Kennisbank

Privacidad y seguridad: lo que realmente exige subir un nivel

Privacidad y seguridad es una de las siete dimensiones en la medición de madurez de hybridresourcing. Es también la dimensión sobre la que llegan más preguntas, generalmente en forma de: qué cuesta subir un nivel aquí. La respuesta nunca es una cifra. Depende de lo que ya existe, de quién ya participa en la decisión y de cuán avanzado está el resto de la organización.

Qué mide esta dimensión

Privacidad y seguridad trata de si la organización sabe qué datos afecta una aplicación de IA, quién puede decidir sobre ello, y si esa decisión está establecida o simplemente sale bien por casualidad. Eso es algo distinto de una declaración de privacidad o un certificado ISO. Una organización puede ser totalmente conforme sobre el papel y aun así no tener idea de lo que ocurre en el momento en que una herramienta de IA procesa datos de clientes que nadie había designado como entrada. Esta dimensión no mide la documentación. Mide si la organización puede responder a la pregunta antes de que alguien la formule.

Eso convierte a privacidad y seguridad en una de las dimensiones fundamentales, junto con la madurez de la estructura de su organización y el estado de su infraestructura de TI. Las dimensiones fundamentales preceden a las dependientes, no porque sean más importantes, sino porque el resto se apoya en ellas. Una organización que está muy avanzada en personas y competencias, pero no en privacidad y seguridad, construye sobre un cimiento que puede desplazarse en cualquier momento.

En qué se ve dónde se encuentra

En el nivel baseline no hay una imagen compartida. Algunos en la organización saben exactamente qué datos son sensibles, otros nunca se han detenido a pensarlo, y nadie ha puesto nunca al descubierto esa diferencia. Eso es precisamente lo que significa el nivel baseline en la práctica: no que no haya nada, sino que lo que hay está bien por casualidad o mal por casualidad.

En el nivel foundation existe un primer acuerdo compartido: qué categorías de datos son sensibles, quién decide sobre ellas, qué puede y qué no puede procesar una herramienta de IA. Ese acuerdo existe, pero aún no se sigue con la misma rigurosidad en todas partes y no todos lo conocen. El nivel foundation en la práctica describe cómo se ve ese primer paso en otras dimensiones, y el patrón aquí es comparable: el acuerdo existe, la consistencia todavía no.

En activation, el acuerdo está anclado en el propio proceso: las nuevas aplicaciones de IA no se utilizan hasta que se ha determinado qué datos afectan y quién lo ha aprobado. En insight, ese proceso se vigila y se ajusta en función de lo que falla en la práctica o se detecta justo a tiempo. En intelligence, la pregunta sobre datos y autorización ya no es un proceso aparte, sino que está integrada en cómo se evalúa cada nueva aplicación, sea quien sea quien la evalúe.

La dispersión entre estos niveles se hace visible en la ronda de valoración: distintas personas de la organización puntúan esta dimensión por separado, sin ver la respuesta de los demás. En privacidad y seguridad, esa dispersión suele ser mayor que en otras dimensiones. Un CISO ve el proceso que él mismo ha establecido y puntúa alto. Un jefe de equipo que usa herramientas de IA sin haber oído hablar nunca de ese proceso, puntúa bajo. Ambas respuestas son ciertas. La dispersión misma es la medición.

Qué requiere subir un nivel

No hay una cifra fija ni un plazo fijo que indicar, porque eso depende de dónde se encuentre ya la organización y de cuán complejo sea su panorama de datos. Lo que sí es fijo es la naturaleza del paso. Pasar de baseline a foundation no requiere un proyecto técnico, sino una conversación: qué datos son sensibles, quién decide sobre ellos, y si esa respuesta es la misma para todos a quienes se les pregunta. Pasar de foundation a activation requiere que ese acuerdo ya no esté separado del proceso, sino entrelazado con él, de modo que una nueva aplicación de IA no entre en uso antes de que se haya respondido a la pregunta sobre los datos.

Ese paso rara vez afecta únicamente a privacidad y seguridad. Una organización que quiere avanzar aquí a menudo descubre que la pregunta de quién puede decidir solo se puede responder si también está claro quién en la organización tiene qué competencias para tomar esa decisión y vigilarla. Y sin alguna forma de evaluación estructural de cómo rinden las aplicaciones de IA, la pregunta de si el proceso funciona queda sin respuesta hasta que algo falla. Las siete dimensiones no son independientes entre sí; se frenan mutuamente o se arrastran unas a otras.

Lo que esto no responde

Esta medición dice algo sobre si la organización puede sostener una aplicación de IA sin que privacidad y seguridad se conviertan en el punto débil. No dice nada sobre qué trabajo, qué tarea o qué parte de una función puede asumir la IA. Esa es otra pregunta, con otro instrumento. El escáner de trabajo de FTE TO AI calcula por tarea qué parte del trabajo se puede asumir, en función de lo que exige esa tarea y de lo que la IA realmente puede hacer. Ese resultado solo es fiable cuando el lado que lo sostiene, incluida la privacidad y la seguridad, está en orden. La medición de madurez de hybridresourcing es previa a eso.

La herramienta con la que usted mismo podrá realizar esta medición, incluida la ronda de valoración con varios evaluadores, está en construcción. Quien desee recibir un aviso en cuanto esté disponible puede inscribirse en la lista de espera.