikke usandsynligt, at vi bliver mindre kreative, mindre i stand til at tænke selv og mere tilbøjelige til at blive afhængige af kunstig intelligens til at udføre vores arbejde for os. Faktisk har nylige undersøgelser vist, at AI faktisk vil være ansvarlig for hundredtusindvis af jobtab.
Men selvom ChatGPT efterligner menneskelighed på nogle måder (og endda omtaler sig selv som ‘mig’ og ‘jeg’), skal vi huske, at AI ikke har:
- Personlige oplevelser
- Følelser
- Intrinsisk menneskelig hukommelse
- Evnen til at sympatisere
- Evnen til empati
Så er compliance officers en risiko?
For at finde ud af dette skal vi først se på, om compliance-ansvarlige har evnen til at føle empati eller sympati.
Spøg til side!
Det, vi skal se på, er, hvad ChatGPT er, og hvilke begrænsninger det har.
Hvad er ChatGPT?
GPT i ChatGPT står for “Generative Pre-trained Transformer, som er en type stor sprogmodel (LLM) neuralt netværk, der kan udføre forskellige naturlige sprogbehandlingsopgaver såsom at besvare spørgsmål, opsummere tekst og endda generere kodelinjer.” – Al Jazeera
ChatGPT er en AI-model, der er blevet trænet til at give svar på instruktioner fra brugerne. Den gør dette ved hjælp af RLHF (Reinforcement Learning from Human Feedback) og PPO (Proximal Policy Optimisation).
Open AI (den organisation, der udviklede Chat GPT) giver denne infografik for at forklare læringsprocessen.
Tager man denne proces i betragtning, er det ikke usandsynligt, at ChatGPT i bund og grund kan lære at sætte kryds ved alle overholdelsesstandarder i fremtiden.
Den skal dog først uddannes til at forstå alle aspekter af en organisation, fra dens sikkerhedsprotokoller til dens systemer, produkter og personale. Mere om denne organisationsspecifikke træning senere.
Det er højst usandsynligt, at ChatGPT kan identificere gråtoner, når det drejer sig om compliance, især fordi den måske ikke er i stand til at kontekstualisere beviser inden for parametrene for specifikke situationer og scenarier.
Selv om en AI-model som ChatGPT kan generere en rapport til en revisor, assimilere viden om compliance, levere resuméer og tjekke for opdateringer, vil den så være i stand til at holde trit med den stadige udvikling inden for compliance? Svaret er, at det kan den sandsynligvis – i fremtiden. Eller rettere sagt, ComplianceGPT (når den er opfundet) vil sandsynligvis være i stand til det.
Et AI-værktøj til compliance kan trænes i en organisations interne politikker og procedurer og give rådgivning og dokumentation til compliance-ansvarlige i en organisation om regler, der gælder for deres virksomhed specifikt.
Så i teorien kunne ChatGPT en dag gøre det grundlæggende i en compliance officers job.
Men som alt andet menneskeligt og ikke-menneskeligt har AI sine begrænsninger.
Begrænsningerne ved ChatGPT
Biaserne
Den 2. februar 2023 tweetede Open AI’s CEO, Sam Altman: “Vi ved, at ChatGPT har mangler omkring bias, og vi arbejder på at forbedre det.”
Ifølge en artikel fra 23. februar i Business Insider er ChatGPT nødt til at blive mere “vågen”, fordi det er usandsynligt, at virksomheder vil investere i teknologi, der kan give dem PR-hovedpine.
Hvordan hænger Chat GPT’s arbejdsomhed sammen med dens evne til at påtage sig rollen som compliance officer? Objektivitet er en af de vigtigste færdigheder for compliance officers og – naturligvis – også for revisorer.
Det betyder ikke, at mennesker ikke bliver ofre for bias. Forskellen er, at en compliance officer, der udviser partiskhed, vil blive holdt ansvarlig, mens en automat måske ikke bliver det.
