Il problema della governance dei dati AI che i leader delle operazioni non possono ignorare
Chiedi a cinque persone di definire "data governance" e otterrai cinque risposte diverse. Tim Fisher, VP di AI di DPM, non si stupisce. "Non credo che esista davvero una definizione stabilita che ogni azienda [utilizza]", afferma. "Per alcune persone significa che il team legale dice loro cosa possono e non possono fare, mentre in altre parti dell'organizzazione significa cose molto diverse."
Ai fini di questo articolo, utilizziamo il termine come fa Fisher quando è costretto a definirlo con precisione: il livello giuridico e normativo che stabilisce chi può accedere ai dati, con quale consenso, secondo quali regole — non se i dati stessi siano precisi, aggiornati o ben organizzati. Questa seconda questione esiste, ed è una disciplina diversa con soluzioni diverse; ne parliamo separatamente. Qui parliamo della questione normativa, e del perché non può aspettare.
Dove il termine effettivamente vive: la sovrapposizione tra legale e operations
Quando Fisher restringe la definizione, la colloca in un punto specifico all'interno di un organigramma. "Penso alla data governance più in termini di politiche e principi", dice — e in una grande azienda la colloca con precisione: "La sorta di sovrapposizione nel diagramma di Venn tra legale e data ops."
Sblocca Gratis
Crea un account gratuito per terminare la lettura di questo articolo e unirti a una community di leader innovativi che accedono a strumenti, playbook e approfondimenti per prosperare nell’era dell’AI.
Have an account? Log In
Penso alla data governance più in termini di politiche e principi. La sorta di sovrapposizione nel diagramma di Venn tra legale e data ops.
Questa sovrapposizione non è astratta. Fisher individua una ragione molto più antica e concreta per cui le aziende costruiscono queste strutture: le leggi sui titoli finanziari. "Negli Stati Uniti, la Securities and Exchange Commission stabilisce regole molto rigide su cosa si può e non si può dire o condividere per motivi ovvi, come l'insider trading e simili", spiega.
"Ecco perché un'azienda dovrebbe avere una data governance." Collega questo direttamente allo stadio di crescita dell'azienda: il passaggio da privata a pubblica è spesso il momento in cui la governance smette di essere opzionale, e vengono appositamente chiamati consulenti esterni per creare le strutture che una società pubblica è legalmente obbligata ad avere.
Questo è l'aspetto su cui vale la pena soffermarsi prima di tutto il resto: la governance esisteva come requisito legale rigoroso molto prima dell'arrivo dell'AI. Ciò che è cambiato è la velocità e l'ampiezza dei rischi — ed è qui che la questione diventa urgente per chi oggi gestisce le operations.
Perché l’AI rende questa una questione più urgente per chi guida le operations
Le aziende hanno sempre avuto dati che non dovevano condividere con leggerezza. La novità è quanto sia facile oggi condividerli senza che nessuno decida effettivamente di farlo. L'esempio più chiaro secondo Fisher è un'impostazione che la maggior parte dei dipendenti ha ignorato senza accorgersene: "La piccola levetta che non hanno mai visto, nascosta cinque livelli più in basso nella pagina delle impostazioni, che dà accesso a OpenAI o Anthropic a tutti questi dati per addestrare i loro algoritmi," afferma. Nessuno deve davvero voler divulgare nulla. Basta che l'impostazione predefinita rimanga selezionata.
Questo è il meccanismo dietro la maggior parte dei fallimenti di governance nell'era AI: i team che "inseriscono" informazioni proprietarie o delle Risorse Umane nei LLMs "senza comprendere" cosa hanno effettivamente autorizzato, perché nessuno ha costruito il livello normativo che l'avrebbe intercettato prima che accadesse. Fisher è schietto: non si tratta di un errore raro — "abbiamo tutti sentito storie dell'orrore di codice sorgente finito nelle mani sbagliate. Può succedere."
La tensione è strutturale, non un fallimento di cautela. "Sei in quella posizione scomoda dove stai crescendo", dice Fisher. "Senti il bisogno di alcune regole, ma non vuoi legare troppo le mani ai tuoi team." Ogni operations leader che bilancia l’adozione dell'AI con la sicurezza si muove esattamente in questo spazio — e l'AI non ha creato il rischio legale sottostante, ha solo reso possibile attivarlo per errore, su larga scala, attraverso un menu di impostazioni che nessuno ha letto.
Sei in quella posizione scomoda dove stai crescendo. Senti il bisogno di alcune regole, ma non vuoi legare troppo le mani ai tuoi team.
Dove i leader delle operations sono davvero esposti
Le principali aree di attenzione per i responsabili delle operations sono:
- Dati personali dei dipendenti. Piani di organico, registri HR e informazioni sulle prestazioni che possono finire all'interno della finestra contestuale di uno strumento AI senza che nessuno abbia effettivamente acconsentito a che vengano inseriti.
