Det problem med AI-datastyring, som driftsledere ikke kan ignorere
Bed fem personer om at definere "datastyring", og du får fem forskellige svar. Tim Fisher, DPM's VP for AI, er ikke overrasket over det. "Jeg ved ikke, om der findes en virkelig etableret definition, som alle virksomheder [bruger]," siger han. "For nogle mennesker betyder det, at det juridiske team fortæller dem, hvad de må og ikke må gøre, mens det betyder noget helt andet i andre dele af organisationen."
I denne artikel bruger vi begrebet på den måde, Fisher gør, når han bliver bedt om at definere det præcist: det politiske og juridiske lag, der bestemmer, hvem der må få adgang til data, på hvilket samtykkegrundlag og underlagt hvilke regler — ikke hvorvidt selve dataene er korrekte, aktuelle eller velorganiserede. Det andet spørgsmål er reelt, og det er et andet fagområde med andre løsninger; vi behandler det separat. Denne artikel handler om det politiske spørgsmål, og hvorfor det ikke kan vente.
Hvor begrebet faktisk hører hjemme: overlappet mellem jura og drift
Når Fisher indsnævrer definitionen, ender han et bestemt sted i organisationsdiagrammet. "Jeg tænker på datastyring som noget, der i højere grad handler om politikkerne og principperne," siger han — og i en større virksomhed placerer han det helt præcist: "Den slags overlap i Venndiagrammet mellem jura og dataoperationsafdelingen."
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Jeg tænker på datastyring som noget, der i højere grad handler om politikkerne og principperne. Den slags overlap i Venndiagrammet mellem jura og dataoperationsafdelingen.
Det overlap er ikke abstrakt. Fisher peger på en langt ældre og meget konkret årsag til, at virksomheder overhovedet opbygger disse strukturer: værdipapirlovgivningen. "I USA fastsætter Securities and Exchange Commission meget strenge regler for, hvad der må og ikke må siges eller deles af meget indlysende årsager, med insiderhandel og den slags," siger han.
"Så det er en grund til, at en virksomhed har brug for datastyring." Han knytter det direkte til virksomhedens vækstfase — overgangen fra privat til børsnoteret virksomhed er ofte det tidspunkt, hvor datastyring ophører med at være valgfri, fordi eksterne konsulenter bliver hentet ind specifikt for at opbygge de strukturer, som en børsnoteret virksomhed er juridisk forpligtet til at have.
Det er den del, der er værd at dvæle ved, før man går videre: Datastyring eksisterede som et ufravigeligt juridisk krav længe før AI dukkede op. Det, der har ændret sig, er hastigheden og risikoområdets omfang — og det er her, det bliver presserende for alle, der driver driften i dag.
Hvorfor AI gør dette til en mere presserende bekymring for driftsledere
Virksomheder har altid haft data, som de ikke burde dele uforsigtigt. Det nye er, hvor nemt det nu er at dele dem, uden at nogen træffer en bevidst beslutning om det. Fishers tydeligste eksempel er en indstilling, som de fleste medarbejdere er gået forbi uden at lægge mærke til den: "Den lille til/fra-knap, som de aldrig har set, og som er gemt fem lag nede på indstillingssiden, og som giver OpenAI eller Anthropic adgang til alle disse data for at træne deres algoritmer," siger han. Ingen behøver have til hensigt at lække noget. Det er nok, at standardindstillingen ikke bliver ændret.
Det er mekanismen bag de fleste datastyringsfejl i AI-æraen: Teams, der "kaster" fortrolige oplysninger eller HR-oplysninger ind i LLM'er "uden at forstå", hvad de faktisk har givet samtykke til, fordi ingen har opbygget det politiske lag, der kunne have markeret problemet, før det opstod. Fisher er klar i mælet om, at dette ikke er en sjælden fejl — "vi har alle hørt skrækhistorier om kildekode, der er blevet vist til de forkerte mennesker. Det kan ske."
Spændingen er strukturel, ikke et resultat af manglende forsigtighed. "Man befinder sig i denne akavede situation, hvor man er i vækst," siger Fisher. "Man føler behov for nogle regler, men man ønsker ikke at lægge for mange begrænsninger på sine teams." Enhver driftsleder, der forsøger at afveje implementering af AI over for sikkerhed, befinder sig præcis i dette tomrum — og AI skabte ikke den underliggende juridiske eksponering; det gjorde bare risikoen mulig at udløse ved et uheld, i stor skala og via en indstillingsmenu, som ingen læste.
Man befinder sig i denne akavede situation, hvor man er i vækst. Man føler behov for nogle regler, men man ønsker ikke at lægge for mange begrænsninger på sine teams.
Hvor driftsledere faktisk er udsatte
De vigtigste fokusområder for driftsledere er:
- Medarbejdernes personoplysninger. Bemandingsplaner, HR-oplysninger og præstationsdata, som kan ende i kontekstvinduet i et AI-værktøj, uden at nogen faktisk har givet samtykke til, at de skulle være der.
- Finansielle oplysninger og oplysninger, der er følsomme i forbindelse med offentliggørelse. Væsentlige ikke-offentlige oplysninger, regnskabsdata og alt, der ville udløse bekymringer om offentliggørelse til SEC, hvis det lækkede eller nåede frem til den forkerte person på det forkerte tidspunkt.
