Του Απόστολου Πανδρούλα, General Manager Greece, Odyssey Cybersecurity
Τρεις διαρροές δεδομένων μέσα σε είκοσι ημέρες σε μία από τις πιο προηγμένες τεχνολογικά εταιρείες του κόσμου. Όταν η Samsung επέτρεψε τη χρήση του ChatGPT, εργαζόμενοι καταχώρησαν εμπιστευτικό υλικό, πηγαίο κώδικα και σημειώσεις εσωτερικής σύσκεψης σε εξωτερικό AI περιβάλλον, εκτός των μηχανισμών ελέγχου της εταιρείας. Μέσα σε λίγες εβδομάδες, περιόρισε τη χρήση δημόσιων εργαλείων παραγωγικής AI.
Η ιστορία αυτή δεν είναι μελλοντική προειδοποίηση. Είναι καθρέφτης του παρόντος και η Ελλάδα δεν αποτελεί εξαίρεση.
To παράδειγμα της Ελλάδας
Η Ελλάδα βρίσκεται σήμερα μπροστά σε ένα κρίσιμο ψηφιακό παράδοξο. Από τη μία πλευρά, η επιτάχυνση του ψηφιακού μετασχηματισμού, η ωρίμανση υπηρεσιών όπως το gov.gr και η αυξανόμενη εξάρτηση επιχειρήσεων και οργανισμών από ψηφιακές πλατφόρμες έχουν δημιουργήσει ένα πιο δυναμικό και παραγωγικό περιβάλλον. Από την άλλη, η ταχύτητα της ψηφιοποίησης δεν συνοδεύεται πάντα από αντίστοιχη επένδυση σε αυτοματοποιημένες δυνατότητες κυβερνοάμυνας, ανίχνευσης και απόκρισης.
Σύμφωνα με την ανάλυση του Cybersecurity State 2025-2026 της Odyssey Cybersecurity, το μέσο κόστος ενός περιστατικού παραβίασης για την Ελλάδα εκτιμάται περίπου στα $2.90 εκατομμύρια, με αύξηση 12% σε σχέση με το προηγούμενο έτος. Ακόμη πιο κρίσιμο είναι το επιχειρησιακό αποτύπωμα: ο μέσος χρόνος ανίχνευσης εκτιμάται στις 212 ημέρες και ο μέσος χρόνος απόκρισης στις 85 ημέρες. Αυτό δείχνει ότι το πρόβλημα δεν είναι μόνο το κόστος της επίθεσης, αλλά ο χρόνος κατά τον οποίο ένας οργανισμός μπορεί να παραμένει εκτεθειμένος πριν εντοπίσει και περιορίσει το περιστατικό.
Το AI εισέρχεται, λοιπόν, σε ένα περιβάλλον όπου οι οργανισμοί ήδη αντιμετωπίζουν πίεση από κυβερνοεπιθέσεις, ρυθμιστικές απαιτήσεις, ελλείψεις δεξιοτήτων και alert fatigue.
Η πρόκληση δεν είναι απλώς τεχνολογική, είναι ζήτημα διακυβέρνησης, ελέγχου και επιχειρησιακής ανθεκτικότητας.
Ποια είναι η πραγματική αλλαγή
Οι κίνδυνοι δεν είναι όλοι καινούργιοι. Αυτό που άλλαξε είναι η ταχύτητα, η κλίμακα και η προσβασιμότητα. Επιθέσεις που απαιτούσαν περισσότερο χρόνο, τεχνική κατάρτιση και προετοιμασία μπορούν πλέον να αυτοματοποιηθούν, να εξατομικευτούν και να εκτελεστούν σε μεγαλύτερη κλίμακα. Το phishing που κάποτε ξεχώριζε από τα ορθογραφικά λάθη, σήμερα μπορεί να είναι άψογο, εξατομικευμένο και μαζικό. Η απάτη που περιοριζόταν από την ανθρώπινη δυναμικότητα, μπορεί πλέον να κινηθεί με ταχύτητα μηχανής.
