Kännedom om informationssäkerhetsrisker vid användning av generativ ai : En kvantitativ studie inom kommuner i Sjuhärad

Sammanfattning

Med en hastig utveckling av Artificiell intelligens (AI) blir generativ AI allt mer populärt. Ett verktyg som har fått en betydlig mängd uppmärksamhet är ChatGPT, en plattform som möjliggör enkla och interaktiva konversationer mellan plattformen och användaren. Trots fördelarna är det viktigt att diskutera risker och säkerhet, särskilt efter incidenter som i mars 2023 där det inträffade en händelse där obehöriga fick åtkomst till andra användares chatthistorik och potentiellt samtliga chattmeddelanden som hade skrivits. Sådana incidenter är särskilt relevant för kommuner som har högre krav på informationssäkerheten eftersom de har strikta informationssäkerhetskrav som GDPR, offentlighets- och sekretesslagen, LIS och liknande inom informationssäkerhetspolicyn (ISP). För att undersöka det har studien avgränsat sig till att utgå från två kommuner och språkmodellen ChatGPT, dess textgenerering och riskerna som är relaterade till användningen av modellen GPT-3.5. Som utgångspunkt samlades primär- och sekundärdata in till den kvantitativa studien, där primärdata kommer från en webbaserad enkät utformades med hjälp av relevant litteratur, tidigare forskning, tänka högt test och en pilotstudie. Sekundärdata kommer i form av litteratur som tidigare rapporter, artiklar och dokumentanalys. Data analyserades med explorativ metod, inklusive univariatanalys och bivariatanalys, för att undersöka fördelningar och samvariationer. De identifierade informationssäkerhetsriskerna med generativ AI som ChatGPT, inkluderar dataläckage, stöld och bedrägeri av data, desinformation, fördomar, brist på transparens och förgiftad träningsdata. Det visade sig att många anställda i kommunerna har låg kännedom om dessa risker, vilket speglar en hög osäkerhet. Vidare framkom det att de anställdas kännedom om informationssäkerhetspolicyn inte påverkar deras bedömning av riskerna. Slutsatsen är att bristande kännedom om AI-risker och otillräcklig vägledning från informationssäkerhetspolicyn bidrar till en ökad informationssäkerhetsrisk