Kennisbank

Privacy og sikkerhed: hvad et niveau højere reelt kræver af Dem

Privacy og sikkerhed er en af de syv dimensioner i modenhedsmålingen fra hybridresourcing. Det er også den dimension, der udløser flest spørgsmål, som regel i formen: hvad kræves der for at stige et niveau her. Svaret er aldrig et beløb. Det afhænger af, hvad der allerede findes, af hvem der allerede har medbestemmelse, og af hvor langt resten af organisationen er.

Hvad denne dimension måler

Privacy og sikkerhed handler om, hvorvidt organisationen ved, hvilke data en AI-anvendelse berører, hvem der må beslutte om det, og om den beslutning ligger fast eller går godt ved et tilfælde. Det er noget andet end en privatlivspolitik eller et ISO-certifikat. En organisation kan på papiret være fuldt compliant og alligevel ikke have nogen anelse om, hvad der sker, når et AI-værktøj behandler kundedata, som ingen havde udpeget som input. Denne dimension måler ikke dokumentationen. Den måler, om organisationen kan besvare spørgsmålet, før nogen stiller det.

Det gør privacy og sikkerhed til en af de fundamentale dimensioner, sammen med modenheden af Deres organisationsstruktur og tilstanden af Deres IT-infrastruktur. Fundamentale dimensioner går forud for de afhængige, ikke fordi de er vigtigere, men fordi resten hviler på dem. En organisation, der allerede står langt fremme på mennesker og kompetencer, men ikke på privacy og sikkerhed, bygger på et fundament, der når som helst kan skifte.

Hvad viser Dem, hvor De står

På baseline-niveau er der intet fælles billede. Nogle i organisationen ved præcis, hvilke data der er følsomme, andre har aldrig tænkt over det, og ingen har nogensinde afdækket den forskel. Det er præcis, hvad niveauet baseline i praksis betyder: ikke at der ikke er noget, men at det, der er, tilfældigvis står godt eller tilfældigvis ikke gør.

På foundation-niveau er der en første fælles aftale: hvilke datakategorier der er følsomme, hvem der beslutter om det, og hvad et AI-værktøj må og ikke må behandle. Den aftale findes, men den følges endnu ikke lige strikt overalt, og ikke alle kender den. Niveauet foundation i praksis beskriver, hvordan det første skridt ser ud i andre dimensioner, og mønstret er sammenligneligt her: aftalen findes, konsistensen endnu ikke.

Ved activation er aftalen forankret i selve processen: nye AI-anvendelser bruges først, når det er fastlagt, hvilke data de berører, og hvem der har godkendt det. Ved insight overvåges og justeres den proces på baggrund af, hvad der i praksis går skævt, eller opdages lige i tide. Ved intelligence er spørgsmålet om data og tilladelse ikke længere en separat proces, men indbygget i, hvordan hver ny anvendelse bedømmes, uanset af hvem.

Spredningen mellem disse niveauer bliver synlig i plot-runden: forskellige mennesker i organisationen scorer denne dimension separat, uden at se hinandens svar. Ved privacy og sikkerhed er den spredning ofte større end ved andre dimensioner. En CISO ser den proces, han selv har opsat, og scorer højt. En teamleder, der bruger AI-værktøjer uden nogensinde at have hørt om den proces, scorer lavt. Begge svar er sande. Spredningen selv er målingen.

Hvad et niveau højere kræver

Der er ikke noget fast beløb eller en fast tidshorisont at nævne, fordi det afhænger af, hvor organisationen allerede står, og hvor komplekst dens datalandskab er. Hvad der derimod ligger fast, er skridtets karakter. At gå fra baseline til foundation kræver ikke et teknisk projekt, men en samtale: hvilke data er følsomme, hvem beslutter om det, og er det svar det samme for alle, der bliver spurgt. At gå fra foundation til activation kræver, at den aftale ikke længere står løst fra processen, men flettes ind i den, så en ny AI-anvendelse ikke tages i brug, før spørgsmålet om data er besvaret.

Det skridt berører sjældent kun privacy og sikkerhed. En organisation, der vil videre her, opdager ofte, at spørgsmålet om hvem der må beslutte, kun kan besvares, hvis det også er klart, hvem i organisationen har hvilke kompetencer til at tage og overvåge den beslutning. Og uden en form for strukturel bedømmelse af, hvordan AI-anvendelser performer, forbliver spørgsmålet om, hvorvidt processen fungerer, ubesvaret, indtil noget går skævt. De syv dimensioner står ikke isoleret fra hinanden; de holder hinanden tilbage eller trækker hinanden med.

Hvad dette ikke besvarer

Denne måling siger noget om, hvorvidt organisationen kan bære en AI-anvendelse, uden at privacy og sikkerhed bliver det svage punkt. Den siger intet om, hvilket arbejde, hvilken opgave eller hvilken del af en funktion AI kan overtage. Det er et andet spørgsmål, med et andet redskab. Arbejdsscanen fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der kan overtages, baseret på hvad den opgave kræver og hvad AI reelt kan. Det resultat er kun troværdigt, når den bærende side, herunder privacy og sikkerhed, er i orden. Modenhedsmålingen fra hybridresourcing går forud for det.

Redskabet, hvormed De selv kan gennemføre denne måling, inklusive plot-runden med flere bedømmere, er under udvikling. Den, der vil have besked, så snart det er tilgængeligt, kan tilmelde sig ventelisten.