Personvern gjennom design: Slik bygger du en KI-strategi som ikke går på bekostning av tillit
Denne artikkelen er tilpasset episoden «En personvernorientert KI-strategi: Slik ser den ut, og hvorfor den er viktig» i DPM-podkasten.
Regulert fortrinn: Regulerte bransjer kan gjenbruke etablerte rutiner for styring, etterlevelse og hendelseshåndtering for å ta i bruk KI på en ansvarlig måte.
Risikodeling: Ved å skille interne verktøy fra produktfunksjoner kan organisasjoner vurdere KI-risiko, kontrolltiltak og ansvarlighet mer presist.
Personvern først: En personvernorientert KI-strategi beskytter personopplysninger, fortrolig informasjon og sikkerhet, samtidig som den tydeliggjør den forventede forretningsverdien.
Delt eierskap: Organisasjoner bør definere sine oppfatninger om dataeierskap før de fastsetter etiske prinsipper eller utformer KI-retningslinjer.
Praktisk ansvarlighet: Tverrfunksjonelle team, risikomatriser, opplæring av ansatte og grundig vurdering av leverandører bidrar til å forhindre snarveier og støtter trygge beslutninger.
De fleste antar at strengt regulerte bransjer — finansielle tjenester, helsevesen, energi og telekom — er dømt til å bevege seg sakte innen kunstig intelligens, tynget av byråkrati mens mindre regulerte sektorer raser fremover. Ifølge Lauren Wallace, strategisk rådgiver og tidligere juridisk direktør i RadarFirst, er denne antakelsen snudd på hodet.
Wallace, som har hatt juridiske roller og roller innen forretningsutvikling i Apple, Microsoft og Nike, hevder at regulerte virksomheter faktisk har et forsprang når det gjelder å bygge etterlevelsesorienterte og ansvarlige KI-programmer. Denne artikkelen bryter ned rammeverket hennes for en personvernorientert KI-strategi: hvordan den ser ut på komponentnivå, hvordan man skaper organisatorisk oppslutning, og hvor de største risikoene — og mulighetene — faktisk ligger.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Hvorfor regulerte bransjer kanskje allerede har et forsprang
Kjerneprinsippene bak styring av KI — åpenhet, ansvarlighet og overvåking av skjevheter — er ikke nye oppfinnelser. Som Wallace forklarer: «Prinsippene som ligger til grunn for KI-styring, som åpenhet, ansvarlighet, overvåking av skjevheter og forebygging … er allerede bygget inn i eksisterende regelverk.» Det omfatter GDPR, men også lover om rettferdig utlån, like muligheter og en rekke andre rammeverk for sivile rettigheter og forbrukerbeskyttelse.
Prinsippene som ligger til grunn for KI-styring, som åpenhet, ansvarlighet, overvåking av skjevheter og forebygging … er allerede bygget inn i eksisterende regelverk.
Banker har for eksempel i årevis operert under «regler for modellstyring» av algoritmisk beslutningstaking — regler som, med Wallaces ord, «enkelt kan overføres til det vi ser på med alle disse KI-verktøyene». Organisasjoner i disse sektorene har vanligvis allerede etterlevelsesprogrammer, dedikerte ressurser for styring og verktøy for håndheving bygget rundt disse rammeverkene.
Det gjelder også håndtering av hendelser. Wallace er tydelig på dette punktet: «Det spiller ingen rolle hvor hendelsen oppstår, enten den skyldes en feilsendt faks eller en KI-løsning du har aktivert for å bruke personopplysninger. En hendelse er en hendelse.» Reglene for varsling om sikkerhets- og personvernhendelser gjør ikke unntak for KI, og som hun sier: «Du kan absolutt ikke bare skyve skylden over på KI-en din.»
Så hvor ligger den reelle risikoen? Ikke hos de virksomhetene man skulle forvente. «Jeg tror faktisk den største utfordringen gjelder mellomstore virksomheter», sier Wallace. «De kan møte disse regulatoriske motkreftene for første gang når de innfører KI i arbeidsflytene sine, og nå lurer de på hvor de skal begynne.»
