AI- og datastyringsproblemet driftsledere ikke kan ignorere
Be fem personer definere «datastyring», får du fem forskjellige svar. Tim Fisher, DPMs VP for AI, er ikke overrasket over det. «Jeg vet ikke om det finnes en virkelig etablert definisjon som alle selskaper [bruker]», sier han. «For noen betyr det at juridisk avdeling forteller dem hva de kan og ikke kan gjøre, mens det i andre deler av organisasjonen betyr helt andre ting.»
I denne artikkelen bruker vi begrepet slik Fisher gjør når han blir bedt om å definere det presist: det politiske og juridiske laget som bestemmer hvem som kan få tilgang til data, med hvilket samtykke og underlagt hvilke regler – ikke hvorvidt selve dataene er nøyaktige, oppdaterte eller godt organiserte. Det andre spørsmålet er reelt, og det er et annet fagområde med andre løsninger; vi dekker det separat. Denne artikkelen handler om det politiske spørsmålet, og hvorfor det ikke kan vente.
Hvor begrepet faktisk hører hjemme: overlappen mellom juss og drift
Når Fisher snevrer inn definisjonen, lander han på et bestemt sted i organisasjonskartet. «Jeg tenker på datastyring som noe som i større grad handler om retningslinjene og prinsippene», sier han – og i et større selskap plasserer han det helt presist: «Den typen overlapp i venndiagrammet mellom juss og dataoperasjoner.»
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Jeg tenker på datastyring som noe som i større grad handler om retningslinjene og prinsippene. Den typen overlapp i venndiagrammet mellom juss og dataoperasjoner.
Denne overlappen er ikke abstrakt. Fisher peker på en mye eldre og svært konkret grunn til at selskaper i utgangspunktet bygger slike strukturer: verdipapirlovgivning. «I USA fastsetter USAs verdipapir- og børstilsyn svært strenge regler for hva som kan og ikke kan sies eller deles, av svært åpenbare grunner, med innsidehandel og den slags», sier han.
«Så det er en grunn til at et selskap bør ha datastyring.» Han knytter dette direkte til selskapets vekstfase – overgangen fra privat til børsnotert er ofte tidspunktet da styring ikke lenger er valgfritt, ettersom eksterne konsulenter hentes inn spesifikt for å bygge strukturene et børsnotert selskap er juridisk pålagt å ha.
Det er verdt å ta inn over seg før noe annet: styring eksisterte som et strengt juridisk krav lenge før AI dukket opp. Det som har endret seg, er hastigheten og omfanget av risikoen – og det er her ting blir presserende for alle som leder driften i dag.
Hvorfor AI gjør dette til en mer presserende bekymring for driftsledere
Selskaper har alltid hatt data de ikke skulle dele uforsiktig. Det nye er hvor enkelt det nå er å dele dem uten at noen tar en beslutning om det. Fishers tydeligste eksempel er en innstilling de fleste ansatte har gått forbi uten å legge merke til: «Den lille bryteren de aldri har sett, som ligger begravd fem lag ned på innstillingssiden, og som gir OpenAI eller Anthropic tilgang til alle disse dataene for å trene algoritmene sine», sier han. Ingen trenger å ha til hensikt å lekke noe. Det er nok at standardinnstillingen ikke blir endret.
Det er mekanismen bak de fleste styringssviktene i AI-tiden: team som «kaster» proprietær informasjon eller HR-informasjon inn i LLM-er «uten å forstå» hva de faktisk har samtykket til, fordi ingen bygget det politiske laget som kunne ha flagget det før det skjedde. Fisher er tydelig på at dette ikke er en sjelden feil – «vi har alle hørt skrekkhistorier om kildekode som har blitt vist til feil personer. Det kan skje.»
Spenningen er strukturell, ikke et resultat av manglende forsiktighet. «Du befinner deg i denne vanskelige situasjonen når du vokser», sier Fisher. «Du føler behov for noen regler, men du vil ikke binde teamene dine for mye.» Alle driftsledere som balanserer innføring av AI mot sikkerhet, lever akkurat i dette gapet – og AI skapte ikke den underliggende juridiske eksponeringen, men gjorde det mulig å utløse den ved et uhell, i stor skala, via en innstillingsmeny ingen leste.
Du befinner deg i denne vanskelige situasjonen når du vokser. Du føler behov for noen regler, men du vil ikke binde teamene dine for mye.
Hvor driftsledere faktisk er utsatt
De viktigste områdene driftsledere bør være oppmerksomme på, er:
- Ansattes personopplysninger. Bemanningsplaner, HR-dokumenter og resultatinformasjon som kan ende opp i kontekstvinduet til et AI-verktøy uten at noen faktisk har samtykket til at de skal være der.
