Mi a ChatGPT információszivárgásának kockázata? Bemutatjuk a megteendő négy lépést

Az utóbbi időben nagy figyelmet kapó „ChatGPT”. Képes szövegek írására, programozásra, zenei kották létrehozására és rajzolásra is, így számos területen vált központi érdeklődés tárgyává ez a generatív AI.

A ChatGPT nevében szereplő GPT a „Generative Pre-training Transformer” rövidítése, amely nagy mennyiségű szöveges (dokumentum), kép- és hangadatok (kiterjesztések) előzetes tanulmányozásával képes emberihez hasonló természetes beszélgetéseket folytatni.

A ChatGPT komplex feladatok ellátására is képes, ezért a feladatok hatékonyabbá tételében és a magas költséghatékonyságban rejlő lehetőségek miatt került a figyelem középpontjába. A ChatGPT alkalmazása már számos területen előrehaladott, és sok tech vállalat saját AI rendszerek bevezetésére irányuló lépéseket is tesz.

Így a ChatGPT és más AI technológiák esetében számos üzleti lehetőség kínálkozik, ugyanakkor felmerülnek potenciális kockázatok is, mint például szerzői jogi problémák, téves információk terjedése, bizalmas információk szivárgása, adatvédelmi aggályok és a kibertámadásokhoz való rosszindulatú felhasználás lehetősége.

Ebben a cikkben egy ügyvéd fogja kifejteni azokat az intézkedéseket, amelyeket a ChatGPT használata során az információszivárgás kockázatának kezelése érdekében érdemes megfontolni.

A ChatGPT-vel kapcsolatos információszivárgás kockázatai

A vállalatok ChatGPT bevezetésével kapcsolatos kockázatokat főként a következő négy pontban foglalhatjuk össze:

• Biztonsági kockázatok (információszivárgás, pontosság, sebezhetőség, rendelkezésre állás stb.)
• Szerzői jogi kockázatok
• Visszaélés lehetőségének kockázata (például kibertámadások)
• Etikai kérdések

A ChatGPT-vel kapcsolatos információszivárgás kockázata azt jelenti, hogy ha titkos információkat adunk meg a ChatGPT-ben, akkor fennáll a veszélye annak, hogy ezek az információk az OpenAI munkatársai vagy más felhasználók által láthatóvá válnak, vagy tanulási adatként felhasználásra kerülnek.

Az OpenAI adatfelhasználási politikája szerint, ha a felhasználók nem használják a ChatGPT “API”-ját vagy nem kérik az “opt-out” lehetőséget, akkor az OpenAI gyűjtheti és felhasználhatja (tanulás céljából) a ChatGPT-be bevitt adatokat (erről később részletesebben is beszámolunk).

ChatGPT használatából adódó információszivárgási esetek

Ebben a részben bemutatjuk azokat az eseteket, amikor a ChatGPT használata során regisztrált személyes adatok vagy bevitt bizalmas információk szivárogtak ki.

Személyes adatok kiszivárgásának esetei

2023. március 24-én az OpenAI bejelentette, hogy egy hibából kifolyólag néhány felhasználónak megjelenítette más felhasználók hitelkártyáinak utolsó négy számjegyét és a kártya lejárati idejét tartalmazó személyes adatokat, ezért március 20-án rövid időre offline állapotba helyezték a ChatGPT-t. Az érintett személyes adatok kiszivárgása a “ChatGPT Plus” fizetős előfizetői közül néhányat (a tagok körülbelül 1,2%-át) érintette.

Ezenkívül bejelentették, hogy a hiba fennállása alatt más felhasználók chatelőzményei is megjelenhettek a felhasználók chatelőzményeiben.

Mindezekre reagálva 2023. március 31-én az olasz adatvédelmi hatóság jogi alap hiányára hivatkozva ideiglenes korlátozást rendelt el az OpenAI-val szemben, mivel a ChatGPT személyes adatokat gyűjtött és tárolt a tanuláshoz. Az OpenAI válaszul blokkolta a ChatGPT-hez való hozzáférést Olaszországból. A blokkolást később, április 28-án feloldották, miután az OpenAI javította a személyes adatok kezelését.

