Työntekijöiden tapa käyttää tekoälyä voi vaarantaa koko organisaation tietoturvan, varoittaa Apple-laitteiden hallintaan ja tietoturvaan erikoistuneen Jamfin EMEIA-alueen tietoturvastrategiasta vastaava Adam Boynton.
Organisaatioilla ei hänen mukaansa useinkaan ole kokonaiskuvaa siitä, mitä tekoälytyökaluja työntekijät käyttävät tai millaisia tekoälyominaisuuksia tavallisiin työsovelluksiin sisältyy. Pahimmillaan tekoälyagentti voi käyttää samoja käyttöoikeuksia kuin työntekijä ja päästä käsiksi samoihin tietoihin ja järjestelmiin.
Boyntonin mukaan organisaatiot keskittyvät usein tunnettujen tekoälypalveluiden, kuten erillisten chatbotien, hallintaan. Samalla tavallisiin työssä käytettäviin sovelluksiin voi sisältyä tekoälyä ilman, että sen käyttöönotosta on tehty erillistä päätöstä.
– Useimmat organisaatiot valvovat niitä tekoälytyökaluja, joiden käytöstä ne tietävät. Suurempi riski voi kuitenkin piillä tekoälyssä, joka toimii osana muita sovelluksia, Boynton sanoo tiedotteessa.
Tällainen tekoälyagentti voi hänen mukaansa käyttää työntekijälle myönnettyjä käyttöoikeuksia ja päästä niiden avulla organisaation tietoihin. Työnantaja ei välttämättä edes tiedä tekoälyn toimivan sovelluksen taustalla.
Kaikki tekoälyn käyttö ei näy valvonnassa
Boyntonin mukaan organisaatiot aliarvioivat helposti sen, kuinka laajasti tekoälyä on jo otettu käyttöön ennen yhteisten sääntöjen laatimista.
Tekoälyn käyttöä koskevat ohjeet ja valvonta kohdistuvat tavallisesti organisaation virallisesti hyväksymiin palveluihin. Ne voivat kuitenkin muodostaa vain osan todellisesta käytöstä.
Myös nykyisten tietoturvaratkaisujen kyvyissä havaita tekoälyä on rajoituksia. Esimerkiksi suoraan työntekijän laitteella toimiva, salattu tai sovelluksen ohjelmakoodiin sisällytetty tekoäly voi jäädä verkkoliikennettä valvovilta järjestelmiltä huomaamatta.
Boynton nostaa erityiseksi ongelmaksi älypuhelimet. Tekoälyn hallintamallit keskittyvät hänen mukaansa usein kannettaviin tietokoneisiin, vaikka työntekijän puhelimella voi olla pääsy samoihin organisaation tietoihin ja järjestelmiin.
– Lähes kaikki näkemäni tekoälyn hallintamallit keskittyvät tietokoneisiin. Samalla työntekijän taskussa olevalla puhelimella voi olla täsmälleen samat käyttöoikeudet, mutta sitä eivät välttämättä koske samat tietoturvakontrollit, hän sanoo.
Boyntonin mukaan tekoälyn täyskielto ei ratkaise ongelmaa. Tiukat rajoitukset voivat siirtää käytön työntekijöiden henkilökohtaisille laitteille ja käyttäjätunnuksille, jolloin työnantajan näkyvyys heikkenee entisestään.
Hänen mukaansa organisaatioiden pitäisi sen sijaan selvittää, mitä tekoälyratkaisuja niissä todella käytetään, määritellä niiden käytölle yhteiset säännöt ja nimetä henkilö, joka vastaa kokonaiskuvan ylläpitämisestä.
Ajantasainen luettelo käytössä olevista tekoälyratkaisuista auttaa Boyntonin mukaan arvioimaan niihin liittyviä riskejä ja vastaamaan sääntelyn vaatimuksiin.
Tuttu ääni ei enää todista henkilöllisyyttä
Tekoälyn yleistyminen tuo organisaatioille myös uudenlaisia huijausriskejä. Boynton nostaa esiin erityisesti äänen kloonaamisen, jonka avulla rikolliset voivat esiintyä esimerkiksi yrityksen johtajana tai työntekijänä.
Uskottavan äänen jäljittelyyn voi hänen mukaansa riittää lyhyt julkisesta videosta saatu ääninäyte.
Huijari voi esimerkiksi soittaa taloushallintoon yrityksen johtajana ja vaatia kiireellistä maksua. Toisessa tapauksessa rikollinen voi yrittää saada IT-tuen palauttamaan käyttäjätunnuksen tai salasanan esiintymällä tuttuna työntekijänä.
– Ajatus siitä, että tuttu ääni todistaa soittajan henkilöllisyyden, on vanhentunut. Monet organisaatiot eivät kuitenkaan ole muuttaneet toimintatapojaan tämän mukaisesti, Boynton varoittaa.
Hänen mukaansa rahansiirtoihin ja käyttöoikeuksien muutoksiin liittyvät pyynnöt pitäisi aina varmistaa erillistä ja luotettavaa yhteydenottokanavaa pitkin.
Samalla organisaatioiden pitäisi huolehtia siitä, että tekoälyn hallinta ja tietoturvakontrollit kattavat kannettavien tietokoneiden lisäksi myös työntekijöiden älypuhelimet.