پژوهش PwC: شرکت‌ها بر سر مسئولیت هوش مصنوعی توافق ندارند

مسئولیت هوش مصنوعی در شرکت‌ها هنوز صاحب مشخصی ندارد؛ نظرسنجی تازه PwC از حدود چهار هزار مدیر کسب‌وکار و فناوری در ۷۱ کشور نشان می‌دهد سازمان‌ها بر سر این‌که چه کسی باید امنیت و راهبری عامل‌های هوش مصنوعی را بر عهده بگیرد، به توافق نرسیده‌اند. این ابهام هم‌زمان با ورود مدل‌های زبانی بزرگ و عامل‌های هوشمند به فرایندهای سازمانی اهمیت بیشتری پیدا می‌کند، چون این سامانه‌ها می‌توانند به اطلاعات و ابزارهای داخلی دسترسی داشته باشند و به نمایندگی از کارکنان اقدام کنند.

گزارش «Digital Trust Insights 2027» که PwC منتشر کرده، تصویری از فاصله میان آگاهی مدیران از فرصت‌ها و خطرهای هوش مصنوعی و تعیین مسئول مشخص برای کنترل آن ترسیم می‌کند. یافته‌ها نشان می‌دهد هرچند شماری از شرکت‌ها ساختارهایی برای پاسخ‌گویی و نظارت ایجاد کرده‌اند، زنجیره مسئولیت در حوزه هوش مصنوعی هنوز روشن نیست؛ مسئله‌ای که می‌تواند هنگام بروز رخداد امنیتی یا خطای یک عامل، پاسخ‌گویی را دشوار کند.

مسئولیت هوش مصنوعی میان چند نقش تقسیم شده است

بر پایه نتایج نظرسنجی، هیچ سمت سازمانی به‌طور روشن مسئول مدیریت عامل‌های هوش مصنوعی یا امنیت آن‌ها شناخته نمی‌شود. در پاسخ‌ها، ۲۹ درصد مدیران عامل و مدیران حوزه امنیت و ریسک گفته‌اند پاسخ‌گویی باید بر عهده مدیر ارشد فناوری اطلاعات، مدیر ارشد فناوری یا نقشی مشابه باشد. ۱۷ درصد نیز تیم امنیت سایبری یا مدیر ارشد امنیت اطلاعات را مسئول دانسته‌اند.

در مقابل، ۲۶ درصد از پاسخ‌دهندگان معتقدند این مسئولیت باید به یک مدیر یا واحد اختصاصی هوش مصنوعی سپرده شود. ۱۱ درصد گفته‌اند وضعیت مسئولیت‌پذیری مبهم است یا میان چند سمت و واحد تقسیم شده است. این ارقام نشان می‌دهد سازمان‌ها درباره ضرورت تعیین مسئولیت آگاه‌اند، اما درباره محل استقرار آن و حدود اختیارات هر نقش اتفاق‌نظر ندارند.

این اختلاف فقط به نام‌گذاری یک سمت مربوط نیست. مدیریت هوش مصنوعی در سازمان می‌تواند شامل تصمیم‌گیری درباره محل استفاده از سامانه‌ها، سطح دسترسی عامل‌ها، پایش رفتارشان و پاسخ‌گویی در صورت بروز مشکل باشد. وقتی این وظایف میان مدیران فناوری، امنیت، ریسک و تیم‌های کسب‌وکار پراکنده شود، مشخص‌کردن این‌که چه کسی باید یک تصمیم پرخطر را تأیید کند یا یک سامانه را متوقف کند دشوارتر می‌شود.

افزایش توجه مدیران به امنیت، بدون توافق بر سر مالکیت

در گزارش PwC نشانه‌هایی از حضور پررنگ‌تر امنیت سایبری در سطح مدیریتی دیده می‌شود، اما این روند هنوز فراگیر نیست. ۴۷ درصد پاسخ‌دهندگان گفته‌اند امنیت سایبری موضوعی ثابت در دستور کار هیئت‌مدیره است. در عین حال، ۹ نفر از هر ۱۰ مدیر گفته‌اند اقداماتی مانند نظارت هیئت‌مدیره، پاسخ‌گویی مدیران اجرایی و درنظرگرفتن ریسک در سطح سازمان در شرکت آن‌ها وجود دارد.

