Lo ames o lo odies, ChatGPT, y de hecho, la IA (Inteligencia Artificial) en general está aquí para quedarse.
Todos los que están a favor dicen que la IA debe verse como una herramienta que puede usarse para que las organizaciones y las personas sean más eficientes, mientras que todos los que están en contra se preguntan si estamos cayendo en la trampa de la cantidad frente a la calidad.
Es un tema enorme en el que caben multitud de opiniones y un debate interminable.
Pues bien, reduzcámoslo a cómo nos afecta. Adentrémonos en el mundo del cumplimiento de ChatGPT.
ChatGPT y el cumplimiento: ¿están en riesgo los responsables de cumplimiento?
Cuando surgió ChatGPT, los redactores publicitarios, diseñadores gráficos, músicos y casi cualquier persona con una inclinación creativa entraron en modo pánico. ¿Se perderían puestos de trabajo? ¿Olvidaríamos cómo escribir, diseñar, dibujar, crear?
La posibilidad no está fuera del alcance de la imaginación. No es improbable que nos volvamos menos creativos, menos capaces de pensar por nosotros mismos y más propensos a depender de la IA para que haga nuestro trabajo por nosotros. De hecho, estudios recientes han demostrado que la IA será responsable de la pérdida de cientos de miles de puestos de trabajo
Pero, a pesar de que ChatGPT imita a la humanidad en algunos aspectos (incluso refiriéndose a sí misma como “yo” y “mí”), algo que debemos recordar es que la IA no tiene:
- Experiencias personales
- Emociones
- Memoria humana intrínseca
- La capacidad de simpatizar
- La capacidad de empatizar
Entonces, ¿los responsables de cumplimiento son un riesgo?
Para averiguarlo, primero tenemos que ver si los responsables de cumplimiento tienen la capacidad de empatizar o simpatizar.
¡Es broma!
Lo que tenemos que ver es qué es ChatGPT y qué limitaciones tiene.
¿Qué es ChatGPT?
El GPT en ChatGPT son las siglas de “Generative Pre-trained Transformer que es un tipo de red neuronal de modelo de lenguaje grande (LLM) que puede realizar varias tareas de procesamiento de lenguaje natural como responder preguntas, resumir texto e incluso generar líneas de código.” – Al Jazeera
ChatGPT es un modelo de IA que ha sido entrenado para dar respuestas a las instrucciones proporcionadas por los usuarios. Para ello utiliza RLHF (Reinforcement Learning from Human Feedback) y PPO (Proximal Policy Optimisation)
Open AI (la organización que desarrolló Chat GPT) proporciona esta infografía para explicar el proceso de aprendizaje.
Teniendo en cuenta este proceso, no es improbable que ChatGPT pueda aprender esencialmente a marcar las casillas de cumplimiento de todas y cada una de las normas de cumplimiento en el futuro.
Sin embargo, primero tendría que recibir formación para comprender todos los aspectos de una organización, desde sus protocolos de seguridad hasta sus sistemas, productos y personal. Más adelante hablaremos de esta formación específica para cada organización
Lo que es altamente improbable es que ChatGPT pueda identificar los matices de gris cuando se trata de cumplimiento, especialmente porque puede no ser capaz de contextualizar las pruebas dentro de los parámetros de situaciones y escenarios específicos.
Además, mientras que un modelo de IA como ChatGPT podría generar un informe para un auditor, asimilar conocimientos de cumplimiento, proporcionar resúmenes y comprobar si hay actualizaciones, ¿será capaz de mantenerse al día en el campo en constante evolución del cumplimiento? La respuesta es que, en el futuro, probablemente sí. O mejor dicho, ComplianceGPT (cuando se invente) probablemente podrá
Una herramienta de IA de cumplimiento podría ser entrenada en las políticas y procedimientos internos de una organización y proporcionar asesoramiento y documentación a los responsables de cumplimiento dentro de una organización sobre las regulaciones que se aplican a su empresa específicamente.
Así que, en teoría, ChatGPT podría un día hacer lo básico del trabajo de un oficial de cumplimiento.
Sin embargo, como todas las cosas humanas y no humanas, la IA tiene sus limitaciones.