Vállalati belső bizalmas információk kiszivárgásának esetei

2023. februárjában az amerikai Cyberhaven kiberbiztonsági cég jelentést tett közzé a ChatGPT használatával kapcsolatban az ügyfelei számára.

A jelentés szerint a Cyberhaven termékeit használó ügyfelek 1,6 millió munkavállalója közül a tudásalapú munkavállalók 8,2%-a használta legalább egyszer a ChatGPT-t a munkahelyén, és közülük 3,1% bevitt vállalati titkos adatokat a ChatGPT-be.

Egy dél-koreai esetet is említenek, ahol 2023. március 30-án a „Economist” dél-koreai médium beszámolt arról, hogy a Samsung Electronics egyik belső részlege engedélyezte a ChatGPT használatát, ami során bizalmas információk kerültek bevitelre.

A Samsung Electronics részéről bár figyelmeztetéseket adtak ki a belső információbiztonságra vonatkozóan, voltak olyan alkalmazottak, akik mégis bevitték a program forráskódját vagy értekezleti tartalmakat.

Ilyen körülmények között vannak országok és vállalatok, amelyek korlátozzák a ChatGPT használatát, míg mások támogató politikát hirdetnek. A ChatGPT bevezetésekor fontos megérteni az információszivárgás kockázatának nagyságát, és ennek tudatában dönteni.

Négy stratégia az információszivárgás megelőzésére a ChatGPT használata során

Az információszivárgás, ha egyszer megtörténik, nem csak jogi felelősséget von maga után, hanem jelentős veszteségeket okozhat a bizalom és a hírnév terén is. Ezért létfontosságú, hogy megfelelő információkezelési rendszert és oktatást biztosítsunk a vállalaton belül az információszivárgás megelőzése érdekében.

Most négy olyan stratégiát mutatunk be, amelyek segítségével megelőzhető az információszivárgás a ChatGPT használata során.

Intézkedés 1: Használati szabályok megalkotása

Először is határozza meg vállalata álláspontját a ChatGPT-vel kapcsolatban, és foglalja bele a ChatGPT használatára vonatkozó rendelkezéseket a vállalati szabályzatba. Fontos, hogy egyértelmű szabályokat állapítson meg és azokat betartva működjön, mint például, hogy személyes vagy bizalmas információkat ne adjon meg.

Ebben az esetben célszerű lenne a vállalat saját ChatGPT használati útmutatójának kidolgozása. Emellett a külső szerződésekbe is be kellene építeni a ChatGPT használatára vonatkozó rendelkezéseket.

2023. május 1-jén (Reiwa 5) a Japán Deep Learning Association (JDLA) összefoglalta a ChatGPT etikai, jogi és társadalmi kihívásait (ELSI), és közzétette a “Generatív AI használati útmutatóját”.

Az ipar, az akadémia és a kormányzat területein is megkezdték az útmutatók kidolgozásának megfontolását. Ezeket figyelembe véve, ha vállalata lefekteti a ChatGPT használatának szabályait egy írott útmutatóban, bizonyos mértékű kockázatcsökkentésre számíthat.

Forrás: Japán Deep Learning Association (JDLA) | Generatív AI használati útmutató[ja]

Azonban a kidolgozott útmutatóknak nincs jelentőségük, ha azokat nem ismerik és nem tartják be kellőképpen. Az útmutató önmagában nem tekinthető elegendő intézkedésnek.

Intézkedés 2: Információszivárgás megelőzésére szolgáló rendszer kiépítése

Az emberi hibák megelőzésére egy olyan rendszert érdemes bevezetni, amelyet DLP-nek (Data Loss Prevention – Adatvesztés Megelőzés) hívnak, és amely képes megakadályozni bizonyos adatok szivárgását, így megelőzhető a bizalmas információk küldése vagy másolása.

