Odpoveď sa prekvapivo nezačína pri technológii, ale pri základoch. Najskôr musíme vedieť čo-to o sebe v zmysle, v akom rozsahu sa nás CRA dotýka. Ak nás CRA pobozkalo, prichádzajú na rad ďalšie otázky.
Potrebujeme si ujasniť, akú úlohu v celom procese máme – sme výrobca, dovozca, distribútor alebo niekto iný? Rovnako dôležité je zistiť, či máme CRA riešiť pre jeden konkrétny produkt, alebo pre celý produktový ekosystém.
A sme v ďalšom kole. Zisťujeme, aké konkrétne požiadavky sa na nás vzťahujú a ako na ne naše riešenie pripraviť. Bezpečnosť totiž nemôže byť posledná kontrola pred uvedením produktu na trh. Bezpečnosť pri implementácii CRA je súčasťou návrhu, vývoja, prevádzky a aj aktualizácií.
A tu sa dostávame k zaujímavej veci. Požiadavky CRA sa nemusia týkať len AI riešenia ako takého. Dôležité je pozerať sa aj na to, ako AI ovplyvňuje produkt, ktorý už pod CRA spadá.
Pozrime sa na to inak. AI, ktorá iba odpovedá na otázky klientov, je jedna vec. AI, ktorá môže meniť nastavenia zariadenia, posielať príkazy, aktualizovať systém alebo ovládať iné komponenty, je úplne iná liga.
Predstavme si smart zariadenie, ktoré bolo pôvodne relatívne jednoduché. Pridáme doň AI, ktorá analyzuje údaje, rozhoduje o jeho správaní alebo komunikuje s ďalšími systémami. Produkt sa tým môže výrazne zmeniť – a spolu s novými funkciami prichádzajú aj nové bezpečnostné riziká.
Pre firmy preto nebude stačiť otázka: Spĺňa naša AI požiadavky CRA? Oveľa dôležitejšie je, ak sa budeme pýtať: Čo naša AI robí s produktom, za ktorý podľa CRA zodpovedáme?
CRA nás vlastne núti prestať rozmýšľať o AI ako o funkcii a začať o nej rozmýšľať ako o súčasti bezpečnostného ekosystému.
V kybernetickej bezpečnosti platí pravidlo: keď do produktu pridáme umelú inteligenciu, nepridávame iba inteligenciu, pridávame novú vrstvu zodpovednosti.
Kompetenčné a certifikačné centrum kybernetickej bezpečnosti