Kennisbank

Privacidade e segurança: o que subir um nível realmente exige

Privacidade e segurança é uma das sete dimensões na medição de maturidade da hybridresourcing. É também a dimensão sobre a qual chegam mais perguntas, geralmente sob a forma de: quanto custa subir um nível aqui. A resposta nunca é um valor. Depende do que já existe, de quem já participa nas decisões e de até onde o resto da organização já chegou.

O que esta dimensão mede

Privacidade e segurança trata de saber se a organização sabe quais dados uma aplicação de IA afeta, quem pode decidir sobre isso, e se essa decisão está fixada ou funciona bem por acaso. Isso é diferente de uma declaração de privacidade ou de uma certificação ISO. Uma organização pode estar totalmente em conformidade no papel e, ainda assim, não ter ideia do que acontece quando uma ferramenta de IA processa dados de clientes que ninguém tinha designado como entrada. Esta dimensão não mede a documentação. Mede se a organização consegue responder à pergunta antes que alguém a faça.

Isso torna privacidade e segurança uma das dimensões fundamentais, juntamente com a maturidade da sua estrutura organizacional e o estado da sua infraestrutura de TI. As dimensões fundamentais vêm antes das dependentes, não porque sejam mais importantes, mas porque as outras se apoiam nelas. Uma organização que já está avançada em pessoas e competências, mas não em privacidade e segurança, está a construir sobre uma base que pode ceder em qualquer momento.

Como se vê onde a organização está

No nível baseline, não há uma imagem partilhada. Alguns na organização sabem exatamente quais dados são sensíveis, outros nunca pensaram nisso, e ninguém alguma vez expôs essa diferença. É exatamente isso que o nível baseline na prática significa: não que não exista nada, mas que o que existe está bem por acaso ou não está bem por acaso.

No nível foundation existe um primeiro acordo partilhado: quais categorias de dados são sensíveis, quem decide sobre isso, o que pode e não pode ser processado por uma ferramenta de IA. Esse acordo existe, mas ainda não é seguido com o mesmo rigor em todo o lado e nem todos o conhecem. O nível foundation na prática descreve como esse primeiro passo se apresenta noutras dimensões, e o padrão aqui é semelhante: o acordo existe, a consistência ainda não.

No nível activation, o acordo está incorporado no próprio processo: novas aplicações de IA só são usadas depois de se determinar quais dados afetam e quem aprovou isso. No nível insight, esse processo é monitorizado e ajustado com base no que corre mal na prática ou é detetado a tempo. No nível intelligence, a questão sobre dados e autorização já não é um processo separado, mas está incorporada na forma como cada nova aplicação é avaliada, seja por quem for.

A dispersão entre estes níveis torna-se visível na ronda de plotagem: várias pessoas na organização pontuam esta dimensão separadamente, sem ver a resposta uns dos outros. Em privacidade e segurança, essa dispersão é muitas vezes maior do que em outras dimensões. Um CISO vê o processo que ele próprio criou e pontua alto. Um líder de equipa que usa ferramentas de IA sem nunca ter ouvido falar desse processo pontua baixo. Ambas as respostas são verdadeiras. A própria dispersão é a medição.

O que subir um nível exige

Não é possível indicar um valor fixo ou um prazo fixo, pois isso depende de onde a organização já está e da complexidade do seu panorama de dados. O que está estabelecido é a natureza do passo. Passar de baseline para foundation não exige um projeto técnico, mas uma conversa: quais dados são sensíveis, quem decide sobre isso, e essa resposta é a mesma para todos a quem é perguntada. Passar de foundation para activation exige que esse acordo deixe de estar separado do processo e passe a estar entrelaçado com ele, de modo que uma nova aplicação de IA não entre em uso antes de a questão sobre dados estar respondida.

Esse passo raramente afeta apenas privacidade e segurança. Uma organização que quer avançar aqui frequentemente descobre que a questão de quem pode decidir só pode ser respondida se também estiver claro quem na organização tem quais competências para tomar essa decisão e monitorizá-la. E sem alguma forma de avaliação estrutural de como as aplicações de IA desempenham, a questão de saber se o processo funciona fica sem resposta até que algo corra mal. As sete dimensões não são independentes entre si; elas travam-se ou impulsionam-se mutuamente.

O que isto não responde

Esta medição diz algo sobre se a organização pode suportar uma aplicação de IA sem que privacidade e segurança se tornem o ponto fraco. Não diz nada sobre qual trabalho, qual tarefa ou qual parte de uma função a IA pode assumir. Essa é uma pergunta diferente, com um instrumento diferente. O scan de trabalho da FTE TO AI calcula, por tarefa, qual parte do trabalho pode ser assumida, com base no que essa tarefa exige e no que a IA realmente consegue fazer. Esse resultado só é fiável quando o lado que suporta, incluindo privacidade e segurança, está em ordem. A medição de maturidade da hybridresourcing precede isso.

A ferramenta com a qual pode percorrer esta medição por conta própria, incluindo a ronda de plotagem com múltiplos avaliadores, está em construção. Quem quiser receber um aviso quando estiver disponível pode inscrever-se na lista de espera.