A DLP egy olyan rendszer, amely nem a felhasználókat, hanem az adatokat figyeli folyamatosan, automatikusan azonosítja és védi a bizalmas és fontos adatokat. A DLP használatával, ha érzékeny információkat észlel, képes értesítést küldeni vagy blokkolni a műveletet.

Bár a DLP segítségével költséghatékonyan megelőzhetők az információszivárgások belső forrásból, a biztonsági rendszerek mélyreható megértése szükséges, és a technikai részleggel nem rendelkező cégeknél az integráció nehézségekbe ütközhet.

Intézkedés 3: Információszivárgás megelőzésére szolgáló eszközök használata

Ahogy korábban említettük, közvetlen előzetes intézkedésként lehetőség van arra, hogy az “opt-out” (leiratkozás) funkcióval megtagadjuk az adatok gyűjtését, amelyeket a ChatGPT-be írunk be.

A ChatGPT beállításai között lehetőség van az “opt-out” kérelmezésére. Azonban, ha valaki ezt az opciót választja, a promptok előzményei nem maradnak meg, ami sokak számára kényelmetlenséget okozhat.

Az “opt-out” beállításon kívül egy másik lehetőség a ChatGPT “API”-ját használó eszközök bevezetése.

Az “API” (Application Programming Interface – Alkalmazásprogramozási felület) az OpenAI által közzétett interfész, amely lehetővé teszi a ChatGPT integrálását a saját szolgáltatásokba és külső eszközökbe. Az OpenAI kijelenti, hogy az “API” segítségével be- és kimenő információkat nem használja fel.

Ez a pont szerepel a ChatGPT felhasználási feltételeiben is. A feltételek szerint:

3. Tartalom

(c) A szolgáltatások fejlesztéséhez használt tartalom

Nem használjuk fel az Ön által az API-nk számára biztosított vagy onnan kapott tartalmat (“API Tartalom”) a szolgáltatásaink fejlesztésére vagy javítására. 

Az API-nkhoz nem tartozó egyéb szolgáltatásokból származó tartalmat (“Nem API Tartalom”) felhasználhatjuk szolgáltatásaink fejlesztéséhez és javításához.

 Ha nem szeretné, hogy a Nem API Tartalmat felhasználjuk a szolgáltatások javításához, akkor ezen az űrlapon keresztül kérheti az “opt-out” (leiratkozást). Kérjük, vegye figyelembe, hogy bizonyos esetekben ez korlátozhatja szolgáltatásaink képességét arra, hogy jobban megfeleljen az Ön specifikus igényeinek.

Ha nem szeretné, hogy a Nem API Tartalmat felhasználjuk a szolgáltatások javításához, akkor ezen az űrlapon keresztül kérheti az “opt-out” (leiratkozást). Kérjük, vegye figyelembe, hogy bizonyos esetekben ez korlátozhatja szolgáltatásaink képességét arra, hogy jobban megfeleljen az Ön specifikus igényeinek.

Idézet: OpenAI hivatalos weboldala｜ChatGPT felhasználási feltételei

4. intézkedés: IT-tudatosság növelése cégen belüli képzésekkel

A korábban bemutatott intézkedéseken túlmenően, kiemelten fontos lehet a vállalati dolgozók biztonsági tudatosságának növelése cégen belüli képzések révén.

A Samsung Electronics példájában is láthatjuk, hogy bár a vállalat belsőleg folyamatosan felhívta a figyelmet az információbiztonságra, mégis előfordult, hogy bizalmas információkat adtak meg, ami információszivárgást okozott. Nem csak a rendszerszintű védekezés fontos az információszivárgás megelőzésében, hanem a ChatGPT-vel kapcsolatos ismeretek és az IT-tudatosság növelése érdekében végzett cégen belüli képzések megvalósítása is ajánlott.

