Il problema della governance dei dati dell’IA che i responsabili delle operations non possono ignorare
Chiedete a cinque persone di definire la "governance dei dati" e otterrete cinque risposte diverse. Tim Fisher, vicepresidente dell’AI di DPM, non ne è sorpreso. "Non so se esista davvero una definizione consolidata che ogni azienda [utilizza]", afferma. "Per alcune persone significa che il team legale dice loro cosa possono e non possono fare, mentre in altre parti dell’organizzazione significa cose molto diverse."
Ai fini di questo articolo, la utilizziamo nel modo in cui Fisher la definisce quando gli viene chiesto di essere preciso: il livello delle politiche e degli aspetti legali che stabilisce chi può accedere ai dati, con quale consenso e in base a quali regole — non se i dati stessi siano accurati, aggiornati o ben organizzati. Questa seconda questione è reale e riguarda una disciplina diversa, con soluzioni differenti; la tratteremo separatamente. Questo articolo riguarda la questione delle politiche e il motivo per cui non può aspettare.
Dove si colloca realmente il termine: l’intersezione tra aspetti legali e attività operative
Quando Fisher restringe la definizione, arriva a un punto preciso dell’organigramma. "Penso alla governance dei dati soprattutto in termini di politiche e principi", afferma — e in un’azienda più grande la colloca con precisione: "Il tipo di intersezione nel diagramma di Venn tra l’ufficio legale e le attività operative relative ai dati."
Sblocca Gratis
Crea un account gratuito per terminare la lettura di questo articolo e unirti a una community di leader innovativi che accedono a strumenti, playbook e approfondimenti per prosperare nell’era dell’AI.
Have an account? Log In
Penso alla governance dei dati soprattutto in termini di politiche e principi. Il tipo di intersezione nel diagramma di Venn tra l’ufficio legale e le attività operative relative ai dati.
Questa intersezione non è astratta. Fisher indica una ragione molto più antica e concreta per cui le aziende costruiscono innanzitutto queste strutture: la normativa sui titoli finanziari. "Negli Stati Uniti, la Commissione per i titoli e gli scambi stabilisce regole molto rigide su ciò che può e non può essere detto o condiviso per ragioni del tutto ovvie, legate alla negoziazione sulla base di informazioni privilegiate e simili", afferma.
"Quindi questo è un motivo per cui un’azienda deve dotarsi di una governance dei dati." Collega direttamente questo aspetto alla fase di crescita dell’azienda: il passaggio da privata a quotata è spesso il momento in cui la governance smette di essere facoltativa, poiché vengono coinvolti consulenti esterni proprio per costruire le strutture che una società quotata è legalmente tenuta ad avere.
È questo l’aspetto su cui vale la pena soffermarsi prima di ogni altra cosa: la governance esisteva come requisito legale vincolante molto prima dell’arrivo dell’AI. Ciò che è cambiato è la velocità e l’ampiezza del rischio — ed è qui che la questione diventa urgente per chiunque gestisca le attività operative oggi.
Perché l’AI rende questa una preoccupazione più urgente per i responsabili delle attività operative
Le aziende hanno sempre avuto dati che non avrebbero dovuto condividere senza cautela. La novità è quanto sia facile condividerli ora senza che nessuno lo decida consapevolmente. L’esempio più chiaro di Fisher riguarda un’impostazione davanti alla quale la maggior parte dei dipendenti è passata senza notarla: "Il piccolo interruttore che non hanno mai visto, nascosto cinque livelli più in basso nella pagina delle impostazioni, che consente a OpenAI o Anthropic di accedere a tutti questi dati per addestrare i propri algoritmi", afferma. Nessuno deve avere intenzione di divulgare qualcosa. È sufficiente che l’impostazione predefinita rimanga deselezionata.
È questo il meccanismo alla base della maggior parte dei fallimenti della governance nell’era dell’AI: i team che "gettano" informazioni proprietarie o relative alle risorse umane negli LLM "senza capire" a cosa abbiano effettivamente dato il consenso, perché nessuno ha costruito il livello di politiche che avrebbe segnalato il problema prima che si verificasse. Fisher è diretto nel dire che non si tratta di un errore raro: "Abbiamo tutti sentito storie dell’orrore su codice sorgente finito sotto gli occhi delle persone sbagliate. Può succedere."
La tensione è strutturale, non è un fallimento della prudenza. "Ti trovi in questa situazione scomoda mentre stai crescendo", afferma Fisher. "Senti il bisogno di alcune regole, ma non vuoi imporre troppe limitazioni ai tuoi team." Ogni responsabile delle attività operative che bilancia l’adozione dell’AI con la sicurezza vive esattamente in questa lacuna — e l’AI non ha creato l’esposizione legale sottostante: ha semplicemente reso possibile attivarla accidentalmente, su larga scala, attraverso un menu delle impostazioni che nessuno ha letto.
Ti trovi in questa situazione scomoda mentre stai crescendo. Senti il bisogno di alcune regole, ma non vuoi imporre troppe limitazioni ai tuoi team.