Οι κίνδυνοι του ΑΙ μπορούν να εξεταστούν σε πέντε βασικές κατηγορίες: ασφάλεια, δεδομένα και ιδιωτικότητα, αποφάσεις, συμμόρφωση και φήμη. Το κρίσιμο σημείο είναι ότι οι περισσότεροι από αυτούς, συχνά δημιουργούνται μέσα από καθημερινές επιχειρησιακές αποφάσεις, μη εγκεκριμένη χρήση εργαλείων, ανεπαρκή εποπτεία και ασαφή ιδιοκτησία ευθύνης.
Shadow AI: Το κενό ορατότητας που δημιουργεί κίνδυνο
Μία από τις πιο υποτιμημένες προκλήσεις έχει όνομα: Shadow AI. Πρόκειται για AI εργαλεία που χρησιμοποιούνται από εργαζομένους χωρίς κεντρική έγκριση, χωρίς καταγραφή και χωρίς επαρκή ορατότητα από τον οργανισμό. Το τμήμα Marketing μπορεί να εισάγει campaign briefs σε δημόσια εργαλεία AI ή το HR δεδομένα υποψηφίων σε ένα σύστημα διαλογής βιογραφικών. Ένας νομικός σύμβουλος μπορεί να ανεβάζει σχέδια συμβάσεων σε chatbot για να εντοπίσει ρήτρες.
Σε κάθε περίπτωση, η πρόθεση μπορεί να είναι απολύτως θεμιτή: ταχύτητα, παραγωγικότητα, καλύτερη αξιοποίηση της πληροφορίας. Το πρόβλημα δεν είναι η χρήση του AI από μόνη της, αλλά η χρήση χωρίς ορατότητα και μηχανισμούς ελέγχου.
Παράλληλα, οι προμηθευτές δεν είναι πλέον απλώς προμηθευτές λογισμικού, σε πολλές περιπτώσεις γίνονται και προμηθευτές AI. Υπάρχουσες SaaS πλατφόρμες ενεργοποιούν λειτουργίες AI, συχνά με πρόσβαση σε δεδομένα του οργανισμού. Αυτό δημιουργεί νέο επίπεδο ευθύνης. Η επιχειρησιακή και κανονιστική ευθύνη δεν εξαφανίζεται επειδή η επεξεργασία γίνεται από τρίτο πάροχο. Παραμένει στον οργανισμό που χρησιμοποιεί την υπηρεσία, τα δεδομένα και τα αποτελέσματά της.
Η ρυθμιστική πραγματικότητα
Ο Ευρωπαϊκός Κανονισμός για την Τεχνητή Νοημοσύνη δημιουργεί ένα νέο πλαίσιο υποχρεώσεων για οργανισμούς που αναπτύσσουν, διαθέτουν ή χρησιμοποιούν AI συστήματα. Στην Ελλάδα, όπως και σε όλα τα κράτη μέλη της Ευρωπαϊκής Ένωσης, το AI Act εφαρμόζεται άμεσα και σταδιακά, με διαφορετικά ορόσημα ανά κατηγορία κινδύνου και τύπο υποχρέωσης.
Οι απαγορεύσεις για συστήματα και πρακτικές μη αποδεκτού κινδύνου ισχύουν ήδη, ενώ σταδιακά τίθενται σε εφαρμογή πρόσθετες απαιτήσεις για τη διακυβέρνηση, τη διαφάνεια, την τεκμηρίωση και την εποπτεία των AI συστημάτων. Οι κυρώσεις μπορούν να φτάσουν έως τα €35 εκατομμύρια ή το 7% του παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο ποσό είναι υψηλότερο.
Για τις επιχειρήσεις, το πρακτικό συμπέρασμα είναι σαφές: η ασφαλής χρήση του AI δεν είναι αποκλειστικά τεχνικό έργο, είναι ζήτημα εταιρικής διακυβέρνησης, κανονιστικής συμμόρφωσης και διαχείρισης κινδύνων.
Το πραγματικό χάσμα είναι η διακυβέρνηση
Η απουσία πολιτικής για το AI δεν σημαίνει απουσία χρήσης, αλλά χρήση χωρίς ενιαίο πλαίσιο, καταγραφή και σαφή μηχανισμό ελέγχου. Όταν ένας οργανισμός δεν ορίζει πώς μπορεί να χρησιμοποιείται το AI, ποια δεδομένα επιτρέπεται να εισάγονται, ποιοι προμηθευτές είναι εγκεκριμένοι και ποιος έχει την ευθύνη εποπτείας, τότε η πολιτική δημιουργείται ανεπίσημα από τους ίδιους τους χρήστες.