بااین‌حال، وجود چنین سازوکارهایی لزوماً به معنای روشن‌بودن مسئولیت ویژه هوش مصنوعی نیست. طبق گزارش، حدود یک‌سوم سازمان‌ها، معادل ۳۳ درصد، نیاز به پاسخ‌گویی در این حوزه را به رسمیت شناخته و برای نقش‌های اختصاصی هوش مصنوعی، از جمله مدیر ارشد هوش مصنوعی یا عضو هیئت‌مدیره با تمرکز بر این حوزه، نیرو جذب کرده‌اند. داده‌های گزارش مشخص نمی‌کند که این نقش‌ها در همه شرکت‌ها اختیار نهایی درباره امنیت یا راهبری هوش مصنوعی را دارند.

مدیران ارشد فناوری اطلاعات و مدیران امنیت اطلاعات پیش‌تر هم مسئولیت‌های گسترده‌ای دارند. گزارش این پرسش را مطرح می‌کند که آیا افزودن نظارت بر امنیت و کنترل سامانه‌های هوش مصنوعی به این مسئولیت‌ها بار زیادی ایجاد می‌کند یا نه. در همین چارچوب، احتمال شکل‌گیری نقشی اختصاصی مانند مدیر ارشد امنیت هوش مصنوعی، یا CAISO، مطرح شده است؛ اما این نقش در گزارش به‌عنوان راه‌حل قطعی معرفی نمی‌شود.

گزارش برای مقایسه به پیشینه نقش مدیر ارشد امنیت اطلاعات اشاره می‌کند: نخستین CISO رسمی در سال ۱۹۹۴، پس از حمله‌های سایبری روسیه، در Citigroup استخدام شد. امروزه تصور یک شرکت متوسط یا بزرگ بدون چنین نقشی دشوار است؛ بااین‌حال، این سابقه به‌تنهایی نشان نمی‌دهد که سازمان‌ها الزاماً باید برای هوش مصنوعی هم سمت مدیریتی تازه‌ای ایجاد کنند.

عامل‌های هوش مصنوعی به هویت و سطح دسترسی نیاز دارند

در کنار ساختار سازمانی، کنترل‌های فنی نیز می‌توانند به مدیریت عامل‌های هوش مصنوعی کمک کنند. عامل هوش مصنوعی سامانه‌ای است که می‌تواند با استفاده از ابزارها و دسترسی‌هایش، وظایفی را انجام دهد؛ گاهی نیز این کار را از طرف یک کارمند پیش می‌برد. چنین عاملی، مانند یک کاربر انسانی، به هویت دیجیتال و مجموعه‌ای از مجوزها وابسته است. اگر این دسترسی‌ها بیش از نیاز باشند یا مالک مشخصی نداشته باشند، نظارت بر اقدام‌های عامل پیچیده‌تر می‌شود.

جیم تیلور، مدیر ارشد محصول و راهبرد RSA، در گفت‌وگو با ZDNET گفته است کنترل‌های هویتی که برای کاربران انسانی به کار می‌روند باید برای عامل‌های هوش مصنوعی نیز در نظر گرفته شوند. منظور از کنترل هویت، روش‌هایی برای تشخیص کاربر یا سامانه و تعیین این است که به چه منابعی اجازه دسترسی دارد. گذرواژه، احراز هویت چندمرحله‌ای و اصول «اعتماد صفر» از نمونه‌های کنترل‌های امنیتی‌اند؛ اعتماد صفر یعنی دسترسی نباید صرفاً به‌دلیل حضور کاربر در شبکه سازمان پذیرفته شود و باید پیوسته بررسی شود.

