Varje organisation som arbetar med AI hanterar data som tidigare bara sparades internt eller inte alls. Prompter, uppladdningar, mellanliggande output, loggfiler från modeller som ni själva inte hostar. Frågan är inte om det finns risker i det, utan om er organisation vet var dessa risker finns och vem som kan göra något åt dem. Det är en annan fråga än om ni har en integritetspolicy. Policy på papper och mognad i praktiken går vid AI ofta rejält isär, eftersom tekniken förändras snabbare än procedurerna som ska styra den.
Integritet och säkerhet är i mognadsmätningen en av de sju dimensionerna, tillsammans med bland annat organisation, IT-infrastruktur och datahantering. De sistnämnda tre är grundläggande: de avgör om det finns en bas att bygga vidare på. Integritet och säkerhet är delvis beroende av det. En organisation med svag datahantering vet ofta inte ens vilken data som hamnar i en AI-tillämpning, än mindre om det sker enligt reglerna. Därför är det meningslöst att pyssla med kryptering eller åtkomsthantering innan det är klart vilken data som finns var och vem som är ansvarig för den. Ordningen är inte en fråga om preferens; det är den ordning i vilken det fungerar.
På baseline-nivå finns ingen uttalad policy för AI och data. Det som sker, sker ad hoc, för det mesta utom synhåll för den som är ansvarig för det.
På foundation-nivå finns en grundläggande policy, ofta övertagen från befintlig integritetspolicy utan att den är anpassad till vad AI-tillämpningar gör annorlunda. Det finns medvetenhet, men ingen kontroll.
På activation-nivå finns konkreta regler för vilken data som får finnas i vilken AI-tillämpning, och det övervakas. Åtkomsthantering och klassificering av data är inrättade, inte bara beskrivna.
På insight-nivå blir det synligt hur AI-tillämpningar beter sig i praktiken: vilken data de faktiskt bearbetar, var avvikelser uppstår mellan policy och användning. Det finns övervakning som ger resultat, inte bara en dashboard som ingen tittar på.
På intelligence-nivå är säkerhet inbyggd i sättet som nya AI-tillämpningar bedöms och godkänns, innan de tas i bruk. Riskbedömning är inte längre ett separat steg utan en del av hur beslut fattas.
De flesta organisationer som ser sina AI-pilotprojekt fastna visar sig vid närmare undersökning sväva mellan foundation och activation: det finns policy, men ingen kan med säkerhet säga om den följs.
Det finns några tecken som, oberoende av varje poäng, säger något om var ni står. Om ingen i er organisation exakt kan peka ut vilka AI-tillämpningar som just nu är i bruk, står ni troligen på baseline eller foundation. Om det är känt men svaret på "vilken data får finnas där" skiljer sig per team, befinner ni er på foundation eller activation. Om ni vet vilken data som får finnas var, men inte vet om det också sker så i praktiken, står ni på activation och insight väntar på er. Och om säkerhet som standard tas med vid varje ny tillämpning, utan att det krävs ett separat spår för det, rör ni er mot intelligence.
Denna självbedömning är en indikation, inte en ersättning för plot-rundan. Nyttan med den rundan ligger just i det som en individuell bedömning inte visar: spridningen. När en CISO placerar denna dimension på activation och en avdelningschef på baseline, är den skillnaden i sig informationen. Det betyder att policy och praktik inte stämmer överens med varandra, eller att kunskapen om vad som är tillåtet och inte inte har trängt lika djupt in överallt.
Steget från foundation till activation kräver sällan en större budget för säkerhetsprogramvara. Ofta kräver det tydliga överenskommelser om vem som får besluta att en AI-tillämpning tas i bruk, och baserat på vilken data. Det berör hur organisation är inrättad: utan en klar ägare för sådana beslut förblir policy ett dokument utan efterlevnad. Det berör också datahantering, eftersom ni utan överblick över er data aldrig med säkerhet kan säga vad en AI-tillämpning får se. Och det berör etik, eftersom frågan om vad som är tillåtet och inte med AI-användning sällan visar sig vara en renodlat teknisk fråga.
Vad ett steg högre kostar beror på var organisationen står nu och vilken grundstruktur som redan finns. En organisation med god datahantering och en tydlig organisationsstruktur behöver relativt lite extra arbete för denna dimension; en organisation som ligger lågt på båda de grundläggande dimensionerna måste först ta hand om dem innan integritet och säkerhet förbättras strukturellt. Även det är en anledning till att de sju dimensionerna inte kan läsas separat från varandra: människor och färdigheter spelar också en roll här, vilket ni kan läsa om på sidan om hur mogen medarbetarnas kunskap om AI-risker är, och på frågan hur moget prestationsstyrning kring AI-användning är inrättat, eftersom även den bästa säkerhetspolicyn förblir teori utan uppföljning.
Mognadsmätningen, inklusive plot-rundan för denna och de andra sex dimensionerna, är under uppbyggnad. Den som vill använda mätningen så snart den blir tillgänglig kan sätta sig på väntelistan.
Denna sida handlar om huruvida er organisation kan bära AI: om grunden finns för att hantera data säkert och ansvarsfullt så snart AI berör den datan. Den handlar inte om vilka uppgifter AI skulle kunna ta över från era medarbetare. Den frågan besvarar arbetsskanningen från FTE TO AI, som för varje uppgift beräknar vilken del av den som kan överföras till AI. Den beräkningen har bara värde om frågan som denna sida ställer redan kan besvaras med lugn i sinnet.
Vraag maar wat er moet staan voordat AI in uw organisatie kan landen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.