Kennisbank

Kui küps on teie privaatsus ja turvalisus, kui jutt käib AI-st

Iga organisatsioon, mis töötab AI-ga, töötleb andmeid, mida varem hoiti ainult sisemiselt või ei hoitud üldse. Vihjed, üleslaadimised, vaheväljundid, logifailid mudelitest, mida te ei majuta ise. Küsimus ei ole, kas selles peituvad riskid, vaid kas teie organisatsioon teab, kus need riskid peituvad ja kellel on võimalik nendega midagi ette võtta. See on teine küsimus kui see, kas teil on privaatsuspoliitika. Paberil olev poliitika ja praktikas esinev küpsus lähevad AI puhul sageli tugevalt lahku, kuna tehnoloogia muutub kiiremini kui protseduurid, mis peaksid selle saatel käima.

Miks see dimensioon küpsusmõõtmises loeb

Privaatsus ja turvalisus on küpsusmõõtmises üks seitsmest dimensioonist, kõrvuti muu hulgas organisatsiooni, IT-taristu ja andmehaldusega. Need kolm viimast on fundamentaalsed: need määravad, kas on olemas alus, millele ülejäänu saab tugineda. Privaatsus ja turvalisus sõltuvad sellest osaliselt. Organisatsioon, kus andmehaldus on nõrk, ei tea sageli isegi, mis andmed AI-rakendusse jõuavad, rääkimata sellest, kas see toimub eeskirjade kohaselt. Seetõttu on mõttetu nokitseda krüpteerimise või juurdepääsuhalduse kallal, enne kui on selge, mis andmed kus asuvad ja kes nende eest vastutab. See järjekord ei ole eelistuse küsimus; see on järjekord, milles see toimib.

Viis taset, rakendatuna privaatsusele ja turvalisusele

Baseline-tasemel puudub AI ja andmete jaoks selgesõnaline poliitika. See, mis juhtub, juhtub ad hoc, enamasti selle silmapiirilt väljas, kes selle eest vastutab.

Foundation-tasemel on olemas baaspoliitika, mis on tihti üle võetud olemasolevast privaatsuspoliitikast, kuid ei ole kohandatud sellele, mis teeb AI-rakendused erinevaks. On teadlikkus, kuid puudub kontroll.

Activation-tasemel on konkreetsed reeglid selle kohta, mis andmed millisesse AI-rakendusse tohivad minna, ja selle järgimist kontrollitakse. Juurdepääsuhaldus ja andmete klassifitseerimine on paika seatud, mitte ainult kirjeldatud.

Insight-tasemel muutub nähtavaks, kuidas AI-rakendused praktikas käituvad: mis andmeid need tegelikult töötlevad, kus tekivad lahknevused poliitika ja kasutuse vahel. On olemas seire, mis annab tulemusi, mitte ainult armatuurlaud, mida keegi ei vaata.

Intelligence-tasemel on turvalisus sisse ehitatud sellesse, kuidas uusi AI-rakendusi hinnatakse ja lubatakse, enne kui need kasutusse võetakse. Riskihindamine ei ole enam eraldi etapp, vaid osa sellest, kuidas otsuseid tehakse.

Enamik organisatsioone, kelle AI-pilootprojektid ummikusse jooksevad, osutuvad järelepärimisel kõikuvaks foundationi ja activationi vahel: poliitika on olemas, kuid keegi ei suuda kindlalt öelda, kas sellest ka järgitakse.

Millest te seda märkate, ilma seda mõõtmata

On mõned tunnused, mis, olenemata igast hindest, ütlevad midagi selle kohta, kus te seisate. Kui keegi teie organisatsioonis ei suuda täpselt öelda, milliseid AI-rakendusi praegu kasutatakse, seisate te tõenäoliselt baseline- või foundation-tasemel. Kui see on teada, kuid vastus küsimusele "mis andmed tohivad seal sisse minna" erineb meeskonnalt meeskonda, olete foundationi ja activationi vahel. Kui teate, mis andmed kus tohivad olla, aga ei tea, kas see praktikas ka nii käib, seisate activation-tasemel ja insight ootab teid ees. Ja kui turvalisus võetakse vaikimisi arvesse igas uues rakenduses, ilma et selleks oleks vaja eraldi protsessi, liigute intelligence'i suunas.

See enesehinnang on indikatsioon, mitte plot-vooru asendus. Selle vooru kasulikkus peitub täpselt selles, mida individuaalne hinnang ei näita: hajuvus. Kui infoturbejuht (CISO) paigutab selle dimensiooni activationile ja osakonnajuhataja baselinele, on see erinevus omaette informatsioon. See tähendab, et poliitika ja praktika ei ühti, või et teadmine sellest, mis on lubatud ja mis mitte, ei ole kõikjal võrdselt levinud.

Mida nõuab ühe tasemega kõrgemale jõudmine

Samm foundationilt activationile eeldab harva suuremat eelarvet turvatarkvarale. Sageli eeldab see selgeid kokkuleppeid, kellel on õigus otsustada, et AI-rakendus võetakse kasutusse, ja mille andmete alusel. See puutub kokku sellega, kuidas organisatsioon on korraldatud: ilma selgeteta selliste otsuste omaniketa jääb poliitika dokumendiks, mida ei jõustata. See puutub kokku ka andmehaldusega, kuna ülevaateta oma andmetest ei saa te iial kindlalt öelda, mida AI-rakendus näeb. Ja see puutub kokku eetikaga, kuna küsimus, mis on AI-kasutuse puhul lubatav ja mis mitte, osutub harva puhtalt tehniliseks küsimuseks.

See, mida ühe tasemega kõrgemale jõudmine maksab, sõltub sellest, kus organisatsioon praegu seisab ja mis baasstruktuur on juba olemas. Organisatsioon, kus on hea andmehaldus ja selge organisatsioonistruktuur, vajab selle dimensiooni jaoks suhteliselt vähe lisatööd; organisatsioon, mis mõlemal fundamentaalsel dimensioonil madalalt hindab, peab need esmalt käsile võtma, enne kui privaatsus ja turvalisus struktuurselt paranevad. Ka see on põhjus, miks seitset dimensiooni ei saa lugeda teineteisest lahus: siin mängivad rolli ka inimesed ja oskused, mille kohta saate lugeda lehelt kuivõrd küps on töötajate teadmine AI-riskidest, ning küsimuse juures, kuivõrd küps on AI-kasutusega seotud tulemusjuhtimine, sest ilma järelevalveta jääb ka parim turvapoliitika teooriaks.

Küpsusmõõtmine, sealhulgas plot-voor selle ja teiste kuue dimensiooni jaoks, on ehitamisel. Kes soovib mõõtmist kasutada niipea, kui see on kättesaadav, võib end ootenimekirja panna.

Millele see dimensioon vastust ei annab

See lehekülg käsitleb küsimust, kas teie organisatsioon suudab AI-d kandda: kas alus on olemas, et andmetega turvaliselt ja vastutustundlikult ümber käia, kui AI need andmed puutub. See ei käsitle, mis ülesandeid AI võiks teie töötajatelt üle võtta. Sellele küsimusele vastab FTE TO AI töövoo-skaneering, mis arvutab iga ülesande jaoks, kui suur osa sellest on võimalik AI-le üle anda. Sellel arvutusel on väärtus ainult siis, kui küsimusele, mille see lehekülg esitab, on juba võimalik rahulikult vastata.