Η λύση είναι ένας επαναλαμβανόμενος κύκλος διακυβέρνησης και ελέγχου:
- Ανακάλυψη εργαλείων AI που χρησιμοποιούνται
- Ορισμός πολιτικής για το τι επιτρέπεται, τι απαγορεύεται και ποια δεδομένα δεν πρέπει να εισάγονται σε αυτά
- Εφαρμογή ελέγχων μέσω εγκεκριμένων λύσεων
- Συνεχής παρακολούθηση της χρήσης και των αλλαγών των προμηθευτών και των κανονιστικών απαιτήσεων
Αυτό ακριβώς προσφέρει η προσέγγιση GRC, Governance, Risk & Compliance: μετατρέπει τον κίνδυνο του AI από αόριστη ανησυχία σε μια διαχειρίσιμη, τεκμηριωμένη και ελεγχόμενη διαδικασία.
Πέντε άμεσα βήματα για μεγαλύτερο έλεγχο
Η πρώτη γραμμή άμυνας δεν απαιτεί πάντα σύνθετα έργα. Απαιτεί σαφήνεια, ιδιοκτησία και συνέπεια.
Πρώτον, δημοσιεύστε έναν σύντομο και σαφή οδηγό αποδεκτής χρήσης AI, ώστε όλοι οι να γνωρίζουν τι επιτρέπεται και τι όχι. Δεύτερον, καταγράψτε τα AI εργαλεία που χρησιμοποιούνται ήδη, συμπεριλαμβανομένων των ενσωματωμένων AI δυνατοτήτων σε υφιστάμενους προμηθευτές. Τρίτον, ορίστε κανόνες για τα δεδομένα που δεν πρέπει να εισάγονται ποτέ σε δημόσια ή μη εγκεκριμένα εργαλεία. Τέταρτον, προσθέστε δεύτερο παράγοντα επαλήθευσης (2FA) σε κάθε έγκριση υψηλής αξίας, ειδικά όταν η επικοινωνία γίνεται μέσω φωνής, βίντεο ή άλλου ψηφιακού καναλιού που μπορεί να παραποιηθεί. Πέμπτον, ορίστε υπεύθυνο για τον κίνδυνο AI, με σαφή εντολή, αρμοδιότητες και χρονοδιάγραμμα.
Παράλληλα, η εκπαίδευση του προσωπικού πρέπει να προσαρμοστεί στη νέα πραγματικότητα. Το phishing δεν θα έχει πλέον απαραίτητα ορθογραφικά λάθη. Τα deepfakes δεν θα είναι πάντα εύκολα αναγνωρίσιμα.
Η ουσία: AI με ορατότητα, διακυβέρνηση και cyber resilience
Το AI δεν καταργεί την ανάγκη για διαχείριση κινδύνων. Την κάνει πιο άμεση, πιο σύνθετη και πιο κρίσιμη για την επιχειρησιακή συνέχεια. Οι οργανισμοί που θα αξιοποιήσουν αποτελεσματικά την Τεχνητή Νοημοσύνη δεν θα είναι απλώς εκείνοι που θα κινηθούν πιο γρήγορα, θα είναι εκείνοι που θα κινηθούν με ορατότητα, διακυβέρνηση και έλεγχο.
Η κυβερνοανθεκτικότητα στην AI εποχή δεν είναι αμυντική λειτουργία, είναι προϋπόθεση για να μπορεί η καινοτομία να εξελίσσεται χωρίς να υπονομεύει την εμπιστοσύνη, τη συμμόρφωση και τη συνέχεια του οργανισμού. Το ερώτημα, επομένως, δεν είναι αν το AI θα αναδιαμορφώσει τον κίνδυνο, το έχει ήδη κάνει. Το πραγματικό ερώτημα είναι αν οι οργανισμοί διαθέτουν το πλαίσιο και την επιχειρησιακή ωριμότητα για να το θέσουν υπό έλεγχο.
πηγή: businessvoice.gr
