在未來(lái) 12-18 個(gè)月內(nèi)，組織將面臨日益復(fù)雜的 AI 合規(guī)框架和法規(guī)環(huán)境。隨著 AI 在各個(gè)行業(yè)的采用加速，全球各國(guó)政府都在推進(jìn)立法以應(yīng)對(duì)其風(fēng)險(xiǎn)和使用。對(duì)于安全主管來(lái)說(shuō)，這些框架在治理、風(fēng)險(xiǎn)管理和合規(guī)規(guī)劃方面帶來(lái)了重大挑戰(zhàn)。

在歐盟，《歐盟人工智能法案》標(biāo)志著一項(xiàng)重要進(jìn)展，該法案將于 2025 年 2 月開始分階段推出。與此同時(shí)，在美國(guó)，監(jiān)管舉措包括擬議的美國(guó)證券交易委員會(huì)規(guī)則和越來(lái)越多的州級(jí)立法，例如科羅拉多州的《人工智能法案》。據(jù)全球律師事務(wù)所 BCLP稱，美國(guó)至少有 15 個(gè)州頒布了與人工智能相關(guān)的立法，還有更多立法正在制定中。在這些地區(qū)之外，中國(guó)的監(jiān)管方法自 2022 年以來(lái)一直在迭代，這給全球企業(yè)帶來(lái)了另一層復(fù)雜性。

而這僅僅是個(gè)開始。除了針對(duì)人工智能的特定法規(guī)外，《數(shù)字運(yùn)營(yíng)彈性法案》（DORA）等更廣泛的框架還引入了與人工智能使用相關(guān)的行業(yè)特定要求，特別是在金融服務(wù)和其他受監(jiān)管行業(yè)。

對(duì)于跨國(guó)組織來(lái)說(shuō)，在未來(lái)幾年里，協(xié)調(diào)這些重疊且不斷發(fā)展的法規(guī)之間的合規(guī)工作將是一項(xiàng)重大挑戰(zhàn)。

2025 年 2 月：歐盟人工智能法案開始實(shí)施

與 GDPR 類似，歐盟 AI 法案將分階段實(shí)施。第一個(gè)里程碑是2025 年 2 月 2 日，屆時(shí)在歐盟運(yùn)營(yíng)的組織必須確保參與 AI 使用、部署或監(jiān)督的員工具備足夠的 AI 素養(yǎng)。此后從 8 月 1 日起，任何基于GPAI 標(biāo)準(zhǔn)的新 AI 模型都必須完全符合該法案。與 GDPR 類似的是，不合規(guī)行為將面臨巨額罰款——3500 萬(wàn)歐元或全球年?duì)I業(yè)額的 7%，以較高者為準(zhǔn)。

雖然這一要求表面上看似可控，但許多組織仍處于定義和正式化其 AI 使用政策的早期階段。在我與安全和合規(guī)負(fù)責(zé)人的對(duì)話中，很少有人表示已實(shí)施可執(zhí)行的政策來(lái)管理內(nèi)部 AI 的使用，更不用說(shuō)向外部監(jiān)管機(jī)構(gòu)證明其合規(guī)性了。

這一階段凸顯了安全意識(shí)培訓(xùn)計(jì)劃的更廣闊機(jī)會(huì)，可以超越傳統(tǒng)的網(wǎng)絡(luò)釣魚模擬等練習(xí)。例如，動(dòng)態(tài)和自動(dòng)化的培訓(xùn)任務(wù)（KnowBe4 等平臺(tái)已經(jīng)采用的模型）可以幫助組織確保員工能夠理解和減輕與人工智能相關(guān)的風(fēng)險(xiǎn)。

高風(fēng)險(xiǎn)應(yīng)用和人工智能資產(chǎn)清單的挑戰(zhàn)

歐盟《人工智能法案》的后期階段預(yù)計(jì)將于 2025 年底至 2026 年實(shí)施，屆時(shí)將對(duì)禁止和高風(fēng)險(xiǎn)的人工智能應(yīng)用提出更嚴(yán)格的要求。對(duì)于組織而言，這將帶來(lái)一項(xiàng)重大的治理挑戰(zhàn)：保持對(duì)人工智能資產(chǎn)的可見性和控制力。