“Compliance officers forventes at give et objektivt billede af virksomhedens politikker. Indflydelse fra andre medarbejdere, herunder ledelse og chefer, til at overse overtrædelser kan resultere i betydelige bøder eller sanktioner, der kan føre til økonomisk tab eller endda lukning af virksomheden.” – Investopedia
Mangel på almindelig sund fornuft
ChatGPT har ingen hjerne, ingen følelser, ingen historie, ingen familie. Den har ingen moral eller evne til at ræsonnere og forstå. Det betyder, at den mangler sund fornuft.
Vi har alle brug for at lære gennem erfaring. Når du er et lille barn, lægger du gladeligt din hånd på en kogeplade, fordi du endnu ikke har lært, at du kan brænde dig på den. Når du har lært, at du sandsynligvis vil komme til skade, bliver det sund fornuft ikke at lægge hånden på komfurpladen. Selvfølgelig kan du udvikle sund fornuft ved at lære af andres erfaringer, men det kræver evnen til at ræsonnere og udlede – noget, som ChatGPT mangler.
Eller gør det?
Lad os lave en hurtig test.
Vi spurgte ChatGPT: “Er det sikkert at lade en bærbar computer stå åben på et skrivebord?”
Og her er, hvad der stod:
Det er generelt sikkert at efterlade en bærbar computer åben på et skrivebord, så længe skrivebordet er stabilt, og den bærbare computer ikke risikerer at blive væltet eller udsat for andre potentielle farer. Der er dog nogle få faktorer, der kan påvirke sikkerheden ved at lade en bærbar computer stå åben på et skrivebord:
- Sikkerhed: Hvis du efterlader din bærbare computer uden opsyn på et offentligt sted, er den måske ikke sikker mod tyveri. Det er vigtigt at holde din bærbare computer sikker ved at låse den med en adgangskode eller bruge en lås til bærbare computere.
- Temperatur: Bærbare computere genererer varme, når de er i brug, og hvis man efterlader en bærbar computer på et skrivebord i længere tid, kan den blive overophedet. Sørg for, at ventilationen på den bærbare computer ikke er blokeret, og at den bærbare computer ikke er placeret i direkte sollys eller i nærheden af en varmekilde.
- Strøm: Hvis din bærbare computer ikke er tilsluttet en strømkilde, kan det medføre, at batteriet aflades, hvis den står åben på et skrivebord i længere tid, hvilket kan påvirke dens ydeevne og levetid.
Sammenfattende er det generelt sikkert at lade en bærbar computer stå åben på et skrivebord, men det er vigtigt at overveje sikkerheds-, temperatur- og strømproblemer, før man gør det.
På intet tidspunkt overvejede Chat GPT compliance, privatlivets fred og datasikkerhed. En mangel på sund fornuft? Helt sikkert.
Det skal bemærkes, at da Chat GPT specifikt blev bedt om at overveje compliance som en del af det samme scenarie, var svaret helt anderledes og i overensstemmelse med, hvad man ville forvente som svar på et compliance-specifikt spørgsmål.
Ude af stand til at forstå konteksten
I artiklen ‘The Top 10 Limitations of Chat GPT’ forklarer Forbes, at “ChatGPT har svært ved at forstå kontekst, især sarkasme og humor. Selv om ChatGPT er dygtig til at behandle sprog, kan den have svært ved at forstå de subtile nuancer i menneskelig kommunikation. Hvis en bruger f.eks. bruger sarkasme eller humor i sin besked, kan ChatGPT ikke opfange den tilsigtede betydning og i stedet give et svar, der er upassende eller irrelevant.”
Afhængighed af træningsdata
Træningsdata bruges til at træne algoritmer, så de kan forudsige resultater. Som du kan se i diagrammet nedenfor, der er hentet fra Cloud Factorys artikel “The Essential Guide to Quality Training Data for Machine Learning”, når det drejer sig om træningsdata, er der flere punkter, hvor menneskeligt input er nødvendigt.
