[비즈한국] OpenAI, operator layanan kecerdasan buatan (AI) generatif ChatGPT, telah mengungkapkan status perlindungan informasinya tahun ini setelah dimasukkan ke dalam daftar wajib 'Pengungkapan Perlindungan Informasi' di Korea untuk pertama kalinya. Meskipun perusahaan menjelaskan investasi keamanan siber, sistem keamanan berbasis AI, dan operasi organisasi secara cukup rinci, mereka tidak mengungkapkan indikator kuantitatif utama seperti skala investasi Teknologi Informasi (TI) dan perlindungan informasi, serta jumlah personel khusus. Meskipun OpenAI mengikuti logika 'operasi standar global' yang biasanya digunakan oleh perusahaan-perusahaan global, kritik muncul bahwa transparansi perlindungan informasi tetap menjadi tugas yang belum terselesaikan.
Pengungkapan Detail Aktivitas Keamanan Layaknya Perusahaan AI
Melalui pengungkapan perlindungan informasi domestik pertamanya pada tanggal 30 bulan lalu, OpenAI mengungkapkan sistem keamanan berbasis AI, metode operasional, dan aktivitas penelitian keamanan siber mereka. Komite Keamanan dan Keselamatan di bawah Dewan Direksi, Pusat Operasi Keamanan (SOC) yang beroperasi 24/7, serta evaluasi Red Team rutin bersama perusahaan spesialis keamanan SpecterOps juga diungkapkan untuk pertama kalinya. Namun, angka-angka kunci yang memungkinkan pengguna melakukan perbandingan objektif pada akhirnya sulit untuk diverifikasi.
Sistem pengungkapan perlindungan informasi dari Korea Internet & Security Agency (KISA) adalah sistem yang mewajibkan perusahaan untuk mengungkapkan skala investasi perlindungan informasi, personel khusus, dan status aktivitas perlindungan informasi sesuai dengan 'Undang-Undang Promosi Industri Perlindungan Informasi'. Melalui ini, pengguna dapat memverifikasi tingkat perlindungan informasi suatu perusahaan. Tahun ini, terdapat 693 perusahaan yang wajib melakukan pengungkapan, meningkat 27 perusahaan dibandingkan tahun lalu. Perusahaan yang menjadi target dipilih setiap tahun berdasarkan kriteria hukum seperti bidang usaha, pendapatan, dan jumlah pengguna.
Seorang pejabat KISA menjelaskan, “Target wajib pengungkapan dipilih berdasarkan kriteria yang ditetapkan oleh undang-undang, dan OpenAI memenuhi kriteria tersebut sehingga dimasukkan dalam daftar pengungkapan tahun ini.” Menurut Mobile Index, per Januari tahun ini, pengguna aktif bulanan (MAU) ChatGPT di Korea mencapai sekitar 14,3 juta orang. OpenAI juga telah berulang kali menekankan pentingnya pasar Korea. Jason Kwon, Chief Strategy Officer (CSO) OpenAI, menyatakan pada peluncuran entitas Korea tahun lalu di bulan September bahwa “Korea adalah negara dengan pengguna ChatGPT terbanyak di kawasan Asia-Pasifik.”
Aktivitas perlindungan informasi OpenAI berfokus pada dukungan ekosistem keamanan AI dan penguatan sistem pengendalian internal. Melalui program hibah keamanan siber yang dimulai pada tahun 2023, mereka mendukung penelitian teknologi keamanan berbasis AI, dan tahun ini memperluas cakupan dukungan ke bidang khusus AI generatif seperti pertahanan terhadap Prompt Injection dan Agentic Security. Prompt Injection adalah teknik serangan yang mendorong AI untuk melakukan perintah yang tidak diinginkan melalui input berbahaya. Bug bounty bagi peneliti yang melaporkan kerentanan keamanan juga ditingkatkan hingga maksimal 100.000 dolar AS (sekitar 150 juta won).
Tata kelola keamanan juga telah diperkuat. Mereka menyatakan telah membentuk Komite Keselamatan dan Keamanan di bawah Dewan Direksi tahun lalu untuk meninjau keselamatan dan keamanan model AI utama, serta memungkinkan penundaan peluncuran jika diperlukan. Mereka juga menjelaskan bahwa sistem respons 24/7 diaktifkan melalui pusat operasi keamanan dan evaluasi Red Team dengan perusahaan keamanan eksternal.
Selain itu, mereka menyatakan sedang mempertahankan sertifikasi keamanan internasional, desain keamanan berbasis Zero Trust, pengujian penetrasi tahunan, dan pelatihan keamanan bagi karyawan. Item aktivitas perlindungan informasi juga mencakup investasi pada startup keamanan siber Adaptive Security, penerbitan Laporan Ancaman yang menganalisis kasus penyalahgunaan AI, serta penelitian deteksi dan perbaikan kerentanan perangkat lunak sumber terbuka (open source).
Di sisi lain, status investasi dan personel semuanya diganti dengan catatan khusus bahwa “Investasi perusahaan kami dilakukan berdasarkan standar global.” Jumlah investasi TI, investasi perlindungan informasi, total jumlah karyawan, personel sektor TI, dan personel khusus perlindungan informasi semuanya dibiarkan kosong, dan hanya posisi Chief Information Security Officer (CISO) dan Chief Privacy Officer (CPO), status eksekutif, serta status jabatan rangkap yang diungkapkan.
