Privatliv gennem design: Sådan opbygger du en AI-strategi, der ikke kompromitterer tilliden
Denne artikel er tilpasset episoden "En AI-strategi med privatliv i centrum: Sådan ser den ud, og hvorfor den er vigtig" i DPM-podcasten.
Fordelen ved regulering: Regulerede brancher kan genbruge etablerede praksisser for styring, compliance og håndtering af hændelser til at implementere AI på ansvarlig vis.
Opdeling af risici: Ved at adskille interne værktøjer fra produktfunktioner kan organisationer vurdere AI-risici, kontroller og ansvarlighed mere præcist.
Privatliv først: En AI-strategi med privatliv som førsteprioritet beskytter persondata, fortrolige oplysninger og sikkerhed, samtidig med at den tydeliggør den forventede forretningsværdi.
Delt ejerskab: Organisationer bør definere deres syn på dataejerskab, før de fastlægger etiske principper eller udformer AI-politikker.
Praktisk ansvarlighed: Tværfaglige teams, risikomatricer, medarbejderuddannelse og grundig kontrol af leverandører hjælper med at forhindre genveje og understøtter velovervejede beslutninger.
De fleste antager, at stærkt regulerede brancher — finansielle tjenester, sundhedspleje, energi og telekommunikation — er dømt til at bevæge sig langsomt inden for AI, tynget af bureaukrati, mens mindre regulerede sektorer suser fremad. Ifølge Lauren Wallace, strategisk rådgiver og tidligere juridisk chef hos RadarFirst, vender denne antagelse tingene på hovedet.
Wallace, som har haft roller inden for jura og forretningsudvikling hos Apple, Microsoft og Nike, argumenterer for, at regulerede virksomheder faktisk har et forspring, når det gælder om at opbygge kompatible og ansvarlige AI-programmer. Denne artikel gennemgår hendes ramme for en AI-strategi med privatliv i centrum: hvordan den ser ud på komponentniveau, hvordan man skaber opbakning i organisationen, og hvor de største risici — og muligheder — faktisk ligger.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Hvorfor regulerede brancher måske allerede har et forspring
De grundlæggende principper bag AI-styring — gennemsigtighed, ansvarlighed og overvågning af bias — er ikke nye opfindelser. Som Wallace forklarer: "Principperne bag AI-styring, såsom gennemsigtighed, ansvarlighed, overvågning af bias og forebyggelse … er allerede indbygget i eksisterende lovgivningsmæssige rammer." Det omfatter GDPR, men også lovgivning om fair långivning, ligestilling og en lang række andre rammer for borgerrettigheder og forbrugerbeskyttelse.
Principperne bag AI-styring, såsom gennemsigtighed, ansvarlighed, overvågning af bias og forebyggelse … er allerede indbygget i eksisterende lovgivningsmæssige rammer.
Banker har for eksempel i årevis arbejdet under "regler for modelstyring" i forbindelse med algoritmisk beslutningstagning — regler, som ifølge Wallace "nemt kan omsættes til det, vi ser på med alle disse AI-værktøjer." Organisationer i disse sektorer har typisk allerede compliance-programmer, dedikerede ressourcer til styring og værktøjer til håndhævelse, der er bygget op omkring disse rammer.
Det gælder også håndtering af hændelser. Wallace er direkte på dette punkt: "Det er ligegyldigt, hvor hændelsen opstår, om den skyldes en fax, der er sendt til den forkerte modtager, eller en AI, som du har givet adgang til at bruge personoplysninger. En hændelse er en hændelse." Reglerne for sikkerheds- og privatlivsnotifikationer gør ikke en undtagelse for AI, og som hun siger: "Du kan bestemt ikke bare placere skylden på din AI."
Så hvor ligger den reelle risiko? Ikke hos de virksomheder, man skulle forvente. "Jeg mener faktisk, at den største udfordring ligger hos mellemstore virksomheder," siger Wallace. "De møder måske disse lovgivningsmæssige modvinde for første gang, når de implementerer AI i deres arbejdsgange, og nu spekulerer de på, hvor de skal begynde.”
