Hat ChatGPT ein Datenleck?

Im November 2022 veröffentlichte OpenAI ChatGPT, ein Tool für generative künstliche Intelligenz (GenAI), das seitdem die Welt im Sturm erobert hat. Nur zwei Monate nach dem Start hatte es über 100 Millionen Nutzer und war damit "die am schnellsten wachsende Verbraucheranwendung in der Geschichte". Und ChatGPT ist nicht allein.

Jede neue Technologie birgt zwar Risiken, aber das bedeutet nicht, dass alle Risiken brandneu sind. Es kann sogar sein, dass Unternehmen feststellen, dass sie bereits über viele der Mitarbeiter, Prozesse und Technologien verfügen, um die Risiken von GenAI-Tools zu mindern, diese aber noch feinjustieren müssen, um diese neue Technologiekategorie zu berücksichtigen.

Dennoch sollten Unternehmen nicht davon ausgehen, dass sie bereits vor diesen Risiken geschützt sind, sondern sie sollten ihre Risiken bewusst minimieren.

Inwiefern können GenAI-Tools wie ChatGPT ein Risiko für sensible Informationen darstellen?

Die meisten GenAI-Tools sind so konzipiert, dass sie eine "Aufforderung" des Benutzers entgegennehmen, die aus einem eingegebenen/eingefügten Text, einer Textdatei, einem Bild, Live- oder aufgezeichnetem Audio, einem Video oder einer Kombination daraus bestehen kann, und dann eine Aktion auf der Grundlage der verwendeten Aufforderung ausführen. ChatGPT kann zum Beispiel den Inhalt einer Eingabeaufforderung zusammenfassen ("Fassen Sie diese Besprechungsnotizen zusammen...") und Quellcode debuggen ("Finden Sie heraus, was mit diesem Code nicht stimmt..."). 

Das Risiko besteht darin, dass diese Prompts von den Entwicklern des GenAI-Tools überprüft und möglicherweise zum Training einer zukünftigen Version des Tools verwendet werden können. Bei öffentlichen Tools werden die Prompts Teil des Sprachmodells selbst und füttern es mit Inhalten und Daten, die es sonst nicht hätte. Wenn diese Aufforderungen nur Informationen enthalten, die bereits öffentlich sind, besteht möglicherweise nur ein geringes Risiko. Wenn die Besprechungsnotizen im obigen Beispiel jedoch sensible Informationen enthalten oder der Quellcode urheberrechtlich geschützt ist, haben diese vertraulichen Daten nun die Kontrolle des Sicherheitsteams verlassen und gefährden möglicherweise Compliance-Verpflichtungen und den Schutz des geistigen Eigentums.

In der extremsten Situation könnte der Input von jemandem zum Output von jemand anderem werden.

Und das ist nicht nur theoretisch.

Im Januar 2023 gab Amazon eine interne Mitteilung heraus, in der es die Nutzung von ChatGPT einschränkte, nachdem es festgestellt hatte, dass die ChatGPT-Ergebnisse "interne Amazon-Daten imitierten". Und obwohl die ursprünglichen Daten, die für das Training von ChatGPT verwendet wurden, seit 2021 nicht mehr gesammelt werden, ist ChatGPT noch nicht fertig mit dem Training. Wenn ein Ingenieur in Zukunft um Hilfe bei der Optimierung seines Quellcodes bittet, könnte dieser genauso aussehen wie die proprietären Daten der Halbleiterabteilung von Samsung. 

Einem Bericht zufolge könnten zwei Drittel der Arbeitsplätze zumindest teilweise durch GenAI-Tools automatisiert werden. Welche anderen sensiblen Informationen könnten dann noch als Trainingsdaten verwendet werden?

Es ist alles in der Schwebe

Ein bewusster, ausgewogener Ansatz in Bezug auf Menschen, Prozesse und Technologie ist die einzige Möglichkeit, das Risiko eines Datenlecks durch ein GenAI-Tool wirklich zu mindern.

Versammeln Sie Ihre Interessenvertreter

Beginnen Sie damit, Ihre wichtigsten Interessengruppen zusammenzubringen: Personalabteilung, Rechtsabteilung, IT und Sicherheit, um die Richtlinien und Verfahren für die Verwendung von GenAI-Tools in Übereinstimmung mit den Richtlinien der Geschäftsleitung festzulegen.

• Wer kann es wann nutzen?
• Was kann als Eingabe verwendet werden?
• Wie kann die Ausgabe verwendet werden?

Einige Unternehmen, wie Amazon, erlauben die Verwendung von GenAI-Tools, solange ihre Mitarbeiter vorsichtig sind; andere, wie Samsung, haben beschlossen, die Verwendung ganz zu verbieten.

Kommunizieren und aufklären

• Geben Sie ausdrückliche Hinweise in Ihrer Richtlinie zur akzeptablen Nutzung
• Verlangt eine proaktive Schulung über die mit der Nutzung von GenAI-Tools verbundenen Risiken
• Informieren Sie Ihre Mitarbeiter darüber, wo sie Hilfe bei der ordnungsgemäßen Verwendung erhalten und wie sie unsachgemäße Verwendung melden können.

Anhalten, eindämmen und korrigieren

• Überwachen Sie die Aktivitäten Ihrer Mitarbeiter mit nicht vertrauenswürdigen GenAI-Tools
• Blockieren Sie Paste-Aktivitäten in nicht zugelassenen GenAI-Tools
• Generieren Sie Warnmeldungen für Datei-Uploads zu GenAI-Tools
• Reagieren Sie mit Echtzeit-Schulungen für die Mitarbeiter, die einen Fehler machen

Viele der Risiken von GenAI-Tools sind nicht neu, und mit einem bewussten, ganzheitlichen Ansatz können Unternehmen die Risiken von GenAI-Tools mindern, ohne den Schwung der Möglichkeiten zu verlieren.

Sind Sie bereit zu erfahren, wie Ihr Unternehmen sich schützen kann, ohne ins Hintertreffen zu geraten?

Dann sind Sie vielleicht bereit, ein kostenloses Beratungsgespräch mit unseren Datenschutzberatern zu vereinbaren. Sie erhalten die Werkzeuge und Anleitungen, die Sie benötigen, um ein transparentes, nachhaltiges und messbares Programm für Insider-Bedrohungen zu erstellen... ohne weitere Bedingungen.