Kuinka kypsä on tietosuojanne ja tietoturvanne tekoälyn suhteen

Jokainen tekoälyä käyttävä organisaatio käsittelee dataa, jota aiemmin säilytettiin vain sisäisesti tai ei säilytetty lainkaan. Kehotteita, latauksia, väliaikaista tulostetta, lokitiedostoja malleista, joita ette itse isännöi. Kysymys ei ole siitä, sisältyykö niihin riskejä, vaan siitä, tietääkö organisaationne missä nämä riskit sijaitsevat ja kuka voi tehdä niille jotain. Se on eri kysymys kuin se, onko teillä tietosuojakäytäntö. Paperilla oleva käytäntö ja käytännön kypsyys eroavat tekoälyn kohdalla usein huomattavasti, koska teknologia muuttuu nopeammin kuin sitä ohjaavat menettelyt.

Miksi tämä ulottuvuus lasketaan mukaan kypsyysmittauksessa

Tietosuoja ja tietoturva ovat kypsyysmittauksessa yksi seitsemästä ulottuvuudesta, muiden muassa organisaation, IT-infrastruktuurin ja tiedonhallinnan ohella. Nämä kolme viimeksi mainittua ovat perustavanlaatuisia: ne määrittävät, on olemassa perusta, jonka päälle muu voidaan rakentaa. Tietosuoja ja tietoturva ovat siitä osittain riippuvaisia. Organisaatio, jonka tiedonhallinta on heikkoa, ei usein tiedä edes minkälaista dataa tekoälysovellukseen päätyy, puhumattakaan siitä, tapahtuuko se sääntöjen mukaisesti. Siksi on turha hienosäätää salausta tai käyttöoikeuksien hallintaa ennen kuin on selvää, mitä dataa on missä ja kuka siitä vastaa. Järjestys ei ole mieltymyskysymys; se on järjestys, jossa se toimii.

Viisi tasoa sovellettuna tietosuojaan ja tietoturvaan

Perustasolla (baseline) ei ole olemassa nimenomaista käytäntöä tekoälylle ja datalle. Se, mitä tapahtuu, tapahtuu ad hoc -pohjalta, useimmiten siitä vastuussa olevien näkymättömissä.

Perustustasolla (foundation) on olemassa perustavanlaatuinen käytäntö, joka on usein omaksuttu suoraan olemassa olevasta tietosuojakäytännöstä räätälöimättä sitä siihen, mikä tekoälysovelluksissa on erilaista. Tietoisuutta on, mutta valvontaa ei.

Aktivointitasolla (activation) on konkreettiset säännöt siitä, mitä dataa mihin tekoälysovellukseen saa syöttää, ja niitä valvotaan. Käyttöoikeuksien hallinta ja datan luokittelu on toteutettu, ei vain kuvattu.

Oivallustasolla (insight) tulee näkyväksi, miten tekoälysovellukset käyttäytyvät käytännössä: mitä dataa ne todella käsittelevät, missä syntyy poikkeamia käytännön ja käytön välillä. Seuranta tuottaa jotain, ei ole vain kojelauta, jota kukaan ei katso.

Älykkyystasolla (intelligence) tietoturva on sisäänrakennettu tapaan, jolla uudet tekoälysovellukset arvioidaan ja hyväksytään, ennen kuin ne otetaan käyttöön. Riskinarviointi ei ole enää erillinen vaihe, vaan osa sitä, miten päätökset tehdään.

Usein käy ilmi, että organisaatiot, joiden tekoälypilotit jäävät jumiin, leijuvat perustus- ja aktivointitason välillä: käytäntö on olemassa, mutta kukaan ei voi varmuudella sanoa, noudatetaanko sitä.

Mistä sen huomaa, ilman että mittaa sitä

Muutama merkki kertoo, erillään mistään pisteytyksestä, jotain siitä missä olette. Jos kukaan organisaatiossanne ei osaa tarkalleen osoittaa, mitkä tekoälysovellukset ovat juuri nyt käytössä, olette todennäköisesti perustasolla tai perustustasolla. Jos tämä tiedetään, mutta vastaus kysymykseen "mitä dataa siihen saa syöttää" vaihtelee tiimeittäin, olette perustustasolla tai aktivointitasolla. Jos tiedätte, mitä dataa saa syöttää minne, mutta ette tiedä, tapahtuuko se käytännössä myös näin, olette aktivointitasolla ja oivallustaso odottaa teitä. Ja jos tietoturva otetaan oletusarvoisesti huomioon jokaisessa uudessa sovelluksessa, ilman että se vaatii erillistä prosessia, olette liikkeessä kohti älykkyystasoa.

Tämä itsearviointi on suuntaa antava, ei korvaa plottauskierrosta. Kierroksen hyöty piilee juuri siinä, mitä yksittäinen arviointi ei näytä: hajonta. Kun tietoturvajohtaja (CISO) sijoittaa tämän ulottuvuuden aktivointitasolle ja osastopäällikkö perustasolle, tuo ero itsessään on tietoa. Se tarkoittaa, että käytäntö ja käytäntö eivät kohtaa, tai että tieto siitä, mikä on sallittua ja mikä ei, ei ole levinnyt kaikkialle yhtä pitkälle.

Mitä taso ylemmäs vaatii

Siirtyminen perustustasolta aktivointitasolle vaatii harvoin suurempaa budjettia tietoturvaohjelmistoille. Usein se vaatii selkeitä sopimuksia siitä, kuka saa päättää, että tekoälysovellus otetaan käyttöön, ja millä datalla. Tämä liittyy siihen, miten organisaatio on järjestetty: ilman selkeää omistajaa tällaisille päätöksille käytäntö jää asiakirjaksi vaille valvontaa. Se liittyy myös tiedonhallintaan, koska ilman kokonaiskuvaa datastanne ette voi koskaan varmuudella sanoa, mitä tekoälysovellus näkee. Ja se liittyy etiikkaan, koska kysymys siitä, mikä on sallittua ja mikä ei tekoälyn käytössä, osoittautuu harvoin puhtaasti tekniseksi kysymykseksi.

Se, mitä taso ylemmäs maksaa, riippuu siitä, missä organisaatio nyt on ja mitä perusrakennetta on jo olemassa. Organisaatiolla, jolla on hyvä tiedonhallinta ja selkeä organisaatiorakenne, on tämän ulottuvuuden osalta suhteellisen vähän lisätyötä; organisaation, joka saa alhaisen pisteytyksen molemmissa perustavanlaatuisissa ulottuvuuksissa, on ensin puututtava niihin ennen kuin tietosuoja ja tietoturva paranevat rakenteellisesti. Tämäkin on syy siihen, miksi seitsemää ulottuvuutta ei voi lukea toisistaan erillään: ihmiset ja osaaminen näyttelevät tässäkin osaa, mistä voitte lukea sivulla siitä, kuinka kypsää työntekijöiden tietämys tekoälyriskeistä on, ja kysymyksestä, kuinka kypsästi tekoälyn käyttöön liittyvä suorituksenhallinta on järjestetty, sillä ilman seurantaa parhainkin tietoturvakäytäntö jää teoriaksi.

Kypsyysmittaus, mukaan lukien plottauskierros tälle ja muille kuudelle ulottuvuudelle, on rakenteilla. Ne, jotka haluavat käyttää mittausta sen valmistuessa, voivat liittyä odotuslistalle.

Mihin tämä ulottuvuus ei vastaa