رهبران امنیتی که مسیرهای سریع و شفافی برای ورود هوش مصنوعی به سازمان ایجاد میکنند، به ارزشمندترین شرکای تجاری خود تبدیل میشوند. حکمرانی درست و اصولی بر هوش مصنوعی، معادلهای برد-برد میسازد: تیمهای امنیتی به دیدپذیری لازم میرسند، کارکنان ابزارهای مورد نیاز خود را در اختیار دارند و مدیران ارشد امنیت اطلاعات (CISO) نفوذ استراتژیک شایسته خود را به دست میآورند.
گزارش وضعیت هوش مصنوعی موسسه مککینزی نشان میدهد 76 درصد از کارکنان امروزه به نوعی از هوش مصنوعی در محیط کار استفاده میکنند؛ رقمی که در سال گذشته 55 درصد بود. دستیاران نوشتاری، کمکگیرهای برنامهنویسی، خلاصهسازان جلسات و ابزارهای تحقیقاتی مبتنی بر هوش مصنوعی رفتهرفته بافتههای کار روزمره را شکل میدهند. نکته نگرانکننده این است که بیشتر این ابزارها هرگز از سوی تیمهای امنیتی بررسی نشدهاند.
واکنش سنتی و غالب به این روند، اعمال محدودیت است. یک اپلیکیشن جدید ظاهر میشود، تیم امنیت آن را مسدود میکند، کارکنان ظرف چند روز راهی برای دور زدن محدودیت پیدا میکنند و این چرخه تکرار میشود. ریشه این مشکل در سرعت نهفته است؛ مسیر تأیید رسمی همواره کندتر از سرعت انتشار ابزارهای هوش مصنوعی پیش میرود. وقتی تاییدیه رسمی 6 هفته زمان ببرد اما دور زدن آن تنها 6 دقیقه، اکثر کارکنان مسیر دوم را انتخاب میکنند.
فناوری زمانی پذیرفته میشود که افراد آن را کاربردی و مفید بدانند. هرگونه حکمرانی که این واقعیت رفتاری را نادیده بگیرد، قطعا دور زده خواهد شد. چرخه مسدودسازی و دور زدن محدودیتها دقیقاً زمانی رخ میدهد که سیاستها بدون در نظر گرفتن مخاطبان آنها طراحی شوند. رهبران امنیتی آگاه، این چرخه معیوب را پیش از آغاز تغییر میدهند.
حکمرانی به عنوان ابزار توانمندساز
زمانی که یک واحد تجاری قصد دارد قابلیت جدیدی مبتنی بر هوش مصنوعی را مستقر کند، اولین تماس با تیم امنیت گرفته میشود. این اتفاق نشاندهنده اعتماد سازمان به سرعت عمل و ارزشآفرینی تیم امنیت است. تیمهایی که چنین اعتباری کسب میکنند، حکمرانی هوش مصنوعی را بر پایه یک ایده کلیدی بنا میکنند: ایجاد مسیری روشن و سریع برای دسترسی به ابزارهای تأییدشده، درخواست ابزارهای جدید و درک دلیل وجود این دستورالعملها.
این اعتبار به مرور زمان مضاعف میشود. مدیران ارشد امنیت اطلاعاتی که چنین زیرساختی ایجاد میکنند، خود را در مراحل ابتدایی برنامهریزی استراتژیک مییابند؛ جایی که پیش از نهایی شدن تصمیمات، نظرات آنها شکل و جهت نتیجه را تعیین میکند.
پایه این ساختار، داشتن یک فهرست موجودی بهروز است: کدام ابزارهای هوش مصنوعی در حال اجرا هستند، چه کاربرانی به آنها وابستهاند و هرکدام به چه دادههایی دسترسی دارند. ممیزیهای OAuth برای برنامههای متصل و مانیتورینگ بومی مرورگر، این تصویر را به سرعت ترسیم میکنند. بدون چنین شناختی، حکمرانی صرفاً حدس و گمان خواهد بود.
سیاستگذاری، استدلال و سرعت عمل
یک سیاست استفاده قابل قبول و مؤثر از هوش مصنوعی باید چهار وظیفه اصلی را پوشش دهد:
- فهرستبرداری ابزارهای تأییدشده همراه با مسیری واضح برای دسترسی به آنها.
- تعیین دقیق دستههای دادهای که به طور کامل نباید وارد ابزارهای هوش مصنوعی شوند.
- بررسی و تأیید وضعیت انصراف از آموزش برای هر ابزار مصوب.
- ارائه فرآیندی شفاف به کارکنان برای درخواست ابزارهای جدید همراه با تعیین زمان مشخص برای پاسخگویی.
عنصری که در بسیاری از سیاستگذاریها نادیده گرفته میشود، بیان استدلال است. کارمندی که درک میکند چرا اتصال یک ابزار بهرهوری به Google Workspace میتواند یک درایو مشترک کامل را در معرض دسترسی یک ارائهدهنده شخص ثالث قرار دهد، این قضاوت را در تمام تصمیمگیریهای آینده خود به کار خواهد بست. این همان نقطهای است که یک قانون خشکخوانی شده را به عادتی ماندگار برای سالها تبدیل میکند.
انتشار لیست ابزارهای تأییدشده و تعیین یک زمان پاسخگویی مشخص و پایبندی به آن، گامی حیاتی است. سازمانهایی که این رویکرد را در پیش میگیرند، شاهد کاهش خودکار استفاده از «هوش مصنوعی سایهای» (Shadow AI) هستند. وقتی کارکنان مسیری رسمی و سریع در اختیار دارند، دلیلی برای جستجوی مسیرهای غیررسمی ندارند.
جایگاه واقعی در میز تصمیمگیری
تیمهای امنیتی که جایگاهی در میز استراتژی به دست میآورند، کسانی هستند که حکمرانی را به چشم یک مسئله طراحی نگاه میکنند. آنها با این پرسش بنیادین آغاز میکنند که چگونه میتوان مسیر امن را به مسیری تبدیل کرد که کارکنان خود بخواهند از آن استفاده کنند، نه صرفاً تلاش برای کنترل ابزارهایی که از پیش توسط کارکنان استفاده میشوند.
ساخت بر اساس این درک عمیق، به نتایجی منجر میشود که قوانین خشک به تنهایی قادر به تولید آن نیستند. کارکنان با میل و رغبت از سیستم استفاده میکنند و سازمان، تیم امنیت را نه به عنوان مانعی، بلکه به عنوان درککنندهای از نیازهای انسانی و مدیریت ریسک میبیند.
موج پذیرش هوش مصنوعی فارغ از هرگونه تلاش برای حکمرانی، شتاب میگیرد. رهبران امنیتی که میخواهند با این تحول همگام بمانند، باید از همان ابتدا پرسشهای درست را مطرح کنند و امنیت را به عنوان شتابدهنده، نه ترمز، تعریف کنند.