Del bruksområdene dine inn i to kategorier
Wallace anbefaler å dele KI-initiativer inn i to kategorier fra starten av:
- Intern bruk av KI for produktivitet, som erstatning for eksisterende verktøy eller til funksjonelle forbedringer.
- Bruksområder for KI i produktutvikling.
Som hun påpeker: «Det er svært ulike hensyn å ta for hver av disse» — å behandle KI-strategi som ett udifferensiert initiativ gjør det vanskeligere å vurdere risiko nøyaktig.
Start med innebygd personvern — men ikke stopp ved personopplysninger
En personvernorientert tilnærming går lenger enn å beskytte kundeinformasjon. Wallace peker på behovet for å beskytte «ikke bare personopplysninger, men også virksomhetens fortrolige informasjon», siden «du får en hel rekke nye risikoer når du legger virksomhetsinformasjon inn i en stor språkmodell som ChatGPT».
Vi har en utrolig ny angrepsflate med AI. Så du må sørge for at sikkerheten din er godt innstilt.
Hun fremhever også sikkerhetssituasjonen direkte: "Vi har en utrolig ny angrepsflate med AI. Så du må sørge for at sikkerheten din er godt innstilt." Men fremfor alt understreker hun intern samordning – "å få i gang den interne samtalen for å forstå hva dere ønsker å gjøre med AI, hva dere mener dere kan gjøre med AI, og hva den reelle avkastningen dere håper å oppnå, er."
Velg det høyeste nivået, ikke den laveste fellesnevneren
Ulike personvernforordninger deler lignende underliggende verdier, men implementerer dem på forskjellige måter. Wallaces råd er: "Prøv å finne det høyeste nivået. Prøv å finne det som er konsekvent på tvers av regelverkene du opererer under, og behandle alle som om de var underlagt den samme prinsipielt høye tilnærmingen."
Alternativet – å forsøke å gjøre det lovpålagte minimumet overalt – slår tilbake. "Det kan kanskje virke som om det vil spare deg for noe regulatorisk eksponering," sier hun, "men det kommer til å koste deg så mye mer når det gjelder implementering og mental kapasitet når du prøver å gjøre interessante ting."
Det handler heller ikke bare om regulatorisk eksponering. "Det vil oppmuntre til en etisk tilnærming til arbeidet du gjør," forklarer Wallace, "selv der du ikke har de regulatoriske forpliktelsene spesifisert et sted som du kan vise til, kapittel og vers." Juridisk risiko kan oppstå fra uventede steder – "et gruppesøksmål", "et eller annet entreprenørielt juridisk team" eller "konkurrentene dine" – ikke bare fra en tilsynsmyndighet.
Bestem hvor organisasjonen din står når det gjelder dataeierskap
Før organisasjoner utarbeider en liste over etiske prinsipper for AI, mener Wallace at de først må besvare et mer grunnleggende spørsmål. Hun beskriver tre konkurrerende globale filosofier om dataeierskap:
Om EU-modellen: "Personvern er en grunnleggende menneskerettighet, og retten til å bestemme over bruken av personopplysningene dine tilhører den registrerte – mennesket."
Om den historiske amerikanske modellen: "Vi har behandlet verdien av personopplysningene som om den tilhørte selskapet som samlet dem inn, fordi selskapet henter verdi ut av dem, og derfor må de vel tilhøre selskapet hvis det var selskapet som hentet ut verdien."
Om en tredje modell som finnes andre steder: "Verdien av personopplysningene, faktisk det konkrete innholdet i personopplysningene, anses å tilhøre staten, fordi staten kommer til å bruke dem til beste for den registrerte."
Poenget hennes er at selskaper må velge bevisst hvor de står, i stedet for å ende opp med en posisjon uten å ha tatt et bevisst valg: "Mener vi som organisasjon at vi tjener ved å hente ut verdi fra personopplysninger? [Eller] mener vi at vi tjener ved å hjelpe kundene våre med å bruke personopplysninger til fordel for den registrerte?" Denne beslutningen, sier hun, bør komme før listen over etiske prinsipper – "det er ikke med en liste over prinsipper som rettferdighet, ansvarlighet og begrensning av skjevhet i kjernen" man må begynne.