Las limitaciones de ChatGPT
Biais
El 2 de febrero de 2023, el CEO de Open AI, Sam Altman, tuiteó: “Sabemos que ChatGPT tiene deficiencias en torno a los sesgos, y estamos trabajando para mejorarlo.”
Según un artículo del 23 de febrero en Business Insider, ChatGPT necesita ser más “despierta” porque es poco probable que las empresas inviertan en tecnología que podría causarles dolores de cabeza en relaciones públicas.
¿Cómo se relaciona la wokeness de Chat GPT con su capacidad para asumir el papel de compliance officer? La objetividad es una de las aptitudes más importantes para los responsables de cumplimiento y, naturalmente, también para los auditores
Esto no quiere decir que los humanos no sean víctimas de los prejuicios. La diferencia es que un oficial de cumplimiento que muestra sesgo, será considerado responsable, mientras que un autómata puede no serlo.
“Se espera que los responsables de cumplimiento ofrezcan una visión objetiva de las políticas de la empresa. La influencia de otros empleados, incluidos directivos y ejecutivos, para pasar por alto infracciones puede dar lugar a multas o sanciones significativas que pueden provocar pérdidas financieras o incluso el cierre de la empresa.” – Investopedia
Falta de sentido común
El ChatGPT no tiene cerebro, ni emociones, ni historia, ni familia. No tiene moral ni capacidad de razonar y comprender. Eso significa que carece de sentido común.
Todos necesitamos aprender a través de la experiencia. Cuando eres un niño pequeño, pones la mano en la placa de la estufa porque aún no has aprendido que podría quemarte. Una vez que has aprendido que es probable que te hagas daño, es de sentido común no poner la mano en la placa de la estufa. Por supuesto, puedes desarrollar el sentido común aprendiendo de las experiencias de otras personas, pero eso requiere la capacidad de razonar y deducir – algo de lo que carece ChatGPT.
¿O sí?
Hagamos una prueba rápida.
Le preguntamos a ChatGPT, “¿Es seguro dejar un portátil abierto en un escritorio?”
Y esto es lo que decía:
Dejar un portátil abierto en un escritorio es generalmente seguro siempre y cuando el escritorio sea estable y el portátil no corra peligro de ser volcado o expuesto a otros peligros potenciales. Sin embargo, hay algunos factores a tener en cuenta que podrían afectar a la seguridad de dejar un portátil abierto sobre un escritorio:
- Seguridad: Si dejas tu portátil desatendido en un lugar público, puede que no esté a salvo de robos. Es importante mantener el portátil seguro cerrándolo con una contraseña o utilizando un candado para portátiles.
- Température : Los portátiles generan calor cuando están en uso, y dejar un portátil sobre un escritorio durante un largo periodo de tiempo podría provocar su sobrecalentamiento. Asegúrese de que la ventilación del portátil no está bloqueada y de que el portátil no está colocado bajo la luz directa del sol o cerca de una fuente de calor.
- Energía: Si su portátil no está enchufado a una fuente de alimentación, dejarlo abierto sobre un escritorio durante un periodo de tiempo prolongado podría hacer que la batería se descargara, lo que podría afectar a su rendimiento y vida útil.
- Potencia
En resumen, en general es seguro dejar un portátil abierto en un escritorio, pero es importante tener en cuenta cuestiones de seguridad, temperatura y alimentación antes de hacerlo.
En ningún momento Chat GPT tuvo en cuenta el cumplimiento de la normativa, la privacidad y la seguridad de los datos. ¿Falta de sentido común? Definitivamente.
Cabe señalar que cuando se le indicó específicamente que considerara el cumplimiento como parte del mismo escenario, la respuesta de Chat GPT fue completamente diferente y se ajustó a lo que cabría esperar como respuesta a una pregunta específica sobre el cumplimiento.
Incapacidad para comprender el contexto
En su artículo ‘Las 10 principales limitaciones de Chat GPT’, Forbes explica que, “ChatGPT tiene dificultades para entender el contexto, especialmente el sarcasmo y el humor. Aunque ChatGPT es competente en el procesamiento del lenguaje, puede tener dificultades para captar los sutiles matices de la comunicación humana. Por ejemplo, si un usuario utiliza el sarcasmo o el humor en su mensaje, ChatGPT puede no captar el significado deseado y proporcionar una respuesta inapropiada o irrelevante”
Dependencia de los datos de entrenamiento
Los datos de entrenamiento se utilizan para entrenar algoritmos de forma que puedan predecir resultados. Como se puede ver en el siguiente diagrama, extraído del artículo de Cloud Factory “Le guide essentiel des données de formation de qualité pour l'apprentissage automatique", cuando se trata de datos de entrenamiento, hay múltiples puntos en los que la aportación humana es necesaria.
