生成式人工智能为企业带来巨大潜力，但也伴随风险。
首席信息安全官将在塑造该技术的具体商业论证、阐明其风险与挑战，以及确定推动针对性解决方案的关键绩效指标方面发挥至关重要的作用。
生成式人工智能为首席信息安全官在整个组织中确立业务赋能者的定位提供了重大机遇。
随着全球各类组织竞相采用生成式人工智能，速度前所未有，因此评估该技术对企业构成的风险至关重要。首席信息安全官（CISO）的作用举足轻重，既能帮助释放生成式人工智能的变革潜力，又能确保针对网络风险的防护。
新开发的生成式人工智能系统是企业摄取、存储和处理数据的载体，其本身存在易受攻击的弱点，恶意行为者可借此窃取大量数据、操纵输出结果，或利用其攻击相连系统。这些行为者甚至可能采用自有的生成式人工智能系统，从而降低策划和发动攻击的成本，并提升攻击的广度、深度和复杂程度。企业必须预见这些风险，并做好迅速应对的准备。
世界经济论坛如何为人工智能建立护栏？
人工智能卓越中心汇聚各行业领导者，帮助他们理解人工智能的快速演进及其对经济体和社会的影响。该中心支持围绕人工智能应用相关的机遇、风险和权衡取舍开展知情对话。
该中心通过可信赖的交流空间和协作性倡议，助力合作伙伴建立共同认知，并携手推进负责任的人工智能创新与应用。
首席信息安全官需要积极参与组织内的关键活动，在确保生成式人工智能安全应用的同时，成为业务赋能者。
参与生成式人工智能的治理
许多组织已设立生成式人工智能多学科卓越中心，成员涵盖法务、网络安全、合规、技术、风险管理和人力资源等团队。这些中心通常以指导委员会或工作组的形式运作，定期召开会议，积极促进各部门之间的协作，并承担以下多方面的职责：
生成式人工智能治理：包括制定新政策、更新信息技术行为准则、确立负责任人工智能的基本原则，以及阐明生成式人工智能对组织的价值。还包括建立健全的风险管理框架、开展相关风险评估，并实施必要的控制措施以管理这些风险。
教育：包括管理内部宣传活动、培养具备人工智能素养的员工队伍，以及设计有关生成式人工智能工具使用的沟通内容。
项目资源分配：包括确定新项目的人员配置需求，并确保技术开发时充分考虑多元视角。
协调一致：确保本地及集团层面的技术和产品团队了解所制定的新原则。
首席信息安全官必须参与这些已设立的生成式人工智能专项中心，为有关该技术各主要方面的持续讨论作出实质性贡献。
成为创新的推动者
组织在推进生成式人工智能的过程中保持创业精神至关重要。领导者应从早期采用者中汲取灵感，并根据自身运营中部署该技术所获得的经验教训不断调整。
这意味着要在技术治理中融入灵活性，以便以安全的方式进行调整。一刀切地限制生成式人工智能技术的使用，或实施过于严苛的政策，都适得其反，尤其是考虑到各国民众的高采用率——美国为45%，印度为73%——这表明员工已经在使用这些工具。
新技术将不断涌现，因此组织应优先建立能够适应这些演变的治理架构。首席信息安全官可以并应当在这一工作中发挥关键作用。
推动培训与意识提升
开展全面的培训和意识提升活动，对员工进行教育，是确保安全使用的关键。通过增进对算法偏见、隐私问题以及人工智能系统安全漏洞等议题的理解，组织可以赋能员工在部署或使用人工智能技术时做出明智决策。
同样重要的是，提供指导并明确公开可用的生成式人工智能工具使用所涉及的义务。此外，培训和意识提升工作应与对生成式人工智能工具使用情况的持续监测相协调，从而更快地应对误用事件及相关威胁。
在制定培训计划时，必须针对不同目标受众量身定制，以满足其需求。例如，网络安全团队应深入了解生成式人工智能模型的运作方式，从而能够开展准确的安全评估，并在为信息技术团队提供建议时增强其可信度。
参与风险管理活动
尽管人工智能对企业而言并非新技术，但其在各类用途上的普及带来了新的挑战。过去，企业往往集中管理人工智能技术的使用，使网络安全团队更容易对其进行追踪和管控。然而，生成式人工智能在企业中的广泛采用使这项工作变得更加复杂。企业面临的一项关键挑战，是随着生成式人工智能技术在组织内日益广泛的应用，迅速扩大并精简治理与风险管理工作。
要实现治理与风险管理的可扩展性，必须建立与该技术的具体用例和服务模式相契合的风险与控制框架。企业还应清晰界定其风险承受度，并在综合考虑相关权衡取舍的基础上作出明智决策。
在不同类型的风险（基于模型的、数据相关的以及法律层面的）之间保持平衡至关重要。首席信息安全官能够提供重要视角，有助于形成全面的生成式人工智能风险管理方法。鉴于生成式人工智能系统所带来的风险跨越多个风险领域，必须采用跨学科视角来分析和应对这些风险。
首席信息安全官的职责
首席信息安全官在塑造生成式人工智能的具体商业论证、阐明其风险与挑战，以及确定推动针对性解决方案的关键绩效指标（KPI）方面发挥着关键作用。首席信息安全官应在为组织及其客户发挥生成式人工智能优势与确保系统得到妥善保护之间取得平衡。首席信息安全官在生成式人工智能技术方面的职责可能包括：
深入了解组织的业务目标：使首席信息安全官能够预判新出现的风险，并制定相应的控制措施。
建立治理架构：为数据使用和隐私建立治理架构，并使用户在与生成式人工智能技术交互过程中承担相应的权属和责任。
就生成式人工智能融入产品提供建议：与产品管理、风险和法务团队协作，确保从一开始就将安全的生成式人工智能作为商业论证的组成部分。
参与内部人工智能项目：积极参与人工智能项目的设计与监测，重点通过安全控制措施强化流程。
教育与沟通：向业务社群宣传并教育其安全使用人工智能系统的相关知识，并明确界定不应使用生成式人工智能的情形。
探索机遇：识别并采用生成式人工智能系统为网络安全团队带来的机遇，例如助力安全运营中心（SOC）开展趋势检测、攻击响应和事件处理等工作。
生成式人工智能为首席信息安全官在整个组织中确立业务赋能者的定位提供了重大机遇。尽管许多人已迈出初步步伐，首席信息安全官仍需成为组织内部人工智能治理、风险管理以及培训和意识提升工作的关键贡献者，从而为组织的安全转型作出切实贡献。
世界经济论坛于2023年6月发起了人工智能治理联盟。该联盟旨在就人工智能系统的负责任设计、开发和部署提供指导。有关其工作的更多信息，请阅读此处。