Den skjulte kostnaden ved dataforbedring
Enkeltstående datapunkter kan se verdiløse ut isolert sett, men Wallace advarer om at sammenstilling endrer regnestykket: "Informasjonen du ga til denne ene leverandøren i dette ene tilfellet – kan stå alene og ikke ha særlig stor verdi. Men når den sammenstilles, berikes og videreselges til tredjeparter som kan bruke den til andre ting, er verdien plutselig mye høyere."
Hun illustrerer dette med en reell oppkjøpshistorie: En stor bank kjøpte en oppstartsbedrift spesifikt for en liste med "4 millioner navn på personer som hadde kjøpt studielånstjenestene deres", og betalte rundt "$175 million" – med den begrunnelsen at en kvalitetssikret og kontrollert liste over potensielle kunder var verdt omtrent "hundre dollar per person", sammenlignet med deres vanlige kostnad for kundeanskaffelse på "150 eller så dollar". Problemet var at "de fant ut at de 4 millioner navnene var falske. De var syntetisk generert ved hjelp av et eller annet AI-program", og avtalen kollapset.
Konklusjonen hennes utfordrer hvor tilfeldig folk behandler sine egne data: "Denne storbanken mente at du var verdt minst hundre dollar. Så ville du [som forbruker] gjort noe annerledes med disse dataene hvis du visste hva de var verdt?”
Bygg ansvarlighet inn i prosjektteamet, ikke bare i styrerommet
«Tonen fra toppen» er viktig, sier Wallace, men «det bringer deg bare et stykke på vei når vi opererer på prosjektnivå». Reell ansvarlighet krever at man samler en genuint tverrfunksjonell gruppe rundt bordet for hvert AI-initiativ – «du har produkt ved bordet, utvikling ved bordet, sikkerhet ved bordet» – i tillegg til funksjoner som ofte blir oversett:
Kundesuksess: «Forstår de funksjonaliteten godt nok til at de, dersom skriptet ikke er tilgjengelig, i det minste har ordforrådet som trengs for å stille spørsmålet til noen andre?»
Markedsføring: «Vet du om de tilhører kategorien som er allergisk mot AI, eller den andre ytterkanten, kategorien som er svært ivrig etter å prøve nye ting? Hvordan skal du tilpasse og finjustere budskapet ditt slik at det treffer når du snakker om nye funksjoner?»
Juridisk: «Du kan ha kunder i porteføljen din som forbyr bruk av AI i produktene de kjøper fra deg. Det kan være gjemt et sted i kontrakten. Det kan stå noe om algoritmisk beslutningstaking eller bruk av modeller. Du kan ha en ti år gammel kontrakt som forbyr denne bruken.»
Målet, sier Wallace, er et team som holder seg selv ansvarlig der og da.
Skill utilsiktet misbruk fra bevisst risikotaking
Wallace trekker et tydelig skille mellom utilsiktet eksponering og bevisste snarveier. På den utilsiktede siden: «De fleste av disse verktøyene vi bruker, har konfigurasjoner du kan aktivere, slik at du kan kontrollere om personopplysningene dine eller virksomhetens konfidensielle informasjon blir eksponert.»
Det vanskeligere problemet er snarveien som tas på grunn av en tidsfrist – noen bestemmer seg for å «laste opp dette datasettet til en offentlig LLM» fordi «vi må levere innen fredag». Wallaces svar på dette scenarioet er kontant: «Bare ikke gjør det.»
Gi teamene tillatelse til å si nei
Å si nei er ikke straffende, sier Wallace – det er en disiplin: «Det er ingen glede i det, ikke sant? Det er ikke en slags hevngjerrig handling.» Verktøyet hun anbefaler, er en enkel risikomatrise – «sannsynlighet opp langs den ene siden og alvorlighetsgrad bortover den andre» – som gjør det mulig for en organisasjon å ha «en ærlig og åpen samtale om å finne punktet sitt i dette feltet» og bli enige i fellesskap om hvor grensen går.
Hun er åpen om at hun selv bruker denne tilnærmingen når hun vurderer leverandører hos RadarFirst: «Vi vurderte hundrevis av leverandører i løpet av året. En ganske stor andel avslo vi. Vi sa: «Vi har ikke nok informasjon, eller de har ikke publisert et tillitssenter som vi virkelig kan gå i dybden på, eller de bruker underliggende modeller som de ikke opplyser oss om.»
