调研机构普华永道公司表示，到2030年，全球人工智能（AI）市场规模可能高达15．7万亿美元，这是个好消息。与此同时，Forrester公司警告说，网络犯罪分子能够利用人工智能技术来实施网络攻击。而关于人工智能如何取代人类的工作，很多人为此感到担忧。此外，机器学习、人工神经网络（ANN）和深度学习得以兴起，人们很难知道应该如何看待人工智能，以及企业首席信息安全官（CISO）如何评估新兴技术是否适合他们的组织。
调研机构Gartner公司提供了一些关于如何对抗FUD（恐惧、不确定、怀疑）的建议，Gartner公司安全分析师Anton Chuvakin博士和Augusto Barros在他们的文章中揭开人工智能的神秘面纱。以下将讨论首席信息安全官（CISO）在投资基于人工智能的网络安全产品和解决方案时应该考虑的四个实际问题。
问题1：企业是否有基于风险、连贯和长期的网络安全策略？
如果没有一个清晰、完善和成熟的网络安全计划，对于人工智能的投资将会有去无回。企业可能会面临解决一个问题，却产生更多新问题的困境，甚至更糟的是，忽略了更危险和紧急的问题。
企业的数字资产（即软件、硬件、数据、用户和许可证）的整体清单是网络安全战略不可或缺的第一步。在云计算容器时代，物联网和外包应用的激增，保持最新和全面的库存是一项挑战。但是，如果省略这一关键步骤，企业的大多数努力和伴随的网络安全支出可能都是徒劳的。
每个公司都应该保持一个长期的、基于风险的网络安全战略，其目标是可衡量的，里程碑是一致的；减轻孤立的风险或根除个别威胁不会带来长期的成功。网络安全团队应该有一个明确的任务和责任范围，以及实现目标所需的权利和资源。这并不意味着应该提出难以实现的完美目标，而是与企业董事会就其风险偏好达成一致，并确保按照计划逐步实施的企业网络安全战略。
问题2：一个完整人工智能基准可以证明投资回报率和其他可衡量的收益吗？
作为人工智能的一个子集，机器学习的主要规则是尽可能避免使用。也许机器学习能够解决大量输入和输出的高度复杂的问题，往往产生不可靠性和不可预测性。采用机器学习也可能成本非常高，几年后才能获得投资回报，而到那时，企业的整个商业模式都可能过时。
例如，训练数据集在获取、构建和维护方面可能成本高昂并且耗时。而且，任务越复杂，构建、训练和维护人工智能模型的麻烦和代价越高，就越容易出现误报和漏报。此外，采用基于人工智能的技术可以降低成本，但需要更高的维护投资（通常会超过节省的成本）时，企业可能面临恶性循环。
最后，人工智能可能不适用于某些任务和过程，在这些任务和过程中，决策需要可追溯的解释，例如，为了防止歧视或遵守法律。因此，确保企业对人工智能的实现在短期和长期情况下是否具有经济实用性有一个全面的评估。
问题3．维护最新和有效的人工智能产品需要多少成本？
在人工智能业务中，需要训练机器学习模型以执行不同任务的训练数据集。
培训数据集的来源、可靠性和足够的数量是大多数人工智能产品的主要问题。毕竟，人工智能系统需要和人们投入的数据一样良好。通常，安全产品可能需要在本地进行长期的训练，此外，假设企业有一个无风险的网段，将作为用于培训目的的正常事务状态的示例。在企业外部进行过训练的通用模型可能仅适用于其流程和IT架构，而无需在其网络中进行一些补充训练。因此，企业需要确保训练和相关的时间承诺在产品采购之前得到解决。
对于网络安全的主要目的，人工智能产品需要定期更新，并与新出现的威胁和攻击媒介保持一致，或者只是与企业网络中的一些新事物保持一致。因此，企业需要询问需要更新的频率、运行更新需要多长时间，以及管理流程的人员。这可能会避免额外的维护费带来苦恼。
问题4．谁将承担法律和隐私风险？
机器学习对于隐私来说可能是一个巨大的风险。违反GDPR法规的经济处罚只是冰山一角，数据被非法存储或处理的团体和个人可能对企业采取法律措施并要求赔偿。此外，还必须考虑许多其他适用的隐私法律和法规，这些法律和法规可能会超出GDPR法规最高4％收入上限的处罚。还要记住，大多数训练数据集不可避免地包含大量的个人可识别信息（PII），这些信息可能是在没有得到同意或其他有效认可的情况下收集的。更糟糕的是，即使合法收集和处理个人可识别信息（PII），数据主体要求行使GDPR法规授予的权利（例如访问权或删除权）也是不可行的，个人可识别信息（PII）本身是不可提取的。
2010年至2018年，美国提交了近8000项专利，其中18％来自网络安全行业。HPE公司警告说，未经许可使用专利人工智能技术将会面临法律和业务风险。因此，将侵权的法律风险转移给供应商可能是一个好主意，例如，在合同中添加赔偿条款。
企业高管很少有人意识到，如果他们使用的技术侵犯了现有专利，企业可能要承受数百万美元的二次侵权损失。而知识产权法的主体非常复杂，许多问题在某些司法管辖区域仍未解决，这为法律诉讼的结果带来了不确定性。因此，企业务必与其法律顾问或律师进行沟通，以获取有关如何最大限度地降低法律风险的建议。
最后，企业需要确保自己的数据不会出于“威胁情报”或“训练”目的传输到任何地方，无论是否合法。