تیلور پیشنهاد کرده هر عامل به یک مالک انسانی متصل باشد و اقدام‌های پرخطر آن پیش از اجرا به تأیید شخص مسئول برسد. یکی از گزینه‌های مطرح‌شده، استفاده از یک سامانه متمرکز برای ثبت عامل‌هایی است که اجازه فعالیت در شبکه سازمان را دارند. به این ترتیب، شرکت می‌تواند بداند چه عامل‌هایی فعال‌اند، چه کسی مسئول هرکدام است و دسترسی آن‌ها تا چه حد گسترده است.

از دیگر اقدام‌هایی که تیلور بر آن‌ها تأکید کرده، هم‌راستاکردن کنترل‌های راهبری با چارچوب‌های صنعتی، ارزیابی دوره‌ای عامل‌ها و کنارگذاشتن آن‌ها پس از پایان نیاز است. این موارد جای نظارت انسانی را نمی‌گیرند، اما می‌توانند به سازمان کمک کنند استفاده از عامل‌ها را محدود، قابل‌پیگیری و متناسب با نیاز نگه دارد.

ابهام در پاسخ‌گویی می‌تواند پیامد سازمانی داشته باشد

گسترش ابزارهای هوش مصنوعی در سازمان‌ها تنها به‌معنای اضافه‌شدن یک نرم‌افزار جدید نیست. عامل‌ها ممکن است به حساب‌ها، داده‌ها و منابعی دسترسی پیدا کنند که پیش‌تر برای کارکنان تعریف شده بود و بتوانند در محدوده مجوزهای خود کار انجام دهند. به همین دلیل، شرکت‌ها باید هم درباره سطح دسترسی این سامانه‌ها تصمیم بگیرند و هم مشخص کنند چه فردی مسئول نظارت بر آن‌هاست.

به گفته تیلور، شرکت‌ها در حال سرمایه‌گذاری روی هوش مصنوعی‌اند، اما ممکن است عامل‌هایی را وارد محیط کار کنند که حضور و رفتارشان به‌اندازه کارکنان دیده یا کنترل نمی‌شود. او هشدار داده است که پیامدهای رعایت‌نکردن الزامات، متوجه خود سازمان خواهد بود، نه عامل هوش مصنوعی. این نکته بر اهمیت داشتن مسئول انسانی و کنترل‌های اجرایی تأکید دارد.

نظرسنجی PwC نشان نمی‌دهد که یک عنوان شغلی واحد برای همه سازمان‌ها مناسب است؛ بلکه مسئله اصلی، روشن‌کردن مرز مسئولیت‌هاست. شرکت‌ها ممکن است این کار را به مدیران فناوری یا امنیت بسپارند، واحدی اختصاصی تشکیل دهند یا وظایف را میان چند نقش تقسیم کنند. در هر حالت، باید معلوم باشد چه کسی دسترسی‌ها را تأیید می‌کند، چه کسی عملکرد عامل‌ها را می‌سنجد و چه کسی در زمان بروز مشکل اختیار مداخله دارد.

این خبر برای چه کسانی اهمیت دارد

این یافته‌ها برای مدیران عامل، مدیران فناوری اطلاعات و امنیت، اعضای هیئت‌مدیره و مسئولان ریسک اهمیت دارد؛ به‌ویژه در سازمان‌هایی که از عامل‌های هوش مصنوعی در شبکه‌ها و فرایندهای داخلی استفاده می‌کنند. تصمیم‌گیری درباره مالکیت هر عامل، سطح دسترسی و تأیید اقدام‌های حساس می‌تواند بخشی از برنامه‌ریزی پیش از گسترش استفاده از این ابزارها باشد.

برای کارکنان و تیم‌های اجرایی نیز روشن‌بودن مسئولیت‌ها اهمیت دارد، چون عامل‌ها ممکن است وظایف را از طرف آن‌ها انجام دهند یا به اطلاعات کاری دسترسی پیدا کنند. گزارش PwC در نهایت بر یک خلأ سازمانی انگشت می‌گذارد: شرکت‌ها درباره ارزش هوش مصنوعی و لزوم کنترل آن صحبت می‌کنند، اما هنوز باید تعیین کنند چه کسی در عمل پاسخ‌گوی تصمیم‌ها و امنیت آن خواهد بود.