Informasi Kualitatif Cukup Lengkap... Informasi Penting Dikatakan "Mengikuti Standar Global"
Metode pengungkapan di mana angka-angka kunci dibiarkan kosong bukanlah fitur khusus OpenAI saja. Google, Meta, Amazon Web Services (AWS), TikTok, Alibaba, AliExpress, Tencent, dan X (sebelumnya Twitter), yang telah melakukan pengungkapan perlindungan informasi selama beberapa tahun, juga mengganti jumlah investasi TI, investasi perlindungan informasi, dan ukuran personel khusus dengan catatan khusus bahwa mereka “dioperasikan pada tingkat global” atau menjelaskan bahwa perhitungan terpisah sulit dilakukan. Sebaliknya, cara penulisan pengungkapan yang berfokus pada kebijakan keamanan tingkat global, sertifikasi, dan aktivitas perlindungan informasi adalah hal yang umum.
Namun, tidak semua perusahaan global mengungkapkan tingkat informasi yang sama. Netflix, meskipun menjelaskan bahwa sulit untuk menghitung angka entitas domestik secara terpisah, secara rinci mengungkapkan total investasi TI grup sebesar 4,8264 triliun won, investasi perlindungan informasi sebesar 258,7 miliar won, total 16.000 karyawan, 5.534 personel TI, dan 269 personel khusus perlindungan informasi. Mereka juga menjelaskan bahwa organisasi perlindungan informasi pusat menjalankan tugas keamanan global termasuk layanan di Korea.
Entitas Microsoft di Korea juga menyatakan bahwa investasi sulit dihitung secara terpisah, namun mengungkapkan 228.000 karyawan purna waktu di seluruh dunia berdasarkan perusahaan induk, lebih dari 34.000 insinyur keamanan siber, dan 81 karyawan di entitas Korea. Peran CISO entitas Korea, sistem organisasi CISO global, dan peran CPO juga dijelaskan secara relatif rinci.
Pengungkapan pertama OpenAI relatif lengkap di antara perusahaan global jika hanya melihat informasi kualitatif. Namun, indikator paling langsung bagi pengguna untuk membandingkan tingkat perlindungan informasi perusahaan, yaitu skala investasi dan personel khusus, masih sulit untuk diverifikasi. Kritik terus bermunculan bahwa efektivitas pengungkapan perlindungan informasi terbatas karena banyak perusahaan global tidak mengungkapkan item tersebut.
Terutama, karena OpenAI memiliki proporsi pengguna domestik yang tinggi dan kasus input data sensitif seperti dokumen kerja, kode sumber, dan informasi pribadi ke AI generatif semakin meningkat, OpenAI adalah operator dengan minat sosial yang lebih tinggi terhadap perlindungan informasi dibandingkan platform global pada umumnya. Oleh karena itu, muncul suara yang mengatakan bahwa daripada hanya mengganti indikator utama dengan penjelasan 'standar global', ada kebutuhan untuk mengungkapkan informasi pada tingkat yang dapat dijadikan referensi oleh pengguna secara lebih aktif.
Sementara itu, dengan OpenAI yang dimasukkan sebagai target pengungkapan tahun ini, perhatian tertuju pada apakah operator AI generatif lainnya akan diwajibkan untuk melakukan pengungkapan di masa mendatang. Baru-baru ini, seiring dengan diversifikasi pasar AI generatif yang berpusat dari OpenAI, jumlah pengguna domestik Claude dari Anthropic dan Gemini dari Google juga meningkat dengan cepat. Meta, TikTok, dan X termasuk dalam target pengungkapan berdasarkan jumlah pengguna domestik, sementara Tencent dimasukkan sebagai penyedia layanan komputasi awan. Microsoft telah melaksanakan pengungkapan karena memenuhi kriteria penyedia layanan komputasi awan dan jumlah pengguna.
Berdasarkan analisis berbasis data penggunaan MindLogic, proporsi penggunaan model GPT turun dari 85,7% pada September tahun lalu menjadi 34,8% pada Mei tahun ini, sementara Claude meningkat dari 5,7% menjadi 36% pada periode yang sama. Gemini juga mempertahankan proporsi penggunaan di kisaran 20%. Perhatian juga tertuju pada apakah operator AI di masa depan dapat dimasukkan sebagai target pengungkapan perlindungan informasi jika mereka memenuhi kriteria hukum seperti jumlah pengguna.
Seorang pejabat KISA mengatakan, “Seringkali sulit bagi perusahaan global untuk menghitung skala investasi atau personel berdasarkan entitas domestik secara terpisah,” dan menambahkan, “Kami membujuk operator global untuk melakukan pengungkapan yang berpusat pada aktivitas perlindungan informasi setelah berkonsultasi dengan Kementerian Sains dan TIK.” Pejabat tersebut menambahkan, “Meskipun sulit untuk memastikan skala investasi kuantitatif perusahaan global, informasi kualitatif seperti sertifikasi perlindungan informasi dan aktivitas keamanan dapat diverifikasi melalui pengungkapan.”