- Informazioni finanziarie e sensibili alla divulgazione. Informazioni aziendali rilevanti e non pubbliche, dati sugli utili e qualsiasi cosa che potrebbe comportare problemi di divulgazione alla SEC se trapelasse o arrivasse alle persone sbagliate nel momento sbagliato.
- Informazioni proprietarie e sensibili alla proprietà intellettuale (incluso il codice sorgente). Un rischio puro di controllo degli accessi e riservatezza — separato dalla regolamentazione sui titoli — ma lo stesso meccanismo di base di qualsiasi altra impostazione AI non monitorata.
- Dati dei progetti dei clienti. Informazioni proprietarie dei clienti gestite tramite strumenti AI senza chiarezza contrattuale o di consenso comportano lo stesso livello di esposizione, anche senza una violazione specifica già registrata.
La maggior parte delle aziende non ha nulla di tutto questo
Nonostante i rischi, Fisher afferma senza mezzi termini che molte organizzazioni operano senza alcun livello di policy. "Molte organizzazioni non hanno alcuna governance dei dati," afferma.
Ha osservato questa situazione da entrambi i lati. In un'azienda più grande e consolidata, ha visto la governance "presa molto seriamente per un lungo periodo di tempo", al punto da diventare sempre più conservatrice — e sempre più difficile da modificare. Le aziende più piccole e in rapida crescita hanno il problema opposto: non troppa cautela, ma nessuna cautela, sommata alla pressione di andare veloci.
La lezione per i responsabili della delivery
Non serve costruire un quadro di governance completo per muovere il primo passo. Inizia con qualcosa di piccolo e concreto: vai a controllare un menu delle impostazioni. L'esempio dell'interruttore di Fisher è reale e individuabile — scopri se gli strumenti AI della tua azienda sono impostati per addestrarsi sui tuoi dati di default, e chi lo ha approvato. Questa è una conversazione che puoi avere già questa settimana, non un progetto.
Vale la pena tener conto però della vera tensione che Fisher solleva: fare da guardiani non è automaticamente la scelta più sicura. "Anche nelle organizzazioni dove i dati sono facilmente accessibili, spesso sono considerati comunque proprietari anche quando non serve," afferma — e bloccare tutto per default può costare silenziosamente a un'azienda tanto quanto lasciare tutto aperto, solo in modo meno visibile. "Non cambierai realmente le cose se non cambi chi ha accesso ai tuoi dati all'interno dell'organizzazione." Una buona governance non vuol dire semplicemente meno persone che toccano i dati — significa che le persone giuste gestiscono i dati giusti, in modo consapevole.
Anche nelle organizzazioni dove i dati sono facilmente accessibili, spesso sono considerati comunque proprietari anche quando non serve.
In pratica, significa agire con alcune mosse concrete, non un faldone di policy:
- Avvia subito la conversazione, prima che un incidente la renda obbligatoria. Chiedi quali team stanno già utilizzando strumenti AI e come — la maggior parte dei responsabili ops è in ritardo solo perché nessuno ha fatto la domanda.
- Controlla prima gli strumenti utilizzati a livello aziendale. Qualunque sia la piattaforma AI autorizzata a livello aziendale, verifica il default per il training sui dati e chi ha visibilità su ciò che vi transita.
- Non ignorare l'uso personale o non ufficiale degli strumenti. Il rischio più grande spesso è lo strumento AI che nessuno ha approvato — qualcuno che incolla note di clienti in un account personale ChatGPT perché quello aziendale è più lento. Far emergere questo non serve per punire, ma per sapere dove esiste davvero il rischio.
- Integra la revisione degli accessi nella stessa conversazione, non farne una separata. Mentre verifichi le impostazioni predefinite e l'uso degli strumenti AI, chiedi chi sta limitando l'accesso a dati che invece potrebbero essere condivisi. Stringere una porta lasciandone un'altra spalancata non è governance — è solo apparenza.
- Forma le persone a riconoscere i dati sensibili, non solo a seguire le regole. La maggior parte dei dipendenti non si è mai chiesta cosa sia realmente sensibile — dettagli sui clienti, dati HR, informazioni finanziarie — o cosa potrebbe succedere se questi finissero in uno strumento non regolamentato. Una policy che dice solo cosa non fare conta meno del reale riconoscimento del rischio nelle situazioni concrete.
Niente di tutto ciò richiede di rallentare i team per fare le cose per bene. Serve solo sapere dove finiscono i dati, chi l'ha deciso, e se quella decisione è ancora valida.
Vuoi altri approfondimenti come questi? Registrati gratis a un account DPM per ascoltare altri esperti come questi.