Esto significa que:
- La IA depende de la precisión de la entrada humana
- La IA no puede funcionar sin un humano en el sistema
Como con la mayoría de las cosas de IA -y lo vimos con el ejemplo del portátil más arriba- lo que pones es lo que sacas. Por lo tanto, si la información y el conocimiento que es introducido por los seres humanos es inexacta, falsa o de mala calidad, entonces la salida que el usuario final recibe de la IA será igualmente inexacta, falsa o de mala calidad
Conocimiento limitado del dominio
El conocimiento de dominio se refiere a la inteligencia que uno tiene sobre un área específica dentro de una industria específica. Así que, esencialmente, el conocimiento del dominio = experiencia. ChatGPT no es un experto en ningún campo en particular. Esto significa que la aplicación del cumplimiento dentro de un dominio específico será difícil a menos que el usuario primero entrene a Chat GPT para entender su industria, organización o contexto.
Esto se puede hacer, por supuesto, pero en realidad sería aumentar el tiempo necesario para aplicar los marcos de cumplimiento, en lugar de aumentar la eficiencia.
ChatGPT y GDPR: ¿qué sabemos?
La autoridad de protección de datos de Italia ha ordenado a Open AI que deje de procesar datos de personas en Italia porque le preocupa que Chat GPT esté incumpliendo el Reglamento General de Protección de Datos de la Unión Europea.
Según la BBC, “El organismo de control dijo el 20 de marzo de 2023 que la aplicación había experimentado una violación de datos que implicaba conversaciones de usuarios e información de pago.
Dijo que no había base legal para justificar “la recopilación masiva y el almacenamiento de datos personales con el fin de ‘entrenar’ los algoritmos subyacentes al funcionamiento de la plataforma”.
También dijo que, al no haber forma de verificar la edad de los usuarios, la app “expone a los menores a respuestas absolutamente inadecuadas en comparación con su grado de desarrollo y conocimiento”.’
A primera vista, parece que Chat GPT incumple principios clave del GDPR, pero a juzgar por la falta de interés, podría tratarse de una reacción instintiva de Italia. La situación, como ocurre con todo lo relacionado con la IA, está en constante evolución
Entonces, ¿qué sabemos exactamente sobre ChatGPT y GDPR?
- Limitación del propósito
Según la Comisión de Protección de Datos, “los datos personales sólo deben recopilarse con fines determinados, explícitos y legítimos, y no deben tratarse posteriormente de manera incompatible con dichos fines”
Tendremos que estar atentos a lo que suceda a continuación en el escenario de Italia para poder saber si Open AI está practicando o no la limitación de fines como debe ser.
- Separación de datos
Una preocupación vital para muchas organizaciones es la protección de los datos que se almacenan en sistemas compartidos. Hay varias razones por las que esto es importante. Una de ellas, por supuesto, es el cumplimiento normativo.
“Debido al impacto potencial que el acceso no autorizado puede tener en un negocio, es muy importante que las organizaciones implementen medidas robustas de segregación de datos para limitar el acceso a datos sensibles.” – Labos suivants.
- Limitación de almacenamiento
Aunque ChatGPT no controla los datos que se introducen y tampoco puede borrarlos, los datos que se utilizan para entrenar la IA se almacenan en grandes bases de datos. Las organizaciones que utilizan los datos para entrenar a Chat GPT afirman que pueden necesitar conservar los datos durante largos periodos de tiempo con fines de investigación o formación.
ChatGPT e ISO 27001: ¿en qué fijarse?
- Controles de acceso
El apartado A.9.1 de la norma ISO 27001 requiere que una organización disponga de una Política de Control de Accesos, que defina qué usuarios tienen acceso a qué redes y servicios.