- Fortrolige oplysninger og oplysninger, der er følsomme i forhold til immaterielle rettigheder (herunder kildekode). En ren risiko for adgangskontrol og fortrolighed — adskilt fra værdipapirregulering — men med samme underliggende mekanisme som enhver anden AI-standardindstilling uden overvågning.
- Data om kundeprojekter. Fortrolige kundeoplysninger, der køres gennem AI-værktøjer uden klarhed om kontrakt eller samtykke, indebærer den samme eksponering, selv uden at der endnu er registreret et konkret brud.
More Articles
- Privatliv gennem design: Sådan opbygger du en AI-strategi, der ikke kompromitterer tilliden
- PMO-leder drøfter, hvordan man forhindrer AI i at skabe hurtigere kaos i stedet for bedre eksekvering
- Ekspert i projektleverancer gennemgår betingelserne for en vellykket integration af AI
- Kompetencekløften inden for AI: Sådan lukker organisationer og ledere den
- Senior IT-projektleder siger, at projektledere skal fokusere på de menneskelige interaktioner, som algoritmer ikke kan berøre
De fleste virksomheder har intet af dette
På trods af de store konsekvenser siger Fisher uden omsvøb, at mange organisationer arbejder helt uden et politisk lag. "Masser af organisationer har slet ingen datastyring," siger han.
Han har set dette udspille sig fra begge sider. I en større og mere etableret virksomhed så han, at datastyring "blev taget meget alvorligt over en lang periode", i en sådan grad, at den blev stadig mere konservativ — og stadig sværere at ændre. Mindre virksomheder i hurtig vækst har det modsatte problem: ikke for meget forsigtighed, men slet ingen, oven i presset for at bevæge sig hurtigt.
Hvad leveranceledere bør tage med sig
Du behøver ikke opbygge en komplet styringsramme for at tage det første skridt. Begynd med noget småt og konkret: Gå ind i en indstillingsmenu. Fishers eksempel med en kontakt er reelt og nemt at finde — undersøg, om din organisations AI-værktøjer som standard er indstillet til at træne på jeres data, og hvem der har godkendt det. Det er en samtale, du kan tage i denne uge, ikke et projekt.
Det er dog værd at holde en reel spænding, som Fisher rejser, op mod dette: Adgangsbegrænsning er ikke automatisk det sikre valg. "Selv i organisationer, hvor data er let tilgængelige, bliver de ofte stadig betragtet som fortrolige, selv når de ikke behøver at være det," siger han — og at låse ting ned som standard kan stille og roligt koste en virksomhed lige så meget som at lade dem stå helt åbne, blot mindre synligt. "Du kommer ikke til at gøre fremskridt med at ændre det, hvis du ikke ændrer, hvem der har adgang til dine data i din organisation." God datastyring handler ikke kun om, at færre mennesker rører ved data — det handler om, at de rigtige mennesker med vilje rører ved de rigtige data.
Selv i organisationer, hvor data er let tilgængelige, bliver de ofte stadig betragtet som fortrolige, selv når de ikke behøver at være det.
I praksis betyder det nogle få konkrete tiltag, ikke en mappe med politikker:
- Tag samtalen nu, før en hændelse tvinger jer til det. Spørg, hvilke teams der allerede bruger AI-værktøjer, og hvordan — de fleste driftsledere er bagud med dette, simpelthen fordi ingen har spurgt.
- Start med værktøjer, der bruges i hele organisationen. Uanset hvilke AI-platforme der er godkendt på virksomhedsniveau, skal I bekræfte standardindstillingen for træningsdata og finde ud af, hvem der har indsigt i det, der flyder gennem dem.
- Ignorér ikke personlig eller uofficiel brug af værktøjer. Den største risiko er ofte det AI-værktøj, som ingen har godkendt — nogen indsætter kundenotater i en personlig ChatGPT-konto, fordi det godkendte værktøj er langsommere. At få det frem i lyset handler ikke om straf, men om at vide, hvor jeres eksponering faktisk er.
- Indarbejd gennemgangen af adgange i den samme samtale, ikke i en separat. Mens I kontrollerer standardindstillinger og brug af AI-værktøjer, skal I spørge, hvem der begrænser adgangen til data, der ikke behøver at være begrænset adgang til. At stramme én dør, mens en anden står helt åben, er ikke datastyring — det er skuespil.
- Træn folk i at genkende følsomme data, ikke bare i at følge regler. De fleste medarbejdere er aldrig blevet bedt om at overveje, hvad der tæller som følsomt — kundeoplysninger, HR-oplysninger, finansielle oplysninger — eller hvad der kan gå galt, hvis det ender i et ureguleret værktøj. En politik, der fortæller folk, hvad de ikke må gøre, betyder mindre end at folk rent faktisk genkender risikoen foran sig.
Intet af dette kræver, at teams sænker tempoet for at gøre det rigtigt. Det kræver, at I ved, hvor jeres data bevæger sig hen, hvem der besluttede det, og om svaret stadig er ja.
Vil du have flere indsigter som disse? Tilmeld dig en gratis DPM-konto for at høre fra flere eksperter som disse.
