Valkoinen talo ei tuhlaa aikaa valmistautuessaan nollapäivähaavoittuvuuksien hyökkäykseen, joita tekoälytyökalujen odotetaan tuovan esiin.
Presidentti Trump allekirjoitti 2. kesäkuuta toimeenpanoasetuksen 14409, joka edistää edistynyttä tekoälyinnovaatiota ja -turvallisuutta . Se on yritys yhdistää tekoälytoimittajat ja kriittisen kansallisen infrastruktuurin (CNI) ylläpitäjät yhteistyöhön bugien poistamiseksi.
Toimeenpanomääräyksessä vaadittiin tekoälyn kyberturvallisuuden tiedonvälityskeskuksen perustamista, joka kokoaisi yhteen tekoälytoimittajat ja verkkoinfrastruktuurien (CNI) toimijat. Heinäkuun puolivälissä seurantaraportissa virallisesti nimellä "Gold Eagle" julkistettu järjestelmä keskittyy tekoälyn avulla tapahtuvaan haavoittuvuuksien skannaukseen verkkoinfrastruktuurien (CNI) organisaatioiden suojaamiseksi.
Hallinto on toiminut nopeasti, ja valtiovarainministeriö (joka johtaa tätä työtä), NSA ja CISA perustivat tiedonvälityskeskuksen 30 päivän kuluessa EO:n julkaisemisesta.
Aloite on riittävän laaja, jotta siihen voi osallistua laaja joukko ihmisiä. Ohjelmaan eivät pääse osallistumaan vain suljetun lähdekoodin mallien kehittäjät. Myös avoimen lähdekoodin mallit ovat tervetulleita. CNI:n puolella se priorisoi maaseudun sairaaloita, yhteisöpankkeja ja paikallisia yleishyödyllisiä laitoksia tekoälytoimittajien avun kohteeksi, jotta he voivat löytää bugeja infrastruktuurinsa vahvistamiseksi.
Työnantaja jatkaa hallinnon tekoälyyn kohdistamaa sääntelyn vastaista linjaa vapauttamalla virallisesti tekoälymallien kehittäjät ohjelmistojen julkaisulupien hankkimisesta tai muusta hyväksynnän hakemisesta. Tämä edistää Bidenin aikakauden tekoälylähestymistavan kääntymistä. Edellinen hallinto oli määrännyt kehittäjien raportoimaan tekoälymalleista toimeenpanomääräyksellä, jonka nykyinen hallinto kumosi.
Kolmannen osapuolen vastuun puute
Vaikka tämä on tietyssä mielessä hyviä uutisia tekoälyalan organisaatioille, se luo myös epätasapainoa. Kyseessä on tekoälyoperaattoreille vapaaehtoinen ohjelma, ja se vapauttaa heidät pitkälti valvonnasta. NSA suorittaa vertailuanalyysiprosessin tekoälymallien arvioimiseksi sen osalta, ovatko ne "suojattuja". Hallitus saa ennakkopääsyn tällaisiin malleihin ja auttaa myös päättämään, mitkä muut kumppanit saavat ennakkopääsyn, mutta vertailuanalyysiprosessi on salainen.
Pankit, sairaalat ja yleishyödylliset laitokset kohtaavat tiukkoja sääntöjä kyberturvallisuuden valvonnassa sekä omassa infrastruktuurissaan että toimitusketjuissaan, mutta on epäselvää, miten ne vaativat samaa tekoälykumppaneiltaan, vai odotetaanko niiden jättävän asian NSA:n johtajan hyväksyttäväksi.
”Kriteereihin ei sovelleta julkista ilmoitus- ja kommenttidynamiikkaa, joka tyypillistä on liittovaltion standardien laatimisessa”, asianajotoimisto Ropes & Grayn analyysi huomauttaa.
Tekoälyn toimitusketjun valvonnan tarve
Korkealla tasolla tällainen aloite on järkevä, kun otetaan huomioon nopea vauhti, jolla tekoälymallit alkavat kehittää uhkien metsästyskykyjä. Olemme jo nähneet useita nollapäiväilmiöitä Project Glasswingin seurauksena. Kyseessä on antropologinen projekti, jossa tehtiin yhteistyötä alan kumppaneiden kanssa ohjelmistohaavoittuvuuksien poistamiseksi edistyneen Mythos-mallin avulla.
Ohjelma kuitenkin korostaa myös tarvetta kehittyneille hallintokäytännöille, jotka ottavat huomioon uuden tason tekoälyn synnyttämiä riskejä.
Näihin riskeihin kuuluvat uusien uhkien löytäminen ja tekoälymallien hyödyntäminen. Vuonna 2026 tehdyssä BCG:n kyselyssä havaittiin, että yli kolmannes organisaatioista oli kokenut tekoälyhyökkäysten aiheuttamia "merkittäviä vaikutuksia" edeltävien 12 kuukauden aikana.