- Gestión de incidentes
- Seguimiento y pruebas
- ChatGPT a veces escribe respuestas plausibles pero incorrectas o sin sentido…
- El modelo es a menudo excesivamente verboso …
A estas alturas, Chat GPT no sería capaz de realizar esta tarea a menos que hubiera recibido una amplia formación sobre los protocolos de control de acceso de una organización. Aunque podría ofrecer orientación, que variaría en función del sector específico de la startup tecnológica, sobre cómo crear la política, no sería capaz de crearla por sí mismo. Esto se debe a que la creación de una política de control de acceso completa y eficaz requiere un profundo conocimiento de las necesidades empresariales específicas, los riesgos y los requisitos normativos de una organización concreta. De hecho, el propio ChatGPT recomienda que las organizaciones se pongan en contacto con profesionales de la seguridad de la información con experiencia para crear e implementar una política de control de acceso que se adapte a las necesidades específicas de su organización.
ISO 27001 define un incidente de seguridad como “un evento no deseado que podría poner en peligro la confidencialidad, integridad o disponibilidad de la información”.
Un incidente puede ser desde bastante inocuo hasta extremadamente amenazador para una organización. La gestión de un incidente requiere no sólo un profundo conocimiento de los activos de una organización en particular, las vulnerabilidades y el procedimiento de respuesta, sino una sensibilidad con respecto a la comunicación en torno al incidente.
Los procedimientos de elaboración de informes, las revisiones posteriores a los incidentes y las recomendaciones de mejora los formula mejor una persona profesional que tenga un conocimiento complejo de la organización implicada.
De nuevo, aunque ChatGPT puede proporcionarle instrucciones paso a paso sobre lo que debe hacer, a menos que haya sido ampliamente formado en todos los aspectos de su organización, no será capaz de gestionar el incidente o crear comunicaciones e informes precisos en torno al incidente.
Cuando se le preguntó si puede realizar el seguimiento y las pruebas de la norma ISO 27001, Chat GPT proporcionó orientación y asesoramiento sobre las actividades de seguimiento y pruebas, incluyendo:
Escaneado de vulnerabilidades y pruebas de penetración
Pruebas de Control de Acceso
Pruebas de Respuesta a Incidentes
Pruebas de Continuidad de Negocio
¿Por qué ChatGPT es un mal ajuste para el cumplimiento, en general?
El cumplimiento normativo depende de una comprensión precisa y meticulosa de los marcos reguladores. Depende intrínsecamente de entradas y salidas honestas y exactas.
Open AI enumera dos de las limitaciones de Chat GPT como:
Como empresa tecnológica de nueva creación que definitivamente no necesita información incorrecta cuando se dirige a su auditoría ISO 27001 y también desea mantener la información tan sucinta y transparente como sea humanamente (sí, humanamente) posible.
Cómo podría utilizar ChatGPT en cumplimiento
ChatGPT puede proporcionarle el “qué hacer” y el “cómo hacer” habituales para el cumplimiento de la norma ISO 27001. Lo que no puede hacer es crear contenido a medida para su viaje de cumplimiento basado en la información y necesidades específicas de su organización
Con respecto a la IA, el profesor de derecho Matthew Sag, de la Universidad de Emory, dice: “Hay un dicho que dice que un número infinito de monos acabará dándote a Shakespeare”
Es importante que nos demos cuenta de que Chat GPT es realmente sólo eso (por ahora, de todos modos) – el resultado de una cantidad infinita de datos de fuentes desconocidas que se compilan en “hechos”.
Los resultados de esto cuando se trata de cumplimiento de normas como la ISO 27001 podría ser desastroso.
Por lo tanto, es aconsejable, si va a utilizar Chat GPT o cualquier otra IA para el cumplimiento (o cualquier otra cosa), que compruebe y vuelva a comprobar el contenido que la IA crea.
Un mejor viaje de cumplimiento espera
¿Podría ser ChatGPT Compliance el futuro del cumplimiento normativo?
Tal vez.
Por ahora, mientras que usted podría utilizar ostensiblemente ChatGPT para crear una hoja de ruta genérica para su viaje ISO 27001, ya hay una herramienta probada y de confianza (con las direcciones de acompañamiento) en la existencia … uno que ha sido creado por expertos en el campo de la conformidad magra.
Se llama Compleye Online y puedes reservar una demo gratuita aquí!