- Finansiell informasjon og informasjon som er sensitiv med hensyn til rapportering. Vesentlig ikke-offentlig informasjon, resultatdata og alt som ville utløst bekymringer knyttet til SEC-rapportering dersom det lekket eller nådde feil person på feil tidspunkt.
- Forretningssensitiv informasjon og informasjon som gjelder immaterielle rettigheter, inkludert kildekode. En ren risiko knyttet til tilgangskontroll og konfidensialitet — atskilt fra verdipapirregulering — men med samme underliggende mekanisme som enhver annen uovervåket standardinnstilling i AI.
- Data fra kundeprosjekter. Forretningssensitiv kundeinformasjon som kjøres gjennom AI-verktøy uten klarhet rundt kontrakter eller samtykke, innebærer den samme eksponeringen, selv uten at det foreligger et spesifikt registrert brudd ennå.
De fleste selskaper har ikke noe av dette
Til tross for hva som står på spill, sier Fisher rett ut at mange organisasjoner opererer helt uten retningslinjer. «Mange organisasjoner har ingen form for datastyring i det hele tatt», sier han.
Han har sett dette utspille seg fra begge sider. I et større og mer etablert selskap så han at datastyring «ble tatt svært alvorlig over lang tid», i en slik grad at den ble stadig mer konservativ — og stadig vanskeligere å endre. Mindre selskaper i rask vekst har det motsatte problemet: ikke for mye forsiktighet, men ingen i det hele tatt, samtidig som det er press om å bevege seg raskt.
Det viktigste for leveranseledere
Du trenger ikke å bygge et komplett rammeverk for datastyring for å ta det første steget. Begynn med noe lite og konkret: Sjekk en innstillingsmeny. Fishers eksempel med en bryter er reelt og lett å finne — finn ut om organisasjonens AI-verktøy som standard er satt til å trene på dataene deres, og hvem som godkjente dette. Det er en samtale dere kan ta denne uken, ikke et prosjekt.
Det er likevel verdt å se dette i sammenheng med en reell spenning Fisher trekker frem: Begrensning av tilgang er ikke automatisk det tryggeste valget. «Selv i organisasjoner der data er lett tilgjengelig, blir den ofte fortsatt sett på som forretningssensitiv, selv når den ikke trenger å være det», sier han — og å låse ting ned som standard kan i det stille koste et selskap like mye som å la dem være helt åpne, bare mindre synlig. «Du kommer ikke til å oppnå fremgang med endringer hvis du ikke endrer hvem som har tilgang til dataene i organisasjonen.» God datastyring handler ikke bare om at færre personer får tilgang til data — det handler om at de riktige personene får tilgang til de riktige dataene, med hensikt.
Selv i organisasjoner der data er lett tilgjengelig, blir den ofte fortsatt sett på som forretningssensitiv, selv når den ikke trenger å være det.
I praksis betyr det noen få konkrete tiltak, ikke en perm med retningslinjer:
- Ta samtalen nå, før en hendelse tvinger den frem. Spør hvilke team som allerede bruker AI-verktøy, og hvordan — de fleste driftsledere ligger etter på dette, ganske enkelt fordi ingen har spurt.
- Sjekk verktøyene som brukes i hele organisasjonen først. For alle AI-plattformer som er godkjent for bruk i hele selskapet, må dere bekrefte standardinnstillingen for treningsdata og hvem som har innsyn i det som går gjennom dem.
- Ikke ignorer personlig eller uoffisiell bruk av verktøy. Den største risikoen er ofte AI-verktøyet ingen har godkjent — noen limer inn kundenotater i sin personlige ChatGPT-konto fordi det godkjente verktøyet er tregere. Å avdekke dette handler ikke om straff, men om å vite hvor eksponeringen faktisk er.
- Bygg gjennomgangen av tilganger inn i den samme samtalen, ikke i en separat samtale. Når dere sjekker standardinnstillinger og bruk av AI-verktøy, bør dere spørre hvem som begrenser tilgangen til data som ikke trenger å være begrenset. Å sikre én dør samtidig som en annen står vidåpen, er ikke datastyring — det er skuespill.
- Lær folk å kjenne igjen sensitive data, ikke bare å følge regler. De fleste ansatte har aldri blitt bedt om å tenke over hva som regnes som sensitivt — kundedetaljer, HR-dokumenter, finansiell informasjon — eller hva som kan gå galt hvis det ender opp i et verktøy uten regulering. En retningslinje som forteller folk hva de ikke skal gjøre, betyr mindre enn at folk faktisk gjenkjenner risikoen de står overfor.
Ingenting av dette krever at teamene jobber saktere for å få det riktig. Det krever at dere vet hvor dataene deres havner, hvem som bestemte det, og om svaret fortsatt er ja.
Vil du ha flere innsikter som disse? Registrer deg for en gratis DPM-konto for å høre fra flere eksperter som disse.
