کابوس جریمه ۳۵ میلیون یورویی برای شرکت‌ها؛ قانون جدید هوش مصنوعی اروپا و چالشی که نادیده گرفته شده!

با اجرایی شدن الزامات شفافیت در قانون هوش مصنوعی اتحادیه اروپا (EU AI Act)، سازمان‌ها باید قبل از اینکه دیر بشه، وضعیت آمادگی خودشون رو در برابر قوانین و نحوه استفاده از ابزارهای هوش مصنوعی مشخص کنن. با در نظر گرفتن جریمه‌های سنگینی که تا سقف ۳۵ میلیون یورو یا ۷ درصد از کل درآمد سالانه شرکت‌ها می‌رسه، دیگه صرفاً زیر نظر داشتن خطرات ارتباطی کافی نیست؛ بلکه شرکت‌ها باید مو به مو و به شکل مستند ثابت کنن که این خطرات چطور شناسایی، بررسی و به مراجع بالاتر گزارش شدن.

وقتی پای بازرسی نهادهای نظارتی و قانونی به میان میاد، مشکل اکثر تیم‌های انطباق و نظارت کمبود داده و اطلاعات نیست. در واقع، بیشتر اوقات اطلاعات لازم یه جایی داخل سیستم‌های شرکت وجود داره. چالش اصلی و سخت‌تر اینه که بشه این شواهد و مدارک پراکنده رو خیلی سریع، شفاف و قابل دفاع از بین سامانه‌ها، جریان‌های کاری و تیم‌های مختلف جمع‌آوری کرد.

به قلم معاون ارشد و مدیرکل شرکت Arctera و Enterprise Vault.

این چالش درست زمانی حیاتی‌تر می‌شه که نهادهای قانونی تاکید زیادی روی «نتایج ملموس و قابل اثبات» می‌ذارن. حالا دیگه از شرکت‌ها انتظار می‌ره نه‌تنها نشون بدن کنترل‌ها و فیلترهایی وجود دارن، بلکه عملاً ثابت کنن که در صورت بروز یک ریسک احتمالی، این کنترل‌ها دقیقاً چطور فعال شدن و کار کردن. اینجاست که نظارت بر ارتباطات به هسته اصلی انطباق موثر با قوانین تبدیل می‌شه.

از فعالیت‌های نظارتی تا دستاوردهای نظارتی واقعی

تا پیش از این، نظارت بر ارتباطات معمولاً بر اساس حجم فعالیت‌ها سنجیده می‌شد؛ یعنی تیم‌های نظارت چک می‌کردن که چندتا هشدار امنیتی ثبت شده، چه تعداد بررسی انجام شده، چند پرونده به مدیران ارجاع داده شده و چه تعداد پرونده بسته شده است.

این آمار و ارقام هنوز هم مهمن، اما در واقع فقط بخش کوچکی از کل ماجرا رو روایت می‌کنن.

معیار واقعی و قوی‌تر برای سنجش میزان آمادگی یک شرکت اینه که ببینه آیا می‌تونه فعالیت‌های نظارتی خودش رو به نتایج ملموس وصل کنه یا نه. به این معنی که: آیا شرکت می‌تونه توضیح بده چرا یک خطر خاص شناسایی شد؟ آیا می‌تونه نشون بده یک هشدار چطور بررسی شد؟ آیا مدارک و شواهدی که مبنای یک تصمیم بودن رو مستند کرده؟ آیا می‌تونه درستی ارجاع پرونده رو اثبات کنه؟ و مهم‌تر از همه، آیا قادر هست چند ماه بعد وقتی نهادهای قانونی مدرک خواستن، تمام این مسیر رو بازسازی و ارائه کنه؟

این‌ها دقیقاً همان سوالاتی هستن که امروزه در کانون آمادگی برای مقررات جدید هوش مصنوعی قرار دارن.

زنجیره شواهد؛ تکه‌های پازلی که به هم وصل نیستند

اکثر شرکت‌ها مسئله ابتدایی و پایه‌ای ذخیره ارتباطات رو حل کرده‌ان. اما مرحله بعدی پیچیده‌تره: وصل کردن پیام‌ها، هشدارها، بررسی‌ها، تحقیقات و نتایج نهایی در قالب یک «زنجیره شواهد» شفاف و قابل دفاع قانونی.

متاسفانه در خیلی از مواقع این زنجیره به‌شدت تکه‌تکه و جزیره‌ایه و عملاً کارایی خودش رو از دست می‌ده. مکاتبات در یک پلتفرم ذخیره می‌شن، فرآیندهای نظارتی در سامانه‌ای دیگه هستن و سوابق پیگیری پرونده‌ها هم در جایی کاملاً جداگانه بایگانی شدن. ممکنه هر کدوم از این سیستم‌ها به تنهایی خوب کار کنن، اما درست زمانی که تیم نظارت باید صفر تا صد یک اتفاق رو برای بازرس‌ها توضیح بده، شکاف‌ها و فاصله‌ها خودشون رو نشون می‌دن.

این مسئله به‌خصوص با گسترش ارتباطات مبتنی بر هوش مصنوعی و تبدیل شدن اون به یک ریسک قانونی بزرگ، اهمیت دوچندانی پیدا کرده. تحقیقات نشون می‌ده در حالی که بیش از نیمی از سازمان‌های جهان (۵۵ درصد) سیاست‌های کلی، آموزش‌ها و مراحل بررسی هوش مصنوعی رو تعریف کردن، کمتر از یک سازمان از هر پنج سازمان (فقط ۱۹ درصد) کنترل‌های لازم برای لاگ‌گیری، ذخیره‌سازی، کشف و امتیازدهی رو دارن تا بتونن ثابت کنن واقعاً چه اتفاقی افتاده است.

