شرکتها به تدریج به عوامل هوش مصنوعی خودمختاری میدهند؛ یعنی توانایی برنامهریزی، تصمیمگیری و اقدام در سامانهها بدون تأیید هر گام توسط انسان. در این شرایط سؤال اساسی میشود: چه چیزی میتواند مانع از انجام عملی شود که بهطور صریح برای آن مجوز داده نشده است؟
این عوامل بر روی مدلهای سازمان اجرا میشوند و به دادههای زیرساختی دسترسی دارند؛ بنابراین مسئولیت نتایج کارشان بر عهدهٔ خود سازمان است. این مسئولیت نمیتواند بهصورت پسدورهای یا با سیاستهای انتزاعی که فقط روی کاغذ هستند، برآورده شود. قوانین باید در همان لحظه و در زمینهٔ جاری اعمال شوند، چرا که عوامل توانایی قضاوت مستقل ندارند.
بهعنوان مثال، یک قانون ساده میگوید «در هر شرایطی درب خودرو را باز نکن». اگر بهصورت مطلق اجرا شود، عامل هرگز نمیتواند وارد یا خارج شود. اما در موقعیتی مانند تصادف یا آتشسوزی، قانون معکوس مورد نیاز است. پس زمینهٔ لحظهای، کل تصمیمگیری را تعیین میکند.
رویکرد معمول افزودن ریلهای حفاظتی (دستورالعملها، سیاستها، مانیتورینگ) در بالای مدل است؛ اما این مکانیزمها محدودیت ساختاری دارند. کنترلهای لایهٔ عامل تا زمانی که خروجی عامل قابل پیشبینی باشد، مؤثرند؛ اما خودمختاری دقیقاً باعث میشود خروجی پیشبینینشده باشد. حاکمیتی که پیش از وقوع عمل بررسی میکند، نمیتواند با سیستمی که در میلیثانیهها و در چندین سامانه همزمان عمل میکند، همگام شود.
به همین دلیل حاکمیت باید «قابل اجرا» باشد و دقیقاً در لایهٔ دادهٔ عملیاتی، در همان لحظهٔ وقوع، اعمال شود. عوامل با دادهها تعامل دارند: پرسوجو، بازیابی، تبدیل و حتی تغییر آن. سیاستی که میگوید عامل نباید به دستهای خاص از دادهها دسترسی داشته باشد، تنها زمانی معنا دارد که سیستم بتواند در همان لحظهٔ درخواست دسترسی را رد کند. همچنین اصل قابلیت حسابرسی فقط زمانی عملی میشود که سازمان بتواند بازسازی کند که عامل چه کاری انجام داده، به چه دادهای دسترسی داشته، برای چه کاربری عمل کرده و چه نتیجهای بهدست آمده.
رفتار عوامل میتواند احتمالی باشد؛ بنابراین سازمان نباید به انتخاب مدل برای پیروی از سیاست اعتماد کند. سیاست باید توسط سیستم اجرا شود؛ یعنی مرزی ساخته میشود که از ابتدا قابل عبور نباشد. کنترلهای موجود در لایهٔ داده که بسیاری از شرکتها پیش از این بهکار میبرند شامل کنترل دسترسی مبتنی بر نقش و ویژگی، امنیت سطری و ستونی، طبقهبندی و ماسکگذاری، سیاست بهصورت کد و ردپای کامل حسابرسی میشود.
آنچه عوامل تغییر میدهند، شناسهٔ آنهاست. هویتساز باید عامل را بهعنوان یک اصل مستقل در نظر بگیرد؛ یعنی برای هر عامل یک هویت و هدفی که در ابتدای نشست اعلام میشود، تعریف شود. وقتی هدف به هویت پیوند خورده باشد، موتور سیاست میتواند آن را همانند نقش یا بخش سازمانی ارزیابی کند و ثبت رویداد نه تنها چه کسی عمل کرده و چه دادهای را لمس کرده، بلکه چه هدفی داشته است را نیز نشان دهد.
در عمل این موارد به نه کنترل تقسیم میشود که در سه محور اصلی جمعبندی میشوند:
اجرای قوانین
- کنترل دسترسی مبتنی بر نقش و ویژگی که در زمان پرسوجو برای عوامل و کاربران اعمال میشود.
- ماسکگذاری پویا بر ستونها بر پایهٔ مسیر سیاست.
- هویت عامل بهعنوان یک اصل اصلی با هدف اعلامشده در شروع نشست و حفظ کاربر فعال.
مشاهده و اثبات
- طبقهبندی و برچسبگذاری دادهها که سیاست را هدایت میکند.
- ثبت لاگ سطری در سطح نشست که عامل، کاربر مربوطه و هدف اعلامشده را ثبت میکند.
- ردیابی خط لولهها (Lineage) برای امکان بازگشت به درخواست اولیه.
یکپارچهسازی و تقویت
- مدیریت متمرکز و قابل حمل سیاستها.
- رمزنگاری در حالت استراحت و در حین انتقال.
- اجرای سازگار در محیطهای داخلی، ابری، حاکمیتی یا ایزوله.
«هدف اعلامشده تفاوت را ایجاد میکند؛ این ویژگی به لایهٔ دسترسی اضافه میشود و در همان مسیر سیاست همانند نقش و امنیت سطری ارزیابی میشود. مکانیزم اجرای سیاست تغییر نمیکند؛ تنها اینکه هدف عامل بخشی از ارزیابی و ثبت نهایی میشود»، Priyanka Jain، معاون محصول مدیریت داده و حاکمیت AI در EDB میگوید.
هرچه مسیر پذیرش AI در سازمان پیشرفت کند، اجرای حاکمیت در لایهٔ داده امکان حرکت سریعتر را فراهم میکند؛ زیرا این کنترلها از پیش در پایگاه داده تعبیه شدهاند و فقط کافی است عوامل از آن عبور کنند.
هدف نه مسدود کردن عملکرد عوامل است، بلکه تعریف محدودهٔ عمل، دادههای قابل دسترسی، تغییرات مجاز، مواردی که نیاز به ارجاع دارند و امکان بازسازی رویدادها در صورت بروز مشکل است. با این رویکرد، عوامل شناسایی، محدود، نظارتشده و حسابرسی میشوند و تیمهای امنیت، ریسک و مدیریت میتوانند با اطمینان بیشتری AI را بهسرعت پیادهسازی کنند.
پلتفرم EDB Postgres AI بر پایهٔ منبع باز PostgreSQL ساخته شده؛ این زیرساخت باز به سازمانها اجازه میدهد محل ذخیرهسازی دادهها، دسترسیها و سیاستها را تحت کنترل خود داشته باشند، بدون اینکه حاکمیت را به لایهای که مالک یا قابل بازبینی نیست واگذار کنند. برای صنایع تحتنظر مقررات، این ترکیب از حاکمیت منبع باز و حاکمیت در لایهٔ منبع، پیششرطی برای بهکارگیری عوامل در محیطهای تولیدی است.
سیستمهای عاملمحور بهتدریج قدرتمندتر و خودمختارتر میشوند؛ بنابراین باید بهصورت آگاهانه مکانیزم کنترل را انتخاب کنیم، نه اینکه سرعت پذیرش را کاهش دهیم. سازمانهایی که حاکمیت را در لایهٔ داده اعمال میکنند، میتوانند با اطمینان بیشتری بهسرعت به AI پیشروی کنند.