אנתרופיק בנתה מסלול שבו השאילתות נשארות בענן של הלקוח

בכל ארגון פיננסי, רפואי או ציבורי שנכנסנו אליו בשנה האחרונה חזרה אותה שיחה. המנהלים רוצים להתחיל, המשפטית שואלת לאן הולכות השאילתות, וכשאין תשובה טובה הפרויקט נעצר. אנתרופיק הודיעה עכשיו על מסלול שנבנה בדיוק סביב השאלה הזאת.

מה בדיוק היא בנתה

המסלול נקרא Enterprise Frontier Safeguards, והוא מחבר שני דברים שעד היום היה צריך לבחור ביניהם.

הראשון הוא שמירת אפס נתונים אצל הספק. הארגון עובד מול המודל, ומה שנכתב בשאילתה לא נשאר אצל החברה שמריצה אותו.

השני הוא זיהוי שימוש לרעה. ספק שלא שומר כלום גם לא יכול לראות שעובד אחד מנסה למשוך מהמערכת דברים שאסור לו, וזו בדיוק הסיבה שארגונים גדולים נרתעו מהאפשרות הראשונה.

הפתרון שאנתרופיק בחרה הוא להזיז את האחסון במקום לבטל אותו. נתוני הפעילות נשמרים בחשבון הענן של הלקוח עצמו, ב-AWS, ב-Google Cloud או ב-Azure, בסביבה שהארגון כבר סומך עליה ומבקר בעצמו. שלושת הרכיבים, אחסון בבעלות הלקוח, מפתחות הצפנה בניהול הלקוח וסקירה אוטומטית מלאה, מופעלים לפי בחירה.

אנתרופיק כותבת שהיא לא גובה על זה תשלום, וההשקה מתחילה בשלבים בסתיו הזה.

מי ישב בחדר כשזה נבנה

הפרטים על מי שהשתתף בפיתוח מספרים על מי המוצר הזה נבנה. אנתרופיק כותבת שהיא עבדה עם יותר ממאה לקוחות בפיננסים, בבריאות, בתעשייה, בתקשורת, במשפט, בקמעונאות ובמגזר הציבורי, ושהשיחות כללו רבע מרשימת Fortune 100 וכל אחד מהבנקים האמריקאים שמוגדרים כבעלי חשיבות מערכתית עולמית.

זו רשימה של ארגונים שהרגולטור שלהם שואל איפה המידע יושב פיזית ומי יכול לגשת אליו. כשמוצר נבנה סביב הדרישות שלהם, הוא בדרך כלל עונה בדרך גם על דרישות של ארגונים קטנים יותר באותם ענפים.

שלוש רמות, ולמה חשוב לדעת באיזו אתם

שווה לסדר את זה כי רוב הבלבול בארגונים מתחיל כאן.

ברמה הראשונה, חשבון פרטי, השיחות משמשות כברירת מחדל לשיפור המודל, עד שמישהו נכנס להגדרות ומכבה. זו הרמה שבה נמצא כל עובד שפתח חשבון בעצמו.

ברמה השנייה, חשבון עסקי, ההתחייבות הפוכה והמידע לא משמש לאימון. אבל הוא עדיין עובר בתשתית של הספק ונשמר שם לפי מדיניות השמירה שלו, וזה מה שהמשפטית שלכם שואלת עליו.

ברמה השלישית, זו שאנתרופיק הודיעה עליה, נתוני הפעילות יושבים בחשבון הענן של הארגון, ומפתחות ההצפנה יכולים להישאר בידיו. השאלה “איפה המידע יושב” מקבלת תשובה שאפשר להצביע עליה במסך.

רוב הארגונים שאנחנו פוגשים חושבים שהם ברמה השנייה, ובפועל חלק מהעובדים שלהם עובדים ברמה הראשונה בלי שאף אחד יודע.

למה זה נוגע לארגון ישראלי

תיקון 13 לחוק הגנת הפרטיות נתן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים, וטיוטת ההנחיה של הרשות על מערכות בינה מלאכותית דורשת מארגון לבחון את משך שמירת המידע שבשאילתות ואת היכולת למנוע שימוש בו לאימון האלגוריתם.

המסלול הזה נותן תשובה ישירה לשני הסעיפים האלה. משך השמירה אצל הספק יורד לאפס, ומה שנשמר יושב בחשבון שהארגון שולט בו.

מה שהוא לא נותן הוא כל השאר. מי מורשה להשתמש, מי מאשר, אילו כלים מותרים ואסורים, ומה עוברים העובדים בהדרכה, נשארים באחריות הארגון בדיוק כמו קודם. פירטנו את חמשת הסעיפים שהרשות דורשת במדיניות שימוש ב-AI בארגון, ותשתית טובה בלי מדיניות משאירה את רוב החשיפה במקומה.

מה זה משנה בשיחה עם המשפטית שלכם

עד היום השיחה הזאת נעצרה בשאלה אחת: לאן הולך המידע. התשובה הייתה שהוא הולך לספק, שהוא מתחייב לא לאמן עליו, ושצריך לסמוך על ההתחייבות.

עכשיו יש תשובה אחרת. המידע יושב בחשבון הענן שלכם, המפתחות אצלכם, והביקורת שאתם כבר מריצים על אותו חשבון מכסה גם אותו.

ההבדל בין שתי התשובות הוא לא טכני בלבד. הראשונה מבקשת אמון בחוזה, השנייה מציגה שליטה שאפשר להראות בביקורת. בארגון שכבר עבר ביקורת אבטחת מידע אחת, זה ההבדל בין שיחה שנגמרת בלא לשיחה שנגמרת בתנאים.

מה עושים עם זה עכשיו

אם יש אצלכם פרויקט AI שנעצר בגלל שמירת מידע, שווה להוציא אותו מהמגירה ולבדוק אותו מול המסלול הזה. ההשקה בשלבים, אז המקום להתחיל בו הוא הספק או השותף שמנהל לכם את חשבון הענן.

אם אין אצלכם פרויקט כזה, שווה לשים לב למה שהמהלך הזה מסמן. ספקי המודלים מתחילים להתחרות על ארגונים שהאילוץ שלהם הוא רגולטורי ולא תקציבי, וזה אומר שהתירוץ הטכני להמתין הולך ונסגר.

ארבע שאלות לספק, לפני שחותמים

מי מחזיק את מפתחות ההצפנה, ומה קורה אם אנחנו רוצים להחליף אותם.

כמה זמן נשמרים נתוני הפעילות, ומי בצד של הספק יכול לגשת אליהם בזמן הזה.

האם השאילתות שלנו משמשות לאימון, ואיפה זה כתוב בחוזה ולא רק בדף השיווקי.

ומה קורה כשעובד עושה שימוש לרעה. ספק שלא שומר כלום גם לא יראה את זה, ולכן שווה לשאול מה בדיוק המנגנון שמזהה, ומי מקבל את ההתראה.

השאלה האחרונה היא זו שמפילה הכי הרבה עסקאות בדיעבד. ארגון בוחר במסלול הפרטי ביותר, ואז מגלה שבמקרה של חשד הוא נשאר בלי שום דרך לברר מה קרה.

בפוקוס אנחנו נכנסים לארגונים בדיוק בנקודה הזאת, ממפים איזה מידע באמת עובר בתהליכים ומה מותר לחשוף, ובונים משם את המערכת ואת המדיניות יחד. לשיחה על הארגון שלכם, השאירו פרטים ונחזור אליכם עם כל הפרטים.