Privacy en beveiliging is een van de zeven dimensies in de volwassenheidsmeting van hybridresourcing. Het is ook de dimensie waarover de meeste vragen binnenkomen, meestal in de vorm van: wat kost het om hier een niveau te stijgen. Het antwoord is nooit een bedrag. Het hangt af van wat er al staat, van wie er al over meebeslist en van hoe ver de rest van de organisatie is.
Privacy en beveiliging gaat over of de organisatie weet welke gegevens een AI-toepassing raakt, wie daarover mag beslissen, en of die beslissing vastligt of bij toeval goed gaat. Dat is iets anders dan een privacyverklaring of een ISO-certificaat. Een organisatie kan op papier volledig compliant zijn en toch geen idee hebben wat er gebeurt zodra een AI-tool klantgegevens verwerkt die niemand had aangewezen als invoer. Deze dimensie meet niet de documentatie. Ze meet of de organisatie de vraag kan beantwoorden voordat iemand hem stelt.
Dat maakt privacy en beveiliging een van de fundamentele dimensies, samen met de volwassenheid van uw organisatiestructuur en de staat van uw IT-infrastructuur. Fundamentele dimensies gaan voor de afhankelijke, niet omdat ze belangrijker zijn maar omdat de rest erop leunt. Een organisatie die op mensen en vaardigheden al ver staat, maar op privacy en beveiliging niet, bouwt op een fundament dat op elk moment kan verschuiven.
Op baseline-niveau is er geen gedeeld beeld. Sommigen in de organisatie weten precies welke data gevoelig is, anderen hebben daar nooit bij stilgestaan, en niemand heeft dat verschil ooit blootgelegd. Dat is precies wat het niveau baseline in de praktijk betekent: niet dat er niets is, maar dat wat er is toevallig goed staat of toevallig niet.
Op foundation-niveau is er een eerste gedeelde afspraak: welke categorieën data gevoelig zijn, wie daarover beslist, wat wel en niet door een AI-tool mag worden verwerkt. Die afspraak is er, maar ze wordt nog niet overal even strikt gevolgd en niet iedereen kent haar. Het niveau foundation in de praktijk beschrijft hoe die eerste stap er in andere dimensies uitziet, en het patroon is hier vergelijkbaar: de afspraak bestaat, de consistentie nog niet.
Bij activation is de afspraak verankerd in het proces zelf: nieuwe AI-toepassingen worden pas gebruikt nadat is vastgesteld welke data ze raken en wie dat heeft goedgekeurd. Bij insight wordt dat proces bewaakt en bijgesteld op basis van wat er in de praktijk misgaat of net op tijd wordt opgemerkt. Bij intelligence is de vraag naar data en toestemming geen apart proces meer, maar ingebakken in hoe elke nieuwe toepassing wordt beoordeeld, door wie dan ook.
De spreiding tussen deze niveaus wordt zichtbaar in de plot-ronde: verschillende mensen in de organisatie scoren deze dimensie apart, zonder elkaars antwoord te zien. Bij privacy en beveiliging is die spreiding vaak groter dan bij andere dimensies. Een CISO ziet het proces dat hij zelf heeft opgezet en scoort hoog. Een teamlead die AI-tools gebruikt zonder ooit van dat proces te hebben gehoord, scoort laag. Beide antwoorden zijn waar. De spreiding zelf is de meting.
Er is geen vast bedrag of een vaste doorlooptijd te noemen, want dat hangt af van waar de organisatie al staat en hoe complex haar datalandschap is. Wat wel vaststaat is de aard van de stap. Van baseline naar foundation vraagt geen technisch project, maar een gesprek: welke data is gevoelig, wie beslist daarover, en is dat antwoord hetzelfde voor iedereen die het gevraagd wordt. Van foundation naar activation vraagt dat die afspraak niet meer los staat van het proces, maar erin verweven wordt, zodat een nieuwe AI-toepassing niet in gebruik gaat voordat de vraag over data is beantwoord.
Die stap raakt zelden alleen privacy en beveiliging. Een organisatie die hier vooruit wil, ontdekt vaak dat de vraag wie mag beslissen alleen te beantwoorden is als ook duidelijk is wie in de organisatie welke vaardigheden heeft om die beslissing te nemen en te bewaken. En zonder een vorm van structurele beoordeling van hoe AI-toepassingen presteren, blijft de vraag of het proces werkt onbeantwoord tot er iets misgaat. De zeven dimensies staan niet los van elkaar; ze houden elkaar tegen of trekken elkaar mee.
Deze meting zegt iets over of de organisatie een AI-toepassing kan dragen zonder dat privacy en beveiliging het zwakke punt worden. Ze zegt niets over welk werk, welke taak of welk deel van een functie AI kan overnemen. Dat is een andere vraag, met een ander instrument. De werkscan van FTE TO AI rekent per taak uit welk deel van het werk over te nemen is, op basis van wat die taak vraagt en wat AI daadwerkelijk kan. Die uitkomst is pas betrouwbaar wanneer de dragende kant, inclusief privacy en beveiliging, op orde is. De volwassenheidsmeting van hybridresourcing gaat daaraan vooraf.
De tool waarmee u deze meting zelf kunt doorlopen, inclusief de plot-ronde met meerdere beoordelaars, is in aanbouw. Wie hierover bericht wil ontvangen zodra hij beschikbaar is, kan zich aanmelden voor de wachtlijst.
Vraag maar wat er moet staan voordat AI in uw organisatie kan landen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.