影子 IT 的概念（員工未經(jīng)批準(zhǔn)使用未經(jīng)批準(zhǔn)的工具）并不新鮮，但生成式 AI 工具加劇了這一問(wèn)題。與傳統(tǒng)軟件相比，AI 工具對(duì)最終用戶往往更具吸引力，他們可能會(huì)繞過(guò)控制措施來(lái)利用他們所認(rèn)為的生產(chǎn)力優(yōu)勢(shì)。結(jié)果就是“影子 AI”的興起，未經(jīng)批準(zhǔn)或嵌入的 AI 功能在沒(méi)有安全監(jiān)督的情況下被使用。

跟蹤獨(dú)立生成式 AI 工具（例如 ChatGPT 或 Claude）的使用情況相對(duì)簡(jiǎn)單。然而，在處理在后端集成 AI 功能的 SaaS 平臺(tái)時(shí)，挑戰(zhàn)會(huì)變得更加嚴(yán)峻。包括 Gartner 在內(nèi)的分析師將此稱為“嵌入式 AI”，其普及使得維護(hù)準(zhǔn)確的 AI 資產(chǎn)清單變得越來(lái)越復(fù)雜。

如果美國(guó)證券交易委員會(huì)的擬議法規(guī)在美國(guó)頒布，人工智能資產(chǎn)管理將變得更加重要。組織將需要實(shí)施強(qiáng)大的流程來(lái)盤點(diǎn)、監(jiān)控和管理其環(huán)境中的人工智能系統(tǒng)。

了解人工智能用例：超越工具跟蹤

歐盟人工智能法案等框架變得更加復(fù)雜的地方在于它們關(guān)注的是“高風(fēng)險(xiǎn)”用例。合規(guī)性要求組織不僅僅識(shí)別正在使用的人工智能工具；他們還必須評(píng)估這些工具的使用方式、共享的數(shù)據(jù)以及人工智能正在執(zhí)行的任務(wù)。

例如，員工使用生成式 AI 工具總結(jié)敏感的內(nèi)部文件與使用相同工具起草營(yíng)銷內(nèi)容的風(fēng)險(xiǎn)截然不同。隨著 AI 的使用范圍不斷擴(kuò)大，組織必須詳細(xì)了解這些用例，以評(píng)估其風(fēng)險(xiǎn)狀況并確保遵守法規(guī)。

這不是一項(xiàng)小任務(wù)。開發(fā)監(jiān)控和管理全球企業(yè) AI 用例的能力將需要大量資源，尤其是隨著法規(guī)在未來(lái) 12-24 個(gè)月內(nèi)日趨成熟。

歐盟人工智能法案：更大治理難題的一部分

對(duì)于安全和合規(guī)領(lǐng)導(dǎo)者來(lái)說(shuō)，歐盟人工智能法案只是將在 2025 年占據(jù)主導(dǎo)地位的更廣泛的人工智能治理難題的一部分。無(wú)論身處何地，組織都將面臨越來(lái)越大的壓力來(lái)了解、管理和記錄其人工智能部署。

未來(lái) 12-18 個(gè)月，安全、合規(guī)和技術(shù)團(tuán)隊(duì)需要持續(xù)關(guān)注并通力協(xié)作，才能領(lǐng)先于這些發(fā)展。雖然挑戰(zhàn)巨大，但積極主動(dòng)的組織有機(jī)會(huì)構(gòu)建可擴(kuò)展的 AI 治理框架，以確保合規(guī)性，同時(shí)實(shí)現(xiàn)負(fù)責(zé)任的 AI 創(chuàng)新。

成功的三個(gè)步驟

隨著全球監(jiān)管勢(shì)頭的加速，今天的準(zhǔn)備對(duì)于避免明天的混亂至關(guān)重要。以下是組織今天可以做的事情：

• 建立 AI 委員會(huì)——如果你還沒(méi)有，那就組建一個(gè)跨職能團(tuán)隊(duì)來(lái)應(yīng)對(duì) AI 挑戰(zhàn)。這應(yīng)該包括治理代表，也包括安全和業(yè)務(wù)利益相關(guān)者
• 獲得可見性——了解您的員工正在使用什么以及他們使用它來(lái)做什么
• 培訓(xùn)用戶了解人工智能及其風(fēng)險(xiǎn)