A ChatGPT által okozott információszivárgás kezelése

Amennyiben információszivárgás történik, létfontosságú, hogy az eseményeket és a tényállást gyorsan kivizsgáljuk, és megfelelő intézkedéseket tegyünk.

Személyes adatok szivárgása esetén a személyes adatok védelméről szóló törvény értelmében kötelező jelentést tenni az Adatvédelmi Bizottságnak. Ezenkívül tájékoztatni kell az érintett személyeket is az esemény bekövetkeztéről. Ha a személyes adatok szivárgása sérti a másik fél jogait vagy érdekeit, polgári jogi kártérítési felelősség is felmerülhet. Továbbá, ha valaki jogtalan célból lopja vagy adja át a személyes adatokat, büntetőjogi felelősségre is vonható.

Üzleti titkok vagy műszaki információk szivárgása esetén a tisztességtelen verseny megakadályozásáról szóló törvény alapján kérhető az információk törlése vagy egyéb intézkedések a szivárgás helyétől. Ha az üzleti titok vagy műszaki információ szivárgása jogtalan előnyhöz juttatja a másik felet, polgári jogi kártérítési felelősség is felmerülhet. Emellett, ha valaki jogtalan eszközökkel szerez vagy használ üzleti titkokat vagy műszaki információkat, büntetőjogi felelősségre is vonható.

Ha valaki a munkaköri titoktartási kötelezettségét megszegve szivárogtat ki információt, büntető törvénykönyv vagy más jogszabályok alapján büntetőjogi felelősségre vonható. Emellett, ha a titoktartási kötelezettség megszegésével kárt okoz a másik félnek, polgári jogi kártérítési felelősség is felmerülhet.

Ezért fontos, hogy az információszivárgás típusának megfelelően gyorsan cselekedjünk, és előzetesen felépítsünk egy megfelelő válaszadási rendszert.

Kapcsolódó cikkek: Mit kell tennie a vállalatoknak információszivárgás esetén?[ja]

Kapcsolódó cikkek: Mi a teendő személyes adatok szivárgása esetén? A vállalati adminisztratív válaszlépések magyarázata[ja]

Összefoglalás: Készüljön fel a ChatGPT információszivárgási kockázataira

Ebben a részben a ChatGPT információszivárgási kockázatairól és a hozzá kapcsolódó intézkedésekről beszéltünk. A gyorsan fejlődő, ChatGPT-t és egyéb AI technológiákat felhasználó üzleti tevékenységek esetében ajánlott, hogy a jogi kockázatokban jártas, tapasztalt ügyvédekkel konzultáljon, és előre felkészítse vállalatát az ilyen kockázatok kezelésére.

Nem csak az információszivárgás esetén, hanem az AI-alapú üzleti modellek jogszerűségének vizsgálata, szerződések és felhasználási feltételek kidolgozása, szellemi tulajdonjogok védelme, valamint a magánélet védelme terén is nyugodt lehet, ha olyan ügyvédekkel működik együtt, akik rendelkeznek az AI és a jog mindkét területén szerzett tudással és tapasztalattal.

Intézkedéseink bemutatása a Monolit Ügyvédi Irodánál

A Monolit Ügyvédi Iroda az IT területén, különösen az internet és a jogi aspektusok terén rendelkezik gazdag tapasztalattal. Az AI üzletág számos jogi kockázattal jár, és elengedhetetlen az AI jogi kérdéseiben jártas ügyvédek támogatása. Irodánk AI-ban jártas ügyvédek és mérnökök csapatával nyújt magas szintű jogi támogatást az AI üzletágaknak, beleértve a ChatGPT-t is, mint például szerződések készítése, üzleti modellek jogi megfelelőségének vizsgálata, szellemi tulajdonjogok védelme, adatvédelmi megoldások. A részleteket az alábbi cikkben ismertetjük.

A Monolit Ügyvédi Iroda által kezelt területek: AI (többek között ChatGPT) jogi szolgáltatások[ja]