Cikksorozatunk a mesterséges intelligencia (MI) kiberbiztonságra gyakorolt hatásával foglalkozott, ennek szabályozási környezetét vizsgálva. Az első részben ezen technológia kettős szerepéről volt szó (egyszerre fenyegetést erősítő tényező és védelmi infrastruktúra), a másodikban az AI Act és a CRA (Cyber Resilience Act) volt a téma, a harmadikban a NIS2 és a GDPR környezetek egymásra hatásáról. A cikksorozat jelen, befejező része pedig a büntetőjogi következményekkel és a jövő trendjeivel foglalkozik.
Kiberbűnözés és büntetőjog az MI-rendszerek korában
A mesterséges intelligencia alkalmazását szabályozó rendelkezések mellett a büntetőjog is szerepet játszik a rosszindulatú kibertámadások kezelésében. Ilyenek műveletek különösen
- az információs rendszerekhez való jogosulatlan hozzáférés
- rendszerbe való beavatkozás
- adatokba való beavatkozás
- rosszindulatú eszközök előállítása és/vagy terjesztése.
A mesterséges intelligencia által támogatott kibertámadások általában ezen bűncselekményi tényállások hatálya alá tartoznak. Ugyanakkor egyes kutatók szerint az MI által lehetővé tett lépték és automatizáltság indokolttá teheti olyan kiegészítő jogi szabályok megalkotását, amelyek kifejezetten az MI által generált rosszindulatú programok terjesztésére vonatkoznak (Wall, 2023).
Az Európai Parlament és a Tanács 2013/40/EU irányelve az információs rendszerek elleni támadások elleni küzdelemről az Európai Unió büntetőjogi kiberbiztonsági szabályozásának egyik alapvető jogforrása. Az irányelv célja az volt, hogy a tagállamok büntetőjogi rendszereiben egységes minimumszabályokat állapítson meg az információs rendszerek elleni bűncselekmények meghatározására, valamint elősegítse az ilyen cselekményekkel szembeni hatékonyabb fellépést és a tagállamok közötti együttműködést. A szabályozás az Európai Unió azon törekvésének része, hogy a digitális infrastruktúrák elleni támadásokkal szemben egységes és hatékony jogi védelmet biztosítson, különösen az egyre összetettebbé váló kibertámadások és a szervezett bűnözés által alkalmazott technológiai eszközök fényében.
Az irányelv egyik központi fogalma az információs rendszer, amelyet olyan eszközök vagy egymással összekapcsolt eszközök együtteseként határoz meg, amelyek digitális adatok automatikus feldolgozására képesek, valamint az ilyen rendszerek működéséhez szükséges adatokra és infrastruktúrára is kiterjed (2. cikk a) pont). Ez a fogalom szándékosan széles, és magában foglalja a hálózati infrastruktúrákat, szerverrendszereket, felhőszolgáltatásokat, valamint a különböző automatizált adatfeldolgozó rendszereket is. A fogalom technológiasemleges jellege miatt az irányelv hatálya kiterjedhet azokra a rendszerekre is, amelyek mesterséges intelligencia alkalmazásával működnek, amennyiben ezek digitális adatok automatikus feldolgozására épülnek.
Anyagi jogi rendelkezések
Az irányelv meghatározza a büntetőjogi szempontból releváns kibertámadások alapvető kategóriáit.
- Az egyik ilyen bűncselekményi forma az információs rendszerhez való jogosulatlan hozzáférés, amely akkor valósul meg, ha valaki szándékosan és jogosulatlanul hozzáfér egy információs rendszerhez (3. cikk).
- A másik fontos bűncselekményi kategória az információs rendszer működésének jogosulatlan akadályozása vagy megszakítása, amely például túlterheléses támadások (DDoS) formájában jelentkezhet (4. cikk).
- Az irányelv emellett a jogosulatlan adatbeavatkozást is kriminalizálja, amely az adatok törlését, módosítását vagy hozzáférhetetlenné tételét jelenti (5. cikk).
- A szabályozás külön figyelmet fordít azokra az eszközökre és technológiákra is, amelyek a kibertámadások végrehajtásához használhatók. Az irányelv büntetendővé teszi az olyan programok, eszközök vagy jelszavak előállítását, beszerzését vagy terjesztését, amelyek elsődlegesen információs rendszerek elleni támadások elkövetésére szolgálnak (7. cikk).
