Wet- en regelgeving moet het tempo van AI-ontwikkelingen bijhouden
AI verandert momenteel vrijwel elk aspect van het technologielandschap. Deze transformatie is nergens ingrijpender of urgenter dan bij cybersecurity. Zowel voor aanvallers als voor verdedigers staat AI-technologie nu centraal. AI versnelt de wapenwedloop tussen aanvallers en de organisaties die hen willen stoppen. De ontwikkelingen volgen elkaar zeer snel op, waardoor innovatievermogen essentieel is. Het is een voorwaarde om de nationale veiligheid, bedrijfsveerkracht en het concurrentievermogen te waarborgen.
Het is daarom bemoedigend om te zien dat regelgevende instanties, zoals recentelijk de Europese Unie, stappen ondernemen om hun beleid ten aanzien van AI aan te passen. Krachtige beschermingsmaatregelen moeten blijven bestaan, maar het is net zo belangrijk om verantwoorde innovatie mogelijk te maken die onze veiligheid helpt waarborgen. Daarbij moet worden gezorgd dat de ‘vangrails’ die het publiek beschermen, niet de technologieën aantasten die hen verdedigen.
AI ontwikkelt zich snel, wet- en regelgeving van oudsher niet
Een van de grootste uitdagingen voor beleidsmakers is dat de AI-ontwikkelingen zeer snel gaan, maar dat wet- en regelgeving dit tempo niet bij kan houden. Overheden werken traditioneel gezien niet op het tempo dat nodig is om AI bij te houden. Daarbij geldt bovendien dat als wet- en regelgeving erin slaagt om een inhaalslag te maken, aanvallers zich zelden - eigenlijk nooit - aan de regels houden.
Er is tientallen jaren aan bewijs die deze claim ondersteunt. Al tientallen jaren proberen overheden over de hele wereld de drugshandel te reguleren en te bestrijden. Criminele organisaties gaan echter gewoon door met hun praktijken omdat ze zich niks van de regels aantrekken. Cybercriminelen en door staten gesteunde aanvallers gedragen zich niet anders. Ze houden zich niet aan ethische kaders, tijdelijke verboden of internationale overeenkomsten.
Dit betekent echter niet dat AI zonder toezicht moet worden ontwikkeld. Toen genetische modificatie praktisch mogelijk werd, hebben de VS het gebruik ervan gereguleerd om medische doorbraken mogelijk te maken en tegelijkertijd het risico op misbruik te beperken. Dezelfde balans is nu ook nodig: sterke beschermingsmaatregelen, duidelijke standaarden en ethische kaders die innovatie mogelijk maken en tegelijkertijd misbruik tegengaan. We kunnen echter niet verwachten dat die beschermingsmaatregelen de dreigingen zullen beperken. Dat is precies de reden waarom innovatie aan de defensieve kant niet kan vertragen.
De cyberwapenwedloop is nucleair geworden
Cybersecurity is altijd al een wapenwedloop geweest, maar AI heeft de snelheid en omvang van die wapenwedloop fundamenteel veranderd. AI-bedrijf Anthropic meldde onlangs het eerste gedocumenteerde geval van een grootschalige cyberaanval die grotendeels via AI werd uitgevoerd. Hierbij gebruikten cybercriminelen AI niet alleen als adviseur, maar ook om de cyberaanval zelf te orkestreren.
Met de nu beschikbare modellen kunnen aanvallers:
- zeer snel kwetsbaarheden identificeren;
- geavanceerde en sterk gepersonaliseerde phishing-aanvallen genereren;
- automatisch complete digitale ecosystemen verkennen;
- openbare data misbruiken om berichten te creëren die bijna niet zijn te onderscheiden van legitieme berichten.
Verdedigers kunnen AI natuurlijk ook inzetten om detectie, correlatie, triage en respons aanzienlijk te verbeteren. Moderne cloud-native cybersecurityplatforms combineren AI steeds vaker met grootschalige dataverwerking om enorme hoeveelheden securitytelemetrie van endpoints, netwerken, identiteiten en cloudworkloads te verwerken en te analyseren. Hierbij is het belangrijk dat de AI-modellen zo veel mogelijk worden getraind met echte operationele telemetrie i.p.v. synthetische samples. Zo kunnen teams snel en nauwkeurig afwijkingen identificeren, events in verschillende omgevingen met elkaar correleren en automatisch bepalen wat hun directe aandacht vereist. In de praktijk fungeert AI als een ‘force multiplier’ voor SOC’s, door snellere analyse, slimme prioritering en nauwkeurigere responsacties mogelijk te maken.
Het belangrijkste punt is echter dat beide zijden versnellen. Als AI-innovatie echter wordt vertraagd of beperkt - zelfs met de beste bedoelingen - worden cybersecurity-partijen buitenspel gezet, terwijl aanvallers op volle kracht door kunnen gaan. Innovatie op het gebied van AI vertragen met wetgeving is daarom geen neutrale maatregel, maar speelt aanvallers in de hand.
De koerswijziging van de EU is belangrijk
Dit maakt de recente voorstellen van de EU zo noemenswaardig. Europa heeft traditioneel gezien strenge technologieregulering. Zo is de AVG wereldwijd een voorbeeld geworden voor de bescherming van privacy en belooft de AI Act hetzelfde te doen voor AI-technologie. In een recent voorstel wil de Europese Commissie de AVG-beperkingen vereenvoudigen, bureaucratie verminderen en elementen van de AI Act versoepelen. Het voorstel laat zien dat de Europese Commissie zich realiseert dat overregulering innovatie kan belemmeren. Europa heeft juist deze innovatie nodig om wereldwijd te kunnen concurreren en om veilig te blijven.
Natuurlijk laat de EU de beschermingsmaatregelen niet vallen. Privacy en grondrechten blijven centraal staan in het voorstel. De Commissie erkent echter wel dat:
- toegang tot data essentieel is voor het trainen van veilige en effectieve AI-modellen;
- veiligheidsmaatregelen praktisch moeten zijn;
- bedrijven duidelijkheid en flexibiliteit nodig hebben om te kunnen innoveren;
- tegenstanders niet sneller mogen innoveren.
Dit is geen deregulering, het is modernisering. Het is precies de houding die verantwoordelijke AI-ontwikkeling mogelijk maakt zonder afbreuk te doen aan de veiligheid.
Balans tussen veiligheid en innovatie met de snelheid van data
Om zich effectief te kunnen verdedigen tegen AI-gerelateerde dreigingen, moeten overheden en tech-leiders zich aanpassen aan het tempo van AI-ontwikkelingen. Regelgeving kan alleen effectief blijven als deze even snel mee ontwikkelt. Beleidmakers en marktleiders moeten samenwerken om ervoor te zorgen dat beschermingsmaatregelen gelijke tred houden met innovatie. Als aanvallers opereren met de snelheid van data, moeten verdedigers en het beleid dat hen ondersteunt dat ook.
Beleidsmakers moeten burgers blijven beschermen, privacy waarborgen en ethische normen handhaven. Maar ze moeten ook een simpele waarheid onder ogen zien: veiligheid vereist innovatie en innovatie kan niet floreren als deze wordt belemmerd door verouderde kaders. De verschuiving binnen de EU is een veelbelovend teken dat regelgevers dit begrijpen. Het is nu aan overheden, technologieleveranciers en security-leiders om samen te werken en ervoor te zorgen dat AI in de toekomst niet alleen verder ontwikkeld kan worden, maar ook dat dat ook veilig gebeurt.
Door: Dan Schiappa (foto), President, Technology & Services bij Arctic Wolf