Dove i responsabili delle attività operative sono realmente esposti
Le principali aree di attenzione per i responsabili delle operazioni sono:
- Dati personali dei dipendenti. Piani di organico, documenti delle risorse umane e informazioni sulle prestazioni che possono finire nella finestra di contesto di uno strumento di IA senza che nessuno abbia effettivamente acconsentito.
- Informazioni finanziarie e sensibili ai fini della divulgazione. Informazioni rilevanti non pubbliche, dati sugli utili e qualsiasi elemento che potrebbe far scattare obblighi di divulgazione alla SEC se venisse divulgato o arrivasse alla persona sbagliata nel momento sbagliato.
- Informazioni proprietarie e sensibili dal punto di vista della proprietà intellettuale (incluso il codice sorgente). Un rischio puro di controllo degli accessi e riservatezza — separato dalla normativa sui titoli — ma basato sullo stesso meccanismo di qualsiasi altra impostazione predefinita dell'IA non monitorata.
- Dati dei progetti dei clienti. Le informazioni proprietarie dei clienti elaborate tramite strumenti di IA senza chiarezza contrattuale o consenso comportano la stessa esposizione, anche in assenza di una violazione specifica già documentata.
La maggior parte delle aziende non ha nulla di tutto questo
Nonostante la posta in gioco, Fisher afferma senza mezzi termini che molte organizzazioni operano senza alcun livello di politiche. "Molte organizzazioni non hanno alcuna governance dei dati", dice.
Ha visto questa situazione da entrambe le prospettive. In un'azienda più grande e consolidata, ha visto la governance "presa molto sul serio per un lungo periodo di tempo", al punto da diventare sempre più conservatrice — e sempre più difficile da modificare. Le aziende più piccole e in rapida crescita hanno il problema opposto: non troppa cautela, ma nessuna cautela, aggiunta alla pressione di muoversi rapidamente.
La lezione per i responsabili dell'erogazione
Non è necessario creare un quadro completo di governance per compiere il primo passo. Iniziate da qualcosa di piccolo e concreto: controllate un menu delle impostazioni. L'esempio di Fisher relativo all'interruttore è reale e facilmente verificabile — scoprite se gli strumenti di IA della vostra organizzazione sono impostati per addestrarsi sui vostri dati per impostazione predefinita e chi ha approvato questa scelta. È una conversazione che potete avere questa settimana, non un progetto.
Vale comunque la pena considerare anche una reale tensione sollevata da Fisher: il controllo degli accessi non è automaticamente la scelta più sicura. "Anche nelle organizzazioni in cui i dati sono facilmente disponibili, spesso vengono ancora considerati proprietari anche quando non ce n'è bisogno", afferma — e bloccare tutto per impostazione predefinita può costare silenziosamente a un'azienda tanto quanto lasciare tutto completamente aperto, solo in modo meno visibile. "Non riuscirete a fare progressi nel cambiamento se non cambiate chi ha accesso ai vostri dati nella vostra organizzazione." Una buona governance non consiste soltanto nel far accedere meno persone ai dati — significa fare in modo che le persone giuste accedano ai dati giusti, consapevolmente.
Anche nelle organizzazioni in cui i dati sono facilmente disponibili, spesso vengono ancora considerati proprietari anche quando non ce n’è bisogno.
In pratica, questo significa adottare alcune misure concrete, non creare un raccoglitore di politiche:
- Avviate subito la conversazione, prima che sia un incidente a imporla. Chiedete quali team stanno già utilizzando strumenti di IA e in che modo — la maggior parte dei responsabili delle operazioni è semplicemente in ritardo su questo tema perché nessuno lo ha chiesto.
- Controllate prima gli strumenti a livello organizzativo. Qualunque piattaforma di IA sia autorizzata a livello aziendale, verificate l'impostazione predefinita relativa ai dati di addestramento e chi può vedere ciò che vi transita.
- Non ignorate l'utilizzo di strumenti personali o non ufficiali. Spesso il rischio maggiore è rappresentato dallo strumento di IA che nessuno ha approvato — qualcuno che incolla le note dei clienti in un account personale di ChatGPT perché lo strumento autorizzato è più lento. Far emergere questo problema non significa punire, ma sapere dove si trova effettivamente la vostra esposizione.
- Inserite la revisione degli accessi nella stessa conversazione, non in una separata. Mentre verificate le impostazioni predefinite e l'utilizzo degli strumenti di IA, chiedete chi sta controllando l'accesso a dati che non hanno bisogno di essere sottoposti a controllo. Rafforzare una porta lasciandone un'altra completamente aperta non è governance — è teatro.
- Formate le persone a riconoscere i dati sensibili, non solo a seguire le regole. La maggior parte dei dipendenti non è mai stata invitata a riflettere su cosa sia considerato sensibile — dettagli dei clienti, documenti delle risorse umane, informazioni finanziarie — o su cosa potrebbe andare storto se finisse in uno strumento non regolamentato. Una politica che dice alle persone cosa non fare è meno importante del fatto che sappiano riconoscere concretamente il rischio che hanno davanti.
Nulla di tutto questo richiede di rallentare i team per farlo bene. Richiede di sapere dove stanno andando i vostri dati, chi lo ha deciso e se la risposta è ancora sì.
Volete altri approfondimenti come questi? Iscrivetevi gratuitamente a un account DPM per ascoltare altri esperti come questi.