Det betyder, at:
- AI’en kan ikke fungere uden et menneske i systemet
Som med de fleste ting inden for AI – og det så vi med eksemplet med den bærbare computer ovenfor – er det, du putter ind, det, du får ud. Så hvis de oplysninger og den viden, der indtastes af mennesker, er unøjagtige, usande eller af dårlig kvalitet, vil det output, som slutbrugeren modtager fra den kunstige intelligens, ligeledes være unøjagtigt, usandt eller af dårlig kvalitet.
Begrænset domæneviden
Domæneviden refererer til den intelligens, man har om et specifikt område inden for en specifik branche. Så i bund og grund er domæneviden = ekspertise. ChatGPT er ikke ekspert på noget bestemt område. Det betyder, at det vil være vanskeligt at anvende compliance inden for et specifikt domæne, medmindre brugeren først træner ChatGPT i at forstå deres branche, organisation eller kontekst
Dette kan selvfølgelig lade sig gøre, men det vil faktisk øge den tid, det tager at implementere compliance-rammer, snarere end at øge effektiviteten.
ChatGPT og GDPR: Hvad ved vi?
Italiens databeskyttelsesmyndighed har beordret Open AI til at stoppe med at behandle folks data i Italien, fordi den er bekymret for, at Chat GPT overtræder EU’s generelle databeskyttelsesforordning.
Ifølge BBC “sagde vagthunden den 20. marts 2023, at appen havde oplevet et databrud, der involverede brugersamtaler og betalingsoplysninger.
Det sagde, at der ikke var noget juridisk grundlag for at retfærdiggøre “masseindsamling og lagring af personoplysninger med det formål at ‘træne’ de algoritmer, der ligger til grund for platformens drift”.
Den sagde også, at da der ikke var nogen måde at verificere brugernes alder på, udsætter appen “mindreårige for absolut uegnede svar i forhold til deres udviklingsgrad og bevidsthed”.’
På overfladen ser det ud til, at Chat GPT er i strid med nøgleprincipperne i GDPR, men at dømme efter manglen på tågesnak kan dette bare være en reaktion på et knæfald fra Italien. Situationen er – som med alt andet AI – i konstant udvikling
Så hvad ved vi helt præcist om ChatGPT og GDPR?
- Formålsbegrænsning
Ifølge Databeskyttelseskommissionen bør “personoplysninger kun indsamles til udtrykkeligt angivne og legitime formål og ikke viderebehandles på en måde, der er uforenelig med disse formål.”
Vi bliver nødt til at holde øje med, hvad der videre sker i Italien-scenariet for at kunne vide, om Open AI praktiserer formålsbegrænsning, som det skal være.
- Separation af data
Det er vigtigt for mange organisationer at beskytte data, der er lagret på fælles systemer. Der er flere grunde til, at det er vigtigt. En af dem er selvfølgelig overholdelse af lovgivningen.
“På grund af den potentielle indvirkning, uautoriseret adgang kan have på en virksomhed, er det meget vigtigt, at organisationer implementerer robuste foranstaltninger til adskillelse af data for at begrænse adgangen til følsomme data.” – Next Labs.
- Lagringsbegrænsning
Selv om ChatGPT ikke selv kontrollerer de data, der indtastes, og heller ikke har mulighed for at slette data, gemmes de data, der bruges til at træne AI’en, i store databaser. De organisationer, der bruger data til at træne ChatGPT, hævder, at de kan have brug for at opbevare data i lange perioder til forsknings- eller træningsformål.
ChatGPT og ISO 27001: hvad skal man holde øje med?
- Adgangskontroller
Afsnit A.9.1 i ISO 27001 kræver, at en organisation har en adgangskontrolpolitik, der definerer, hvilke brugere der har adgang til hvilke netværk og tjenester.