Ez utóbbi rendelkezés különösen releváns a mai digitális környezetben, ahol az automatizált támadási eszközök – köztük a mesterséges intelligencia által támogatott támadási rendszerek – egyre szélesebb körben elérhetővé válnak. A mesterséges intelligencia például képes lehet automatizált sérülékenységkeresésre, adaptív támadási stratégiák kialakítására vagy nagy méretű botnetek irányítására, ami jelentősen növeli a kibertámadások hatékonyságát és komplexitását.
Az irányelv a bűncselekmények súlyosabb eseteire külön rendelkezéseket alkalmaz. A tagállamoknak súlyosító körülményként kell figyelembe venniük például azt az esetet, ha a támadás jelentős kárt okoz, kritikus infrastruktúrákat érint, vagy jelentős számú információs rendszer működését zavarja meg (9. cikk). Az ilyen rendelkezések különös jelentőséggel bírnak a modern digitális infrastruktúrák – például az energetikai, közlekedési vagy egészségügyi rendszerek – védelme szempontjából, amelyek egyre inkább automatizált és intelligens információs rendszerekre épülnek.
Eljárásjogi rendelkezések
Az irányelv fontos intézményi és eljárási rendelkezéseket is tartalmaz. A tagállamok kötelesek biztosítani, hogy az információs rendszerek elleni bűncselekmények hatékony nyomozása és üldözése érdekében megfelelő szakosodott hatóságok álljanak rendelkezésre (13. cikk). E hatóságoknak megfelelő technikai és szakmai kapacitásokkal kell rendelkezniük a kibertámadások felderítésére és bizonyítására. Az irányelv emellett előírja, hogy a tagállamok működtessenek folyamatosan elérhető (24/7) kapcsolattartó pontokat, amelyek biztosítják a gyors információcserét és az operatív együttműködést a határokon átnyúló kibertámadások esetében (13. cikk (3) bekezdés).
Nemzetközi bűnügyi együttműködés
A szabályozás hangsúlyos eleme a nemzetközi és uniós együttműködés. Az információs rendszerek elleni támadások gyakran több államot érintenek, ezért az irányelv a tagállamok közötti együttműködés megerősítését is célul tűzi ki. Az információcsere, a közös nyomozások és az Europollal való együttműködés kulcsfontosságú szerepet játszik a kiberbűnözés elleni fellépésben.
A mesterséges intelligencia technológiák fejlődése új dimenziókat nyit az információs rendszerek elleni támadások területén. Az MI-alapú rendszerek egyrészt a védekezés eszközei lehetnek – például anomália-detektáló vagy behatolás-észlelő rendszerek formájában –, másrészt azonban a támadók számára is új lehetőségeket teremtenek. Az automatizált támadási eszközök képesek lehetnek nagyszámú rendszer egyidejű vizsgálatára, sérülékenységek azonosítására vagy adaptív támadási minták kialakítására. Bár a 2013/40/EU irányelv elfogadásakor a mesterséges intelligencia még nem játszott olyan meghatározó szerepet a kiberbiztonságban, a szabályozás technológiasemleges fogalmi kerete lehetővé teszi, hogy az MI-alapú támadások is a hatálya alá tartozzanak.
Összességében a 2013/40/EU irányelv az Európai Unió kiberbiztonsági jogának büntetőjogi dimenzióját alapozza meg. Az irányelv egységes definíciókat és minimumkövetelményeket állapít meg az információs rendszerek elleni bűncselekményekre vonatkozóan, és erősíti a tagállamok közötti együttműködést a kibertámadások elleni fellépésben. A szabályozás technológiasemleges jellege lehetővé teszi, hogy a mesterséges intelligencia által generált új biztonsági kihívásokra is alkalmazható maradjon, így a modern digitális infrastruktúrák védelmének egyik alapvető jogi eszközét jelenti az Európai Unióban.
A kiberbiztonság horizontjai és jövőképei
A digitális szuverenitás geopolitikai dimenziói
A kiberbiztonsági szabályozás nem elemezhető kizárólag technikai vagy jogi kérdésként. Szorosan összefonódik geopolitikai és gazdasági megfontolásokkal is.
Az európai döntéshozók egyre nagyobb hangsúlyt helyeznek a digitális szuverenitás fogalmára, amely az államok vagy régiók azon képességére utal, hogy ellenőrzést gyakoroljanak digitális infrastruktúráik és technológiai ökoszisztémáik felett.
Jelentős aggodalomra ad okot Európa függősége a külföldi technológiai szolgáltatóktól, különösen a felhőalapú számítástechnika és a mesterséges intelligencia területén. Számos európai vállalat nagymértékben támaszkodik nagy amerikai technológiai cégek szolgáltatásaira, ami adatirányítási és stratégiai autonómiai kérdéseket vet fel.