بدون داشتن این لایه شواهد و لاگ‌ها، سازمان‌ها نمی‌تونن با اطمینان کامل نشون بدن ابزارهای هوش مصنوعی دقیقاً چه چیزی تولید کردن، چه کسی اون رو بررسی کرده، خروجی به کجا فرستاده شده و آیا سوابقش نگهداری شده یا نه.

نتیجه این وضعیت، فرسایش و اتلاف وقت بیهوده است: بررسی پرونده‌ها خیلی بیشتر از حد معمول طول می‌کشه، جمع‌آوری مدارک مثل یک کابوس می‌شه و تصمیمات نظارتی همچنان به تایید دستی نیاز پیدا می‌کنن.

در نتیجه، وقتی نهادی قانونی اطلاعاتی رو درخواست می‌کنه، تیم‌ها باید ساعت‌های ارزشمندی رو صرف سرهم کردن اطلاعاتی کنن که از قبل باید به هم متصل می‌بودن؛ اتفاقی که می‌تونه به یک بحران عملیاتی جدی تبدیل بشه.

شفافیت؛ خواسته جدید و بی‌چون‌وچرای نهادهای قانونی

با تحول و سخت‌گیرانه‌تر شدن انتظارات نهادهای قانون‌گذار، شرکت‌ها باید بتونن در عمل نشون بدن نظارت بر هوش مصنوعی چطور کار می‌کنه. به عبارت ساده‌تر: باید کاملاً مشخص باشه خطرات چطور شناسایی می‌شن، تصمیم‌ها چگونه گرفته می‌شن، شواهد چطور ارزیابی می‌شن و خروجی نهایی چگونه ثبت و مستند می‌شه.

یک سیستم نظارتی فقط زمانی واقعاً اثربخشه که بتونه چنین سطح بالایی از شفافیت رو ارائه بده. شاید قانون‌گذاران ساختار فنی یا معماری خاصی رو اجبار نکنن، اما قطعاً از سازمان‌ها انتظار دارن ثابت کنن فرآیند نظارتشون کارآمد، تکرارپذیر و از نظر حقوقی کاملاً قابل دفاعه.

به همین دلیله که شرکت‌ها حالا دارن فراتر از ابزارهای جزیره‌ای نگاه می‌کنن و به سمت یک رویکرد یکپارچه برای حاکمیت ارتباطات، نظارت هوشمند، مدیریت تحقیقات و بایگانی سوابق حرکت می‌کنن.

دید عملیاتی؛ اهمیتی برابر با ذخیره‌سازی داده‌ها

داشتن دید شفاف بر جریان عملیات (Operational Visibility) به اندازه ذخیره‌سازی خود داده‌ها اهمیت پیدا کرده. تیم‌های نظارت باید بدونن اطلاعات نه‌تنها کجا ذخیره شدن، بلکه بعد از شناسایی یک مشکل بالقوه، این اطلاعات چطور در بخش‌های مختلف سازمان دست‌به‌دست می‌شن.

اون‌ها باید بتونن کل زنجیره فعالیت رو از اولین هشدار تا مراحل بررسی، ارجاع، تصمیم‌گیری نهایی و بایگانی دنبال کنن. در این میان، نظارت بر کانال‌های ارتباطی به بخش حیاتی چارچوب شواهد سازمان تبدیل شده است.

اگر این نظارت به‌درستی پیاده بشه، به تیم‌ها کمک می‌کنه ریسک‌ها رو خیلی زودتر شناسایی کنن، مسائل رو با بازدهی بالاتری بررسی کنن و به‌طور مستند نشون بدن نظارت بر سیستم‌ها در طول زمان چطور کار کرده است.

آمادگی واقعی یعنی بتوانید اتفاقات را اثبات کنید

اولویت اول سازمان‌ها در حال حاضر، ایجاد زمینه و بستری مناسب برای تصمیم‌گیری‌های بهتر و مستندسازی قانونی این تصمیم‌هاست.

آمادگی قانونی شرکت‌ها روزبه‌روز بیشتر به توانایی اثبات تصمیم‌گیری‌ها وابسته می‌شه: اینکه چرا یک پرونده بررسی شد، چه اطلاعاتی در نظر گرفته شد، آیا نیاز به ارجاع به مدیران بالاتر بود و نتیجه نهایی چطور حاصل شد. بدون داشتن یک نمای متصل و یکپارچه، حتی بهترین فرآیندها هم در زمان مواجهه با بازرسان قانون غیرقابل دفاع خواهند بود.

بنابراین، نظارت بر ارتباطات از یک وظیفه ساده و محدودِ مانیتورینگ فراتر رفته و به رکن اصلی آمادگی برای مقررات تبدیل شده است. این سیستم اولین خط دفاعی و منبع اصلی مدارک برای نحوه شناسایی، ارزیابی و رفع خطراته و پایه‌ای محکم به شرکت‌ها می‌ده تا ثابت کنن نظارتشون فقط روی کاغذ نیست، بلکه واقعاً کار می‌کنه.

در فضای قانونی امروز، آمادگی یعنی اینکه بتونید با مدرک ثابت کنید دقیقاً چه اتفاقی افتاده، نه اینکه تازه دنبال پیدا کردن فایل‌ها و اطلاعات بگردید.