Og uvitenhet er ikke et forsvar i ettertid: «Jeg kan ikke gå til en leverandør og si: ‘Jeg forsto egentlig ikke hva dere gjorde da jeg kjøpte det av dere.’ Uvitenhet er ikke noe forsvar i henhold til loven. Det har det aldri vært. Det kommer det aldri til å bli.»
Jeg kan ikke gå til en leverandør og si, “Jeg forsto egentlig ikke hva dere gjorde da jeg kjøpte det av dere.’ Uvitenhet er ikke noe forsvar i henhold til loven.
More Articles
- Å spore tilbake på KI: Virkelige historier fra ledere
- De praktiske KI-arbeidsflytene som brukes av leveransesjefen i et Asana-implementeringsbyrå
- Prosjektleder og underviser med kunstig intelligens deler en enkel arbeidsflyt for kunstig intelligens som fundamentalt endrer hvordan prosjekter drives
- De beste AI-modellene for prosjektstyringsoppgaver
- 3 alternativer til å erstatte dine menneskelige prosjektledere med KI-agenter
Bygg AI-kompetanse i hele organisasjonen, ikke bare hos ledelsen
Hos RadarFirst arrangerte Wallaces team en tilbakevendende opplæringsserie: «For omtrent halvannet år siden lanserte vi en månedlig lunsj- og læringsserie om etisk AI. Vi tok for oss ett tema i hver økt – menneskelig innflytelse og tilsyn, åpenhet eller ansvarlighet.» Øktene brukte EUs retningslinjer for AI som grunnlag og bygget på virkelige kasusstudier fra AI-hendelsesdatabasen: «Sjokkerende, rykende ferske saker som har berørt disse prinsippene om åpenhet eller begrensning av skjevheter.»
Wallace er tydelig på at målet ikke var å få noen til å endre mening der og da: «Kanskje de ikke hadde endret standpunkt da de forlot rommet. Helt greit. Men da de gikk tilbake til pultene sine, hadde de et ordforråd for å diskutere bekymringer med teamet sitt, eller eskalere bekymringer til juridisk avdeling eller etterlevelse, eller til produktteamet etter behov.»
Når det gjelder hvem som bør lede disse øktene, mener hun ikke at det krever en egen stilling innen AI-etikk: «Jeg kan se for meg at man til og med kan dele på dette ansvaret fra måned til måned mellom ulike personer, og få litt ulik verdi hver gang.»
Regelverket innhenter oss sakte – handle etter egen etikk nå
Wallace fremstiller selve loven som en etterslepende indikator på felles verdier: «Loven er bare en måte å skrive ned våre felles etiske prinsipper på og plassere dem et sted der folk kan finne dem.» Rettssaker fyller tomrommet i mellomtiden og håndterer problemer «når de er nye, når de nettopp har oppstått, når de ikke har vært tatt opp før og det ikke har vært tid til å behandle dem gjennom lovgivningssyklusene» – men denne prosessen er langsom med hensikt: «rettferdighetens hjul maler langsomt, men overmåte grundig.»
Hun peker på Colorados AI-lovgivning som en advarende historie: Delstaten «handlet ganske raskt. De fikk til noe ganske bra, og så måtte de trekke det tilbake fordi de ikke klarte å finne ut hvordan de faktisk skulle sette det ut i livet.» Selskaper som proaktivt hadde bygget samsvar rundt den, ble sittende og vente.
Hennes anbefaling er å slutte å behandle det å ta igjen det regulatoriske etterslepet som målstreken: «Hvis du vet hva det vil si å være en etisk organisasjon, hvis du vet hvor risikoterskelen din går, kommer du til å plassere lovgivnings- eller søksmålsrisikoen din på den riktige siden av den kategorien og si: Ok, vi er villige til å møte den hvis det kommer så langt. Men akkurat nå vet vi ikke nok — det vi vet om oss selv, er hva vi mener er riktig, og hva vi tror kundene våre forventer av oss. Det kan vi handle ut fra i dag.»
Vil du ha flere innsikter som disse? Registrer deg for en gratis DPM-konto for å høre fra flere eksperter som disse.