Kiberbiztonsági szempontból a külső szolgáltatóktól való függés kitettséget eredményezhet a kritikus infrastruktúrák számára külföldi megfigyeléssel, joghatósági konfliktusokkal vagy ellátási láncok sérülékenységével szemben.
Az európai szabályozási keret ezért nemcsak a kiberbiztonsági kockázatok csökkentésére törekszik, hanem az európai digitális ökoszisztéma ellenálló képességének és autonómiájának erősítésére is.
A biztonság, az innováció és az alapvető jogok kiegyensúlyozása
Bár a kiberbiztonsági szabályozás elengedhetetlen, a túlzott vagy rosszul kialakított szabályozás akadályozhatja az innovációt és a technológiai fejlődést.
A mesterséges intelligencia rendszerei rendkívül gyorsan fejlődnek, és a merev szabályozási keretek gyakran nehezen tudnak lépést tartani a technológiai változásokkal. Ezért sok kutató az adaptív szabályozás alkalmazását javasolja, ideértve a szabályozási sandboxok (tesztkörnyezetek) használatát, amelyek ellenőrzött körülmények között teszik lehetővé az innovációs kísérleteket.
Egy másik kulcsfontosságú kihívás a kiberbiztonsági intézkedések és az olyan alapvető jogok közötti egyensúly megteremtése, mint a magánélet védelme vagy a véleménynyilvánítás szabadsága. Például a hálózati tevékenységek mesterséges intelligenciával támogatott, kiterjedt monitorozása felvetheti a megfigyeléssel és az adatvédelemmel kapcsolatos aggályokat.
Az európai szabályozási keretek e kérdések kezelésére az átláthatóság, az elszámoltathatóság és az emberi felügyelet hangsúlyozásával törekednek.
A mesterséges intelligencia és a kiberbiztonság közötti kapcsolat a technológiai képességek bővülésével tovább fog fejlődni.
A jövő trendjei
Számos tendencia várhatóan meghatározza a jövőbeli fejlődést:
- a kiberműveletek – támadó és védekező oldalon egyaránt – egyre nagyobb mértékű automatizálása
- a mesterséges intelligencia fokozott integrációja a kritikus infrastruktúrákba, beleértve az energiarendszereket, közlekedési hálózatokat és egészségügyi szolgáltatásokat
- növekvő geopolitikai verseny a mesterséges intelligencia technológiáinak fejlesztése és szabályozása terén
Ebben az összefüggésben a jogi kereteknek rugalmasnak kell maradniuk, és képesnek kell lenniük reagálni az újonnan megjelenő fenyegetésekre. A nemzetközi együttműködés szerepe is egyre fontosabbá válik, mivel a kibertámadások gyakran átlépik a nemzeti határokat.
A mesterséges intelligencia a kiberbiztonság területén egyszerre jelent erőteljes védelmi eszközt és jelentős fenyegetést. Egyrészt az MI-technológiák javítják a fenyegetések észlelését, a prediktív védekezést és az automatizált incidenskezelést. Másrészt ugyanezek a technológiák lehetővé teszik a kiberbűnözők számára, hogy kifinomultabb támadásokat fejlesszenek ki, automatizálják a rosszindulatú műveleteket, és maguknak az MI-rendszereknek a sebezhetőségeit is kihasználják.
Az Európai Unió e kihívások kezelését egy átfogó szabályozási ökoszisztéma kialakításával kezdte meg, amely magában foglalja az MI-rendeletet (AI Act), a kiberreziliencia-rendeletet (Cyber Resilience Act), a NIS2 irányelvet, valamint a meglévő adatvédelmi és kiberbűnözési jogszabályokat.
A szabályozás önmagában azonban nem képes biztosítani a kiberbiztonságot. A hatékony irányításhoz együttműködés szükséges a kormányzatok, a magánszektor szervezetei, a kiberbiztonsági szakemberek és az MI-fejlesztők között. A mesterséges intelligenciára épülő védelmi rendszerekbe történő beruházásoknak együtt kell járniuk a megfelelő jogi felügyelettel.
Végső soron a mesterséges intelligenciát nem csupán kontrollálandó kockázatként kell szemlélni, hanem olyan stratégiai erőforrásként is, amely képes erősíteni a digitális ellenálló képességet és védeni a kritikus infrastruktúrákat. A döntéshozók központi kihívása ezért az, hogy kiaknázzák az MI védelmi potenciálját, miközben megelőzik annak visszaélését a kiberbűnözésben.
Nyitókép forrása: vska / depositphotos.com
