A Deloitte szakértői szerint a szervezeteknek már a tervezés során fel kell mérniük a konkrét kockázatokat, szigorúbban kell ellenőrizniük beszállítóikat, és biztosítaniuk kell az egyértelmű, tartós tájékoztatást. Az irányítás és az ellenőrzés hiányosságai ugyanis jogi következményekkel járhatnak, veszélyeztethetik a vállalat hírnevét és működését.

A hitelesnek tűnő videók adatvédelmi kérdéseket is felvetnek

Az egyik európai esetben egy valós személy képmását felhasználva készültek mesterséges intelligenciával módosított videók, amelyeket a nézők hitelesnek vélhettek. A hatóság megállapításai szerint az ilyen tartalmak esetében megfelelő technikai és szervezési intézkedésekkel kell biztosítani az adatvédelmi alapelvek érvényesülését.

A kérdés tehát nem csupán az, hogyan kommunikálják a tartalmat: a beépített és alapértelmezett adatvédelem követelményeinek is meg kell felelni.

Az eset fontos tanulsága, hogy a figyelmeztetéseknek és jelöléseknek minden felületen egyértelműnek és jól láthatónak kell lenniük.

Ez különösen fontos azoknak a vállalatoknak, amelyek több csatornán teszik közzé tartalmaikat. Az eredeti videó mellett még jól érthető jelzés egy rövid, közösségi médiában megosztott részletnél már nem feltétlenül elegendő. Az egyértelmű tájékoztatás ezért nem egyszerű formalitás, hanem a kockázatkezelés alapvető része.

„A mesterséges intelligenciával létrehozott vagy módosított tartalmaknál már nem elég arra figyelni, mire képes a technológia. Legalább ilyen fontos, hogy a vállalat ellenőrzési rendszere képes legyen megelőzni a megtévesztést, következetesen, minden csatornán, ahol a tartalom megjelenik” – mondta Dr. Barta Gergő, a Deloitte Consulting igazgatója, vezető AI szakértője.

A beszállítók is használhatnak AI-t engedély nélkül

Egy másik európai esetben egy klónozott hang okozott problémát. A hangot egy külső partner állította elő mesterséges intelligenciával, megfelelő engedély és jóváhagyás nélkül. A módosítást a belső ellenőrzés sem észlelte időben. Az eset jól mutatja, hogy a beszállító engedély nélküli AI használata miatt a megrendelő vállalat felelőssége is hamar felmerülhet.

A tanulság azonban túlmutat ezen az egyedi eseten. A beszállítók ellenőrzése, a közzététel előtti jóváhagyás és a tartalom eredetének igazolása nem különálló megfelelési feladatok: együtt alkotnak egymásra épülő ellenőrzési rendszert. Ha ennek bármelyik eleme hiányzik, az engedély nélkül készített AI tartalom könnyen nyilvánosságra kerülhet.

A kockázatkezelést már a tervezésnél el kell kezdeni

Egy további európai eset azt is megmutatta, miért nem lehet az AI használat szervezeti irányítását (AI Governance) a bevezetés utánra halasztani. Az érintett megoldás rendkívül élethű avatarokat, hangtechnológiát és valós idejű interakciót alkalmazott.

Ez különösen fontossá tette, hogy még a bevezetés előtt felmérjék a rendszer sajátos kockázatait. A hatósági megközelítés tanulsága szerint az általános adatvédelmi kontrollok önmagukban nem feltétlenül elegendők: az adott technológia használatából eredő konkrét kockázatokra is választ kell adniuk.

A vállalatok számára ebből egyértelmű következtetés adódik: a biztonsági audit, a naplózás és az incidenskezelés fontos, de nem helyettesíti az előzetes kockázatértékelést. Az AI rendszerek irányításának szempontjait már a tervezés és a beszerzés során figyelembe kell venni. Ha ez elmarad, a szervezet később csak korlátozottan tudja kezelni a jogi, etikai és reputációs kockázatokat.

A hangklónozással kapcsolatos európai tapasztalatok egy másik kockázatra is felhívják a figyelmet. Ha egy szolgáltatás valós személyek hangjának lemásolását vagy üzleti célú felhasználását teszi lehetővé, a felhasználási feltételek önmagukban nem feltétlenül biztosítanak megfelelő védelmet.

Ehhez szükség lehet a hang felhasználására vonatkozó jogosultság ellenőrzésére, a hozzájárulás igazolására, a jogosulatlan használat technikai blokkolására, a visszaélések észlelésére és a kifogásolt tartalom gyors eltávolítására is.

„Ezek az esetek azt mutatják, hogy az AI kockázatok kezeléséhez már nem elég a formális megfelelés. A vállalatoknak a teljes folyamatot át kell tekinteniük: a felhasználási cél jóváhagyását, a beszállítók ellenőrzését, a közzététel előtti emberi jóváhagyást és a megjelent tartalmak folyamatos figyelemmel kísérését is” – tette hozzá Páll Zoltán, a Deloitte vezető AI szakértője.

Milyen kontrollokra van szükség?

Az európai tapasztalatok alapján egyre világosabb, milyen alapvető kontrollokat érdemes kialakítaniuk azoknak a vállalatoknak, amelyek digitális avatarokat, deepfake tartalmakat vagy hangklónokat használnak. Ezek főbb elemei:

• Tervezés és jóváhagyás: a felhasználási cél jóváhagyása, a személyazonosság felhasználásához és a hanghoz kapcsolódó jogosultságok ellenőrzése, a hozzájárulás pontos terjedelmének rögzítése, adatvédelmi hatásvizsgálat (DPIA) vagy AI kockázatértékelés elvégzése, valamint a lehetséges visszaélések előzetes feltérképezése.
• Beszállítók és technikai korlátok: a beszállítók szigorúbb ellenőrzése és technikai korlátozások beépítése.
• Közzététel: emberi jóváhagyás a nyilvánosságra hozatal előtt, valamint egyértelmű és tartós jelölés arról, hogy AI-jal létrehozott vagy deepfake tartalomról van szó.
• Kiegészítő védelem: a tartalom eredetének jelölése vagy digitális vízjel alkalmazása, naplózás, folyamatos nyomon követés, a tartalom gyors eltávolításának és a rendszer azonnali leállításának biztosítása, valamint időszakos újraértékelés.

A szabályozás is ebbe az irányba halad. Az Európai Unió mesterséges intelligenciáról szóló rendelete (AI Act) további átláthatósági követelményeket ír elő a mesterséges intelligenciával létrehozott vagy manipulált kép-, hang- és videótartalmakra.

A szervezeteknek ezért olyan kontrollokat kell kialakítaniuk, amelyek működése nemcsak technológiai, hanem jogi és működési szempontból is igazolható.

A tudatos irányítás a biztonságos növekedést szolgálja

A Deloitte szakértői szerint a mesterséges intelligencia tudatos irányítása nem az innováció akadálya: éppen azt teszi lehetővé, hogy a vállalatok biztonságosan, egyre szélesebb körben alkalmazzák az új megoldásokat.

Előnybe azok a szervezetek kerülhetnek, amelyek már most összehangolják üzleti céljaikat a beszállítók működésével, a jogi követelményekkel és a technológiai kontrollokkal. Így a mesterséges intelligencia nemcsak gyorsabb munkavégzést támogathat, hanem megbízható, hosszú távon is fenntartható üzleti eszközzé válhat.