Kennisbank

Integritet och säkerhet: vad en nivå högre egentligen kräver av er

Integritet och säkerhet är en av de sju dimensionerna i mognadsmätningen från hybridresourcing. Det är också den dimension som får flest frågor, oftast i formen: vad kostar det att stiga en nivå här. Svaret är aldrig ett belopp. Det beror på vad som redan finns, på vem som redan är med och beslutar och på hur långt resten av organisationen har kommit.

Vad denna dimension mäter

Integritet och säkerhet handlar om huruvida organisationen vet vilka uppgifter en AI-tillämpning berör, vem som får besluta om det, och om det beslutet är fastlagt eller går bra av en slump. Det är något annat än en integritetspolicy eller ett ISO-certifikat. En organisation kan vara helt compliant på papper och ändå inte ha någon aning om vad som händer så snart ett AI-verktyg behandlar kunduppgifter som ingen hade utsett som indata. Denna dimension mäter inte dokumentationen. Den mäter om organisationen kan besvara frågan innan någon ställer den.

Det gör integritet och säkerhet till en av de grundläggande dimensionerna, tillsammans med mognaden i er organisationsstruktur och läget för er IT-infrastruktur. Grundläggande dimensioner går före de beroende, inte eftersom de är viktigare utan eftersom resten lutar sig mot dem. En organisation som redan står långt när det gäller människor och kompetenser, men inte gör det inom integritet och säkerhet, bygger på ett fundament som kan förskjutas när som helst.

Vad som visar var ni står

På baseline-nivå finns ingen delad bild. Vissa i organisationen vet precis vilken data som är känslig, andra har aldrig tänkt på det, och ingen har någonsin synliggjort den skillnaden. Det är precis vad nivån baseline i praktiken innebär: inte att det inte finns något, utan att det som finns råkar stå bra till eller råkar inte göra det.

På foundation-nivå finns en första delad överenskommelse: vilka datakategorier som är känsliga, vem som beslutar om det, vad som får och inte får behandlas av ett AI-verktyg. Den överenskommelsen finns, men den följs ännu inte lika strikt överallt och inte alla känner till den. Nivån foundation i praktiken beskriver hur det första steget ser ut i andra dimensioner, och mönstret är jämförbart här: överenskommelsen finns, konsekvensen inte ännu.

Vid activation är överenskommelsen förankrad i själva processen: nya AI-tillämpningar tas endast i bruk efter att man fastställt vilken data de berör och vem som har godkänt det. Vid insight övervakas och justeras den processen utifrån vad som i praktiken går fel eller upptäcks precis i tid. Vid intelligence är frågan om data och tillstånd inte längre en separat process, utan inbyggd i hur varje ny tillämpning bedöms, av vem det än gäller.

Spridningen mellan dessa nivåer blir synlig i plot-omgången: olika personer i organisationen bedömer denna dimension separat, utan att se varandras svar. Vid integritet och säkerhet är den spridningen ofta större än vid andra dimensioner. En CISO ser processen som hon eller han själv har byggt upp och ger höga poäng. En teamledare som använder AI-verktyg utan att någonsin ha hört talas om den processen ger låga poäng. Båda svaren är sanna. Spridningen i sig är mätningen.

Vad en nivå högre kräver

Det går inte att ange ett fast belopp eller en fast tidsram, eftersom det beror på var organisationen redan står och hur komplext dess datalandskap är. Vad som är säkert är stegets karaktär. Från baseline till foundation krävs inget tekniskt projekt, utan ett samtal: vilken data är känslig, vem beslutar om det, och är svaret detsamma för alla som tillfrågas. Från foundation till activation krävs att den överenskommelsen inte längre står separat från processen, utan vävs in i den, så att en ny AI-tillämpning inte tas i bruk innan frågan om data har besvarats.

Det steget berör sällan bara integritet och säkerhet. En organisation som vill gå framåt här upptäcker ofta att frågan om vem som får besluta bara kan besvaras om det också är tydligt vem i organisationen som har vilka kompetenser för att fatta och bevaka det beslutet. Och utan en form av strukturerad bedömning av hur AI-tillämpningar presterar förblir frågan om processen fungerar obesvarad tills något går fel. De sju dimensionerna står inte fristående från varandra; de håller varandra tillbaka eller drar varandra med sig.

Vad detta inte besvarar

Denna mätning säger något om huruvida organisationen kan bära en AI-tillämpning utan att integritet och säkerhet blir den svaga punkten. Den säger ingenting om vilket arbete, vilken uppgift eller vilken del av en funktion AI kan ta över. Det är en annan fråga, med ett annat verktyg. Arbetsanalysen från FTE TO AI räknar per uppgift ut vilken del av arbetet som kan tas över, utifrån vad den uppgiften kräver och vad AI faktiskt klarar. Det resultatet är tillförlitligt först när den bärande sidan, inklusive integritet och säkerhet, är i ordning. Mognadsmätningen från hybridresourcing föregår det.

Verktyget med vilket ni själva kan genomföra denna mätning, inklusive plot-omgången med flera bedömare, är under uppbyggnad. Den som vill få besked så snart det är tillgängligt kan anmäla sig till väntelistan.