Opdel dine anvendelsestilfælde i to retninger
Wallace anbefaler fra begyndelsen at opdele AI-initiativer i to kategorier:
- Interne anvendelser af AI til produktivitet, erstatning af eksisterende værktøjer eller funktionelle forbedringer.
- AI-anvendelsestilfælde inden for produktudvikling.
Som hun bemærker: "Der er meget forskellige overvejelser for hver af dem" — hvis man behandler AI-strategien som én udifferentieret indsats, bliver det sværere at vurdere risikoen præcist.
Begynd med indbygget databeskyttelse — men stop ikke ved personoplysninger
En tilgang med privatliv i centrum rækker ud over at beskytte kundeoplysninger. Wallace peger på behovet for at beskytte "ikke kun personoplysninger, men også virksomhedens fortrolige oplysninger", eftersom "du påtager dig en hel række nye risici, når du indtaster virksomhedsoplysninger i en LLM som ChatGPT."
Vi har fået en imponerende ny angrebsflade med AI. Så du skal sørge for, at din sikkerhed er helt på plads.
Hun fremhæver også sikkerhedspositionen direkte: "Vi har fået en imponerende ny angrebsflade med AI. Så du skal sørge for, at din sikkerhed er helt på plads." Men frem for alt understreger hun behovet for intern afstemning — "at få gang i den interne samtale for at forstå, hvad I vil gøre med AI, hvad I mener, I kan gøre med AI, og hvad det reelle investeringsafkast er, som I håber at opnå."
Vælg det højeste niveau, ikke den laveste fællesnævner
Forskellige databeskyttelsesregler deler lignende grundlæggende værdier, men implementerer dem forskelligt. Wallaces råd er: "Prøv at finde det højeste niveau. Prøv at finde det, der er ens på tværs af de lovgivningsmæssige miljøer, I opererer i, og behandl alle, som om de var underlagt den samme principfaste tilgang."
Alternativet — at forsøge at gøre det absolutte juridiske minimum overalt — giver bagslag. "Det kan måske se ud, som om det vil beskytte jer mod en vis lovgivningsmæssig eksponering," siger hun, "men det kommer til at koste jer meget mere i implementering og mental kapacitet, når I forsøger at gøre interessante ting."
Det handler heller ikke kun om lovgivningsmæssig eksponering. "Det vil fremme en etisk tilgang til det arbejde, I udfører," forklarer Wallace, "selv dér, hvor I ikke har de lovgivningsmæssige forpligtelser skrevet ned et sted, som I kan henvise til kapitel og vers." Juridisk risiko kan opstå fra uventede steder — "et gruppesøgsmål," "et entreprenant juridisk team" eller "jeres konkurrenter" — ikke kun fra en myndighed.
Afgør, hvor din organisation står i forhold til ejerskab af data
Før organisationer udarbejder en liste over etiske AI-principper, mener Wallace, at de først skal besvare et mere grundlæggende spørgsmål. Hun beskriver tre konkurrerende globale filosofier om ejerskab af data:
Om EU-modellen: "Privatliv er en grundlæggende menneskeret, og retten til at bestemme over brugen af dine personoplysninger tilhører den registrerede — mennesket."
Om den historiske amerikanske model: "Vi har behandlet værdien af disse personoplysninger som tilhørende den virksomhed, der indsamlede dem, fordi virksomheden udleder værdi af dem, og hvis den har udledt værdien, må de naturligvis tilhøre virksomheden."
Om en tredje model, der ses andre steder: "Værdien af personoplysningerne, faktisk det specifikke indhold af personoplysningerne, anses for at tilhøre staten, fordi staten vil bruge dem i den registreredes bedste interesse."
Hendes pointe er, at virksomheder bevidst skal vælge, hvor de står, i stedet for gradvist at ende et bestemt sted: "Mener vi som organisation, at vi tjener ved at udlede værdi af personoplysninger? [Eller] mener vi, at vi tjener ved at hjælpe vores kunder med at bruge personoplysninger til fordel for den registrerede?" Den beslutning, siger hun, bør komme før listen over etiske principper — "det er ikke med en liste over principper som retfærdighed, ansvarlighed og begrænsning af skævhed i centrum", man skal begynde.
De skjulte omkostninger ved berigelse af data
Individuelle datapunkter kan se værdiløse ud isoleret set, men Wallace advarer om, at aggregering ændrer regnestykket: "De oplysninger, du gav til denne ene leverandør i denne ene situation – står måske alene uden særlig stor værdi. Men når de aggregeres, beriges og videresælges til tredjeparter, der kan bruge dem til andre ting, er værdien pludselig meget højere."
Hun illustrerer dette med en reel opkøbshistorie: En stor bank købte en startupvirksomhed specifikt for en liste med "4 millioner navne på personer, der havde købt deres studielånstjenester", og betalte omkring "$175 million" — ud fra den betragtning, at en beriget, kontrolleret liste over potentielle kunder var omkring "hundrede dollars pr. person" værd sammenlignet med deres normale omkostning til kundeanskaffelse på "omkring 150 dollars." Problemet var: "de fandt ud af, at de 4 millioner navne var falske. De var blevet syntetisk genereret ved hjælp af en eller anden form for AI-program," og handlen faldt fra hinanden.
Hendes konklusion udfordrer, hvor nonchalant folk behandler deres egne data: "Denne store bank mente, at du var mindst hundrede dollars værd. Ville du [som forbruger] gøre noget anderledes med de data, hvis du kendte deres værdi?”
Indbyg ansvarlighed i projektteamet, ikke kun i bestyrelseslokalet
"Tonen fra toppen" betyder noget, siger Wallace, men "det bringer jer kun et vist stykke, når vi arbejder på projektniveau." Ægte ansvarlighed kræver, at man samler en reelt tværfunktionel gruppe om bord for hvert AI-initiativ — "I har produkt med ved bordet, teknik med ved bordet, sikkerhed med ved bordet" — samt funktioner, som man ofte overser:
Kundesucces: "Forstår de funktionaliteten godt nok til, at de i mangel af scriptet i det mindste har ordforrådet til at bringe spørgsmålet videre til en anden?"
Marketing: "Ved I, om de tilhører kategorien, der er allergisk over for AI, eller den anden ende, hvor de er meget ivrige efter at prøve nye ting? Hvordan vil I justere tonen og finindstille jeres budskaber, så det fungerer, når I taler om nye funktioner?”
Jura: "I kan have kunder i jeres portefølje, som forbyder brugen af AI i de produkter, de køber fra jer. Det kan være gemt et sted i kontrakten. Der står måske noget om algoritmisk beslutningstagning eller brug af modeller. I kan have en 10 år gammel kontrakt, der forbyder denne anvendelse."
Målet, siger Wallace, er et team, der holder sig selv ansvarligt i øjeblikket.
Adskil utilsigtet misbrug fra bevidst risikotagning
Wallace trækker en tydelig grænse mellem utilsigtet eksponering og bevidste genveje. På den utilsigtede side: "De fleste af de værktøjer, vi bruger, har konfigurationer, som man kan aktivere, og som gør det muligt at kontrollere, om ens personlige oplysninger eller virksomhedens fortrolige oplysninger bliver eksponeret.”
Det sværere problem er den deadline-drevne genvej — en person, der beslutter sig for at "uploade dette datasæt til en offentlig LLM", fordi "vi skal have leveret inden fredag." Wallaces svar på det scenarie er kontant: "Lad være med at gøre det."
Giv teams tilladelse til at sige nej
At sige nej er ikke en straf, siger Wallace — det er en disciplin: "Der er ingen fornøjelse ved det, vel? Det er ikke en eller anden form for hævngerrig handling." Hendes anbefalede værktøj er en enkel risikomatrix — "sandsynligheden op langs den ene side og alvorligheden hen over den anden" — som gør det muligt for en organisation at have "en ærlig samtale om at finde sit punkt i det felt" og i fællesskab blive enige om, hvor grænsen går.
Hun er åben om selv at anvende dette, når hun vurderer leverandører hos RadarFirst: "Vi gennemgik hundredvis af leverandører i løbet af året. En ret stor andel afviste vi. Vi sagde: "Vi har ikke tilstrækkelige oplysninger, eller de har ikke offentliggjort et tillidscenter, som vi virkelig kan undersøge, eller også bruger de underliggende modeller, som de ikke oplyser os om."
Og uvidenhed er ikke et forsvar bagefter: "Jeg kan ikke gå til en leverandør og sige: ‘Jeg forstod ikke rigtigt, hvad I lavede, da jeg købte det af jer.’ Uvidenhed er ikke et forsvar ifølge loven. Det har det aldrig været. Det vil det aldrig blive."
Jeg kan ikke gå til en leverandør og sige, “Jeg forstod ikke rigtigt, hvad I lavede, da jeg købte det af jer.’ Uvidenhed er ikke et forsvar ifølge loven.
Opbyg AI-kompetencer i hele organisationen, ikke kun hos ledelsen
Hos RadarFirst afholdt Wallaces team en tilbagevendende undervisningsserie: "For omkring halvandet år siden lancerede vi en månedlig frokost og læring om etisk AI. Vi dækkede ét emne i hver session — menneskelig handlekraft og tilsyn, gennemsigtighed eller ansvarlighed." Sessionerne brugte EU's AI-retningslinjer som grundlag og tog udgangspunkt i virkelige casestudier fra AI Incident Database: "Chokerende, dugfriske ting, der har involveret disse principper om gennemsigtighed eller begrænsning af bias."
Wallace gør det klart, at målet ikke var at ændre nogens holdning på stedet: "Måske havde de ikke ændret holdning, da de forlod lokalet. Fair nok. Men da de gik tilbage til deres skriveborde, havde de et ordforråd til at drøfte bekymringer med deres team eller eskalere bekymringer til jura eller compliance eller til produktteamet, alt efter hvad der var relevant."
Hvad angår, hvem der bør lede disse sessioner, mener hun ikke, at det kræver en dedikeret ansættelse inden for AI-etik: "Jeg kan godt se, at man endda kunne dele den opgave fra måned til måned mellem forskellige personer og få en lidt anden værdi hver gang."
Reguleringen indhenter os langsomt — handl ud fra jeres egen etik nu
Wallace fremstiller selve loven som en forsinket indikator for fælles værdier: "Loven er blot en måde at nedskrive vores fælles etiske principper på og placere dem et sted, hvor folk kan finde dem." Retssager udfylder mellemrummet i mellemtiden og håndterer problemer, "når de er nye, de er uprøvede, de ikke er opstået før, og der ikke har været tid til at behandle dem gennem lovgivningscyklusser" — men den proces er langsom af design: "retfærdighedens hjul maler langsomt, men yderst fint."
Hun peger på Colorados AI-lovgivning som en advarende fortælling: Staten "handlede ret hurtigt. De fik lavet noget ret godt, og så måtte de trække det tilbage, fordi de ikke kunne finde ud af, hvordan de faktisk skulle gennemføre det." Virksomheder, der proaktivt havde opbygget compliance omkring den, blev efterladt ventende.
Hendes anbefaling er at holde op med at betragte lovgivningens indhentning som målstregen: "Hvis du ved, hvad det vil sige at være en etisk organisation, hvis du ved, hvor din risikotærskel ligger, så vil du placere din lovgivningsmæssige eller retlige risiko på den rigtige side af den kategori og sige: Okay, det er vi villige til at stå over for, hvis det kommer dertil. Men vi ved ikke nok lige nu — det, vi ved om os selv, er, hvad vi mener er rigtigt, og hvad vi mener, vores kunder forventer af os. Det kan vi handle på i dag."
Vil du have flere indsigter som disse? Opret en gratis DPM-konto for at høre fra flere eksperter som disse.