Tekoälyn nopea kehitys ja käyttöönotto tuo tietämättään mukanaan myös tietoturva-aukkoja. Sisäiseen tekoälyavusteiseen ohjelmistokehitykseen liittyvien riskien lisäksi BCG huomauttaa, että tekoäly lisää organisaation riippuvuutta kolmansista osapuolista, aina pilvipalveluiden hyperskaalaajista mallinnuspalveluntarjoajiin ja työkaluihin, jotka upottavat tekoälyominaisuuksia. Tämä laajentunut toimitusketju venyttää hyökkäyspinta-alaa.
Autonomisen agenttisen tekoälyn nousu vain pahentaa ongelmaa. Ison-Britannian hallituksen tekoälyturvallisuustutkimuslaitos on havainnut tekoälyagenttien suorittavan luvattomia toimia internetissä, jotka on suunnattu oikeille ihmisille ja organisaatioille verkossa.
Vaatimus tekoälyn hallinnoinnista ja toimittajien varmuudesta
Kyberturvallisuus- ja valvontakehykset ovat ensisijainen työkalu vastauksen jäsentämiseen. Yhdysvaltain kansallinen standardien ja teknologian instituutti NIST esitteli äskettäin tekoälyriskien hallintakehyksensä (RMF) osana uutta profiilia nimeltä Trustworthy AI in Critical Infrastructure (Luotettava tekoäly kriittisessä infrastruktuurissa). Tämä loisi virallisen sanaston, joka määrittelee, mitä luotettava tekoäly tarkoittaa. Se hahmottelisi, mihin riskeihin tulisi puuttua ja mitä näyttöä riskien lieventämisestä tulisi esittää, jolloin luotettavuudesta tulisi sopimuksellinen ja auditoitavissa oleva operaattorin ja toimittajan välinen vaatimus.
Uusien intelligenssin (CNI) alat ovat jo alkaneet kehittää oppaita kolmansien osapuolten tekoälyriskien torjumiseksi ja toimitusketjun läpinäkyvyydelle, kuten terveysalan koordinointineuvoston kolmansien osapuolten tekoälyriskien ja toimitusketjun läpinäkyvyyttä koskeva opas.
ISO-standardit tarjoavat perustan tekoälyn vaatimustenmukaisuudelle
On olemassa muitakin valvontakehyksiä, jotka sopivat hyvin yhteen tekoälyn RMF:n kanssa. UC Berkeleyn tekoälypolitiikan keskuksen toinen johtaja Jessica Newman totesi RMF:n analyysissä sen julkistamisen yhteydessä, että NIST:n viitekehys on yhteensopiva ISO/IEC 23894 -standardin kanssa arvioitaessa vaatimustenmukaisuutta tietotekniikan tietoturvan yhteisten kriteerien (Common Criteria for Information Technology Security Evaluation) kanssa. Se on myös linjassa EU:n tekoälylain kanssa, hän lisäsi.
Organisaatiot voivat käyttää myös muita viitekehyksiä tekoälyn toimitusketjuriskien hallintaan, kuten NIST:n SP 800-161 -opas toimitusketjun kyberriskien tunnistamiseen ja lieventämiseen.
Useat toisiaan täydentävät ISO-standardit voivat auttaa organisaatioita selviytymään laajasta tekoälyriippuvuuksien verkostosta, joka nykyään on useimpien yritysten työkuormien taustalla. Erityisesti ISO/IEC 42001:2023 AI Management System (AIMS) -viitekehys lähestyy tekoälyn hallintaa laajasti ja kattaa kolmansien osapuolten mallit ja työkalut.
ISO/IEC 5338 tarjoaa tekoälyjärjestelmien hallintaan koko elinkaaren kattavan lähestymistavan, joka ottaa huomioon esimerkiksi toimittajamallien hallinnan. Tämä on hyödyllinen työkalu, kun otetaan huomioon nopeus, jolla toimittajat päivittävät mallejaan ja koulutustietojaan sekä avoimen että suljetun painotuksen malleissa.
Vaikka kaikki eivät ehkä olekaan samaa mieltä Valkoisen talon sääntelyyn liittyvästä käytännöllisestä lähestymistavasta, sen kanta tekoälytoimittajien ja CNI:n integrointiin on askel eteenpäin torjumaan tekoälypohjaisten uhkien uutta aikakautta. Sen esiin nostamat kysymykset, jotka liittyvät kaikkeen immateriaalioikeuksien suojaamisesta toimitusketjun tarkkuuteen, saavat organisaatiot kaikkialla arvioimaan pitkän aikavälin lähestymistapaansa yhteistyöhön monenlaisten tekoälyyn ja tekoälyyn liittyvien toimittajien kanssa.
Yhdessä nämä standardit antavat hankinta-, tietoturva- ja riskienhallintatiimeille yhteisen sanaston oikeiden kysymysten esittämiseen tekoälytoimittajille ja keinon sisällyttää tekoälyyn liittyvät huolenaiheet jo käytössä oleviin sertifiointi- ja auditointijärjestelmiin.
Laajenna tietosi
Webinaari: Oppitunteja yhdestä maailman ensimmäisistä ISO 42001 -sertifioinneista
Blogi: Mitä Valkoisen talon kansallinen tekoälypolitiikkakehys tarkoittaa vaatimustenmukaisuuden kannalta