På dette tidspunkt ville Chat GPT ikke være i stand til at udføre denne opgave, medmindre den var blevet grundigt uddannet i en organisations adgangskontrolprotokoller. Selv om den kunne give vejledning, som ville variere alt efter den nystartede teknologivirksomheds specifikke branche, om, hvordan man opretter politikken, ville den ikke være i stand til at oprette selve politikken. Det skyldes, at udarbejdelsen af en omfattende og effektiv adgangskontrolpolitik kræver en dyb forståelse af de specifikke forretningsbehov, risici og lovkrav i en bestemt organisation. Faktisk anbefaler ChatGPT selv, at organisationer engagerer sig med erfarne fagfolk inden for informationssikkerhed for at skabe og implementere en adgangskontrolpolitik, der er skræddersyet til deres organisations specifikke behov
- Hændelseshåndtering
ISO 27001 definerer en sikkerhedshændelse som “en uønsket begivenhed, der kan bringe informationens fortrolighed, integritet eller tilgængelighed i fare”.
En hændelse kan variere fra ret uskyldig til ekstremt truende for en organisation. Håndtering af en hændelse kræver ikke kun en dyb forståelse af en bestemt organisations aktiver, sårbarheder og reaktionsprocedure, men også en følsomhed med hensyn til kommunikationen omkring hændelsen.
Rapporteringsprocedurer, post-incident reviews og forbedringsanbefalinger formuleres bedst af en professionel person, der har en kompleks forståelse af den involverede organisation.
Selvom ChatGPT kan give dig trinvise instruktioner om, hvad du skal gøre, vil den ikke være i stand til at håndtere hændelsen eller oprette nøjagtige kommunikationer og rapporter omkring hændelsen, medmindre den er blevet grundigt uddannet i alle aspekter af din organisation.
- Overvågning og testning
På spørgsmålet om, hvorvidt de kan udføre ISO 27001-overvågning og -test, gav Chat GPT vejledning og råd om overvågnings- og testaktiviteter, herunder:
Sårbarhedsscanning og penetrationstestning
Test af adgangskontrol
Test af reaktion på hændelser
Test af forretningskontinuitet
Hvorfor ChatGPT passer dårligt til compliance generelt?
Compliance er afhængig af en præcis og omhyggelig forståelse af de lovgivningsmæssige rammer. Den er i sagens natur afhængig af ærlige og præcise input og output
Open AI nævner to af Chat GPT’s begrænsninger som:
- Modellen er ofte overdrevent ordrig …
Som nystartet teknologivirksomhed har du bestemt ikke brug for forkerte oplysninger, når du går ind til din ISO 27001-audit, og du ønsker også at holde oplysningerne så kortfattede og gennemsigtige som menneskeligt (ja, menneskeligt) muligt.
Hvordan du kan bruge ChatGPT i compliance
ChatGPT kan give dig den almindelige “hvad skal jeg gøre” og “hvordan skal jeg gøre det” i forbindelse med ISO 27001-overholdelse. Hvad den ikke kan, er at skabe skræddersyet indhold til din compliance-rejse baseret på din organisations specifikke oplysninger og behov.
Med hensyn til AI siger juraprofessor Matthew Sag fra Emory University: “Der er et ordsprog, der siger, at et uendeligt antal aber i sidste ende vil give dig Shakespeare.”
Det er vigtigt, at vi indser, at Chat GPT virkelig kun er det (indtil videre i hvert fald) – resultatet af en uendelig mængde data fra ukendte kilder, der er blevet samlet til “fakta”.
Resultaterne af dette, når det gælder overholdelse af standarder som ISO 27001, kan være katastrofale.
Så hvis du vil bruge Chat GPT eller en anden AI til compliance (eller noget andet for den sags skyld), anbefales det, at du tjekker og dobbelttjekker det indhold, som AI’en skaber.
En bedre compliance-rejse venter
Kan ChatGPT Compliance være fremtiden for compliance?
Måske.
Mens du tilsyneladende kan bruge ChatGPT til at skabe en generisk køreplan for din ISO 27001-rejse, findes der allerede et afprøvet og pålideligt værktøj (med tilhørende anvisninger) … et, der er skabt af eksperter inden for lean compliance.
Det hedder Compleye Online, og du kan bestille en gratis demo her!
