Kennisbank

Privacy e sicurezza: cosa richiede realmente salire di un livello

Privacy e sicurezza è una delle sette dimensioni della misurazione della maturità di hybridresourcing. È anche la dimensione su cui arrivano più domande, di solito nella forma: quanto costa salire di un livello su questo punto. La risposta non è mai una cifra. Dipende da cosa è già in atto, da chi già decide in merito e da quanto è avanti il resto dell'organizzazione.

Cosa misura questa dimensione

Privacy e sicurezza riguarda il fatto che l'organizzazione sappia quali dati un'applicazione di AI coinvolge, chi ha il potere di decidere in merito, e se quella decisione è fissata o va bene per caso. Questo è diverso da una dichiarazione sulla privacy o da una certificazione ISO. Un'organizzazione può essere pienamente conforme sulla carta e non avere comunque idea di cosa succede quando uno strumento di AI elabora dati dei clienti che nessuno aveva designato come input. Questa dimensione non misura la documentazione. Misura se l'organizzazione può rispondere alla domanda prima che qualcuno la ponga.

Ciò rende privacy e sicurezza una delle dimensioni fondamentali, insieme a la maturità della struttura organizzativa e lo stato della sua infrastruttura IT. Le dimensioni fondamentali vengono prima di quelle dipendenti, non perché siano più importanti ma perché il resto si appoggia su di esse. Un'organizzazione già avanti su persone e competenze, ma non su privacy e sicurezza, costruisce su una base che può spostarsi in qualsiasi momento.

Come si vede a che punto si trova

Al livello baseline non c'è una visione condivisa. Alcuni nell'organizzazione sanno esattamente quali dati sono sensibili, altri non ci hanno mai pensato, e nessuno ha mai portato alla luce questa differenza. Questo è esattamente ciò che significa il livello baseline nella pratica: non che non ci sia nulla, ma che quello che c'è va bene per caso o per caso non va bene.

Al livello foundation esiste un primo accordo condiviso: quali categorie di dati sono sensibili, chi decide in merito, cosa può e cosa non può essere elaborato da uno strumento di AI. Quell'accordo c'è, ma non viene ancora seguito ovunque con lo stesso rigore e non tutti lo conoscono. Il livello foundation nella pratica descrive come si presenta questo primo passo in altre dimensioni, e qui il modello è simile: l'accordo esiste, la coerenza non ancora.

Al livello activation l'accordo è radicato nel processo stesso: le nuove applicazioni di AI vengono usate solo dopo aver stabilito quali dati coinvolgono e chi lo ha approvato. Al livello insight quel processo viene monitorato e adeguato in base a ciò che nella pratica va storto o viene notato appena in tempo. Al livello intelligence la questione dei dati e del consenso non è più un processo separato, ma è incorporata nel modo in cui ogni nuova applicazione viene valutata, da chiunque.

La dispersione tra questi livelli diventa visibile nel giro di valutazione: persone diverse all'interno dell'organizzazione valutano questa dimensione separatamente, senza vedere la risposta degli altri. Per privacy e sicurezza questa dispersione è spesso maggiore che per altre dimensioni. Un CISO vede il processo che ha creato lui stesso e attribuisce un punteggio alto. Un team leader che usa strumenti di AI senza aver mai sentito parlare di quel processo attribuisce un punteggio basso. Entrambe le risposte sono vere. La dispersione stessa è la misurazione.

Cosa richiede salire di un livello

Non è possibile indicare una cifra fissa o una durata fissa, perché dipende da dove si trova già l'organizzazione e da quanto è complesso il suo panorama dei dati. Ciò che invece è certo è la natura del passo. Da baseline a foundation non richiede un progetto tecnico, ma una conversazione: quali dati sono sensibili, chi decide in merito, e se questa risposta è la stessa per chiunque venga interrogato. Da foundation a activation richiede che quell'accordo non resti separato dal processo, ma venga intrecciato in esso, in modo che una nuova applicazione di AI non venga messa in uso prima che la domanda sui dati abbia trovato risposta.

Questo passo riguarda raramente solo privacy e sicurezza. Un'organizzazione che vuole avanzare su questo punto scopre spesso che la domanda su chi ha il potere di decidere può trovare risposta solo se è chiaro anche chi nell'organizzazione possiede quali competenze per prendere e vigilare quella decisione. E senza una forma di valutazione strutturale di come le applicazioni di AI si comportano, la domanda se il processo funzioni resta senza risposta finché qualcosa non va storto. Le sette dimensioni non sono separate tra loro; si frenano a vicenda o si tirano avanti a vicenda.

Cosa non risponde a questo

Questa misurazione dice qualcosa sul fatto che l'organizzazione possa sostenere un'applicazione di AI senza che privacy e sicurezza diventino il punto debole. Non dice nulla su quale lavoro, quale compito o quale parte di una funzione l'AI possa rilevare. Questa è un'altra domanda, con un altro strumento. La scansione del lavoro di FTE TO AI calcola per ogni compito quale parte del lavoro può essere rilevata, sulla base di ciò che quel compito richiede e di ciò che l'AI può effettivamente fare. Quel risultato è affidabile solo quando il lato portante, inclusi privacy e sicurezza, è a posto. La misurazione della maturità di hybridresourcing precede tutto questo.

Lo strumento con cui potrà svolgere autonomamente questa misurazione, incluso il giro di valutazione con più valutatori, è in fase di realizzazione. Chi desidera essere avvisato non appena sarà disponibile può iscriversi alla lista d'attesa.