Problemu zarządzania danymi AI liderzy operacyjni nie mogą ignorować
Poproś pięć osób o zdefiniowanie terminu „zarządzanie danymi”, a otrzymasz pięć różnych odpowiedzi. Tim Fisher, wiceprezes DPM ds. AI, nie jest tym zaskoczony. „Nie wiem, czy istnieje naprawdę ugruntowana definicja, której używa każda firma [jestem tego pewien]” — mówi. „Dla niektórych oznacza to zespół prawny mówiący im, co mogą, a czego nie mogą robić, a w innych częściach organizacji oznacza to zupełnie coś innego”.
Na potrzeby tego tekstu używamy tego terminu w znaczeniu, jakie Fisher nadaje mu, gdy zostaje poproszony o precyzyjne zdefiniowanie: jako warstwę zasad i przepisów prawnych określającą, kto może uzyskać dostęp do danych, na jakiej podstawie zgody i z zastrzeżeniem jakich reguł — a nie to, czy same dane są dokładne, aktualne lub dobrze zorganizowane. To drugie pytanie jest ważne, ale dotyczy innej dziedziny i wymaga innych rozwiązań; omawiamy je osobno. Ten tekst dotyczy kwestii zasad oraz tego, dlaczego nie można z nią czekać.
Gdzie właściwie funkcjonuje ten termin: na styku prawa i operacji
Gdy Fisher zawęża definicję, wskazuje konkretne miejsce w schemacie organizacyjnym. „Myślę o zarządzaniu danymi przede wszystkim w kontekście zasad i reguł” — mówi, a w większej firmie lokalizuje je bardzo precyzyjnie: „To coś w rodzaju obszaru wspólnego na diagramie Venna dla prawa i operacji danych”.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Myślę o zarządzaniu danymi przede wszystkim w kontekście zasad i reguł. To coś w rodzaju obszaru wspólnego na diagramie Venna dla prawa i operacji danych.
Ten obszar wspólny nie jest abstrakcyjny. Fisher wskazuje znacznie starszy i bardzo konkretny powód, dla którego firmy w ogóle tworzą takie struktury: przepisy dotyczące papierów wartościowych. „W Stanach Zjednoczonych Komisja Papierów Wartościowych i Giełd ustanawia bardzo rygorystyczne zasady dotyczące tego, co można, a czego nie można mówić lub udostępniać, z bardzo oczywistych powodów związanych z wykorzystywaniem informacji poufnych i podobnymi kwestiami” — mówi.
„To więc powód, dla którego firma powinna mieć system zarządzania danymi”. Łączy to bezpośrednio z etapem rozwoju firmy — przejście z działalności prywatnej do publicznej często następuje wtedy, gdy zarządzanie przestaje być opcjonalne, a zewnętrzni konsultanci zostają zaangażowani konkretnie po to, by stworzyć struktury, które spółka publiczna jest prawnie zobowiązana posiadać.
To właśnie warto przemyśleć w pierwszej kolejności: zarządzanie danymi istniało jako bezwzględny wymóg prawny na długo przed pojawieniem się AI. Zmieniły się szybkość i zakres ryzyka — i właśnie dlatego sytuacja staje się pilna dla każdego, kto dziś odpowiada za operacje.
Dlaczego AI sprawia, że jest to pilniejsza kwestia dla osób zarządzających operacjami
Firmy zawsze posiadały dane, których nie powinny były bezmyślnie udostępniać. Nowością jest to, jak łatwo można je teraz udostępnić bez świadomej decyzji kogokolwiek. Najwyraźniejszy przykład Fishera dotyczy ustawienia, obok którego większość pracowników przechodzi, nawet go nie zauważając: „Mały przełącznik, którego nigdy nie widzieli, ukryty pięć poziomów niżej na stronie ustawień, który daje OpenAI lub Anthropic dostęp do wszystkich tych danych w celu trenowania ich algorytmów” — mówi. Nikt nie musi celowo niczego wyciekać. Wystarczy, że domyślne ustawienie pozostanie niezmienione.
To mechanizm stojący za większością niepowodzeń w zarządzaniu danymi w erze AI: zespoły „wrzucają” informacje zastrzeżone lub dane działu HR do modeli LLM „bez zrozumienia”, na co faktycznie wyraziły zgodę, ponieważ nikt nie stworzył warstwy zasad, która oznaczyłaby problem, zanim do niego doszło. Fisher mówi wprost, że nie jest to rzadki błąd — „wszyscy słyszeliśmy mrożące krew w żyłach historie o tym, że kod źródłowy trafił do niewłaściwych osób. To może się zdarzyć”.
Napięcie ma charakter strukturalny, a nie wynika z braku ostrożności. „Znajdujesz się w niezręcznym momencie rozwoju firmy” — mówi Fisher. „Czujesz potrzebę wprowadzenia pewnych zasad, