Vsaka organizacija, ki dela z AI, obdeluje podatke, ki so se prej hranili le interno ali sploh niso bili shranjeni. Prompti, nalaganja, vmesni izpisi, dnevniške datoteke modelov, ki jih sami ne gostite. Vprašanje ni, ali so v tem tveganja, temveč ali vaša organizacija ve, kje se ta tveganja nahajajo in kdo lahko glede njih ukrepa. To je drugačno vprašanje od tega, ali imate politiko zasebnosti. Politika na papirju in zrelost v praksi se pri AI pogosto precej razhajata, ker se tehnologija spreminja hitreje kot postopki, ki naj bi jo spremljali.
Zasebnost in varnost sta v meritvi zrelosti ena od sedmih dimenzij, poleg med drugim organizacije, IT-infrastrukture in upravljanja podatkov. Zadnje tri so temeljne: določajo, ali obstaja osnova, na kateri lahko preostalo gradi. Zasebnost in varnost sta od tega delno odvisni. Organizacija s šibkim upravljanjem podatkov pogosto niti ne ve, kateri podatki pridejo v neko AI-orodje, kaj šele, ali se to dogaja v skladu s pravili. Zato ima malo smisla ukvarjati se s šifriranjem ali upravljanjem dostopa, preden je jasno, kateri podatki so kje in kdo je zanje odgovoren. Vrstni red ni stvar preference; je vrstni red, v katerem stvari delujejo.
Na ravni baseline ni izrecne politike za AI in podatke. Kar se dogaja, se dogaja ad hoc, večinoma zunaj vidnega polja tistih, ki so za to odgovorni.
Na ravni foundation obstaja osnovna politika, pogosto prevzeta iz obstoječe politike zasebnosti, brez da bi bila prilagojena temu, kaj AI-orodja spremenijo. Obstaja zavedanje, ni pa nadzora.
Na ravni activation obstajajo konkretna pravila o tem, kateri podatki so dovoljeni v katerem AI-orodju, in to se tudi nadzoruje. Upravljanje dostopa in razvrščanje podatkov sta vzpostavljena, ne le opisana.
Na ravni insight postane vidno, kako se AI-orodja v praksi obnašajo: katere podatke dejansko obdelujejo, kje nastajajo odstopanja med politiko in uporabo. Obstaja spremljanje, ki nekaj prinese, ne le nadzorna plošča, ki je nihče ne pregleduje.
Na ravni intelligence je varnost vgrajena v način, kako se nova AI-orodja ocenjujejo in dopuščajo, še preden pridejo v uporabo. Ocena tveganja ni več ločen korak, temveč del načina sprejemanja odločitev.
Večina organizacij, pri katerih AI-pilotni projekti zastanejo, se ob poizvedovanju izkaže, da niha med foundation in activation: politika obstaja, a nihče ne more z gotovostjo trditi, da se jo tudi upošteva.
Obstaja nekaj znakov, ki, ne glede na kakršno koli oceno, povedo nekaj o tem, kje se nahajate. Če v vaši organizaciji nihče ne more natančno pokazati, katera AI-orodja so trenutno v uporabi, se najverjetneje nahajate na ravni baseline ali foundation. Če je to sicer znano, a se odgovor na vprašanje »kateri podatki so tam dovoljeni« razlikuje po skupinah, se nahajate na foundation ali activation. Če veste, kateri podatki so kje dovoljeni, ne veste pa, ali se to v praksi tudi dogaja, se nahajate na activation in vas čaka insight. In če se varnost samodejno upošteva pri vsaki novi uporabi, brez da bi bil za to potreben ločen postopek, se premikate proti intelligence.
Ta samoocena je indikacija, ne nadomestilo za krog izrisa. Koristnost tega kroga je ravno v tem, česar posamezna ocena ne pokaže: razpršenost. Ko CISO to dimenzijo postavi na activation, vodja oddelka pa na baseline, je ta razlika sama informacija. Pomeni, da se politika in praksa ne ujemata, ali da znanje o tem, kaj je dovoljeno in kaj ni, ni povsod enako prodrlo.
Korak od foundation do activation redko zahteva večji proračun za varnostno programsko opremo. Pogosto zahteva jasne dogovore o tem, kdo lahko odloči, da se AI-orodje uvede v uporabo, in na podlagi katerih podatkov. To se povezuje s tem, kako je urejena organizacija: brez jasnega lastnika za takšne odločitve politika ostane dokument brez uveljavljanja. Povezuje se tudi z upravljanjem podatkov, saj brez pregleda nad podatki nikoli ne morete z gotovostjo povedati, kaj neko AI-orodje dobi na vpogled. In povezuje se z etiko, ker vprašanje, kaj je dovoljeno in kaj ni pri uporabi AI, redko ostane povsem tehnično vprašanje.
Koliko stane korak višje, je odvisno od tega, kje se organizacija trenutno nahaja in kakšna osnovna struktura že obstaja. Organizacija z dobrim upravljanjem podatkov in jasno organizacijsko strukturo potrebuje za to dimenzijo razmeroma malo dodatnega dela; organizacija, ki na obeh temeljnih dimenzijah dosega nizko oceno, bo morala te najprej urediti, preden se zasebnost in varnost strukturno izboljšata. Tudi to je razlog, zakaj sedmih dimenzij ni mogoče brati ločeno: tudi ljudje in spretnosti tu igrajo vlogo, kar lahko preberete na strani o tem, kako zrelo je znanje zaposlenih o tveganjih AI, in na vprašanju, kako zrelo je urejeno upravljanje uspešnosti glede uporabe AI, saj brez spremljanja tudi najboljša varnostna politika ostane teorija.
Meritev zrelosti, vključno s krogom izrisa za to in preostalih šest dimenzij, je v izdelavi. Kdor želi meritev uporabiti takoj, ko bo na voljo, se lahko uvrsti na čakalno listo.
Ta stran obravnava, ali lahko vaša organizacija podpre AI: ali obstaja osnova za varno in odgovorno ravnanje s podatki, ko jih AI zajame. Ne obravnava, katere naloge bi AI lahko prevzel od vaših zaposlenih. Na to vprašanje odgovori delovni sken FTE TO AI, ki za vsako nalogo izračuna, kateri del je mogoče prenesti na AI. Ta izračun ima vrednost le, če je na vprašanje, ki ga zastavlja ta stran, že mogoče z zaupanjem odgovoriti.
Vraag maar wat er moet staan voordat AI in uw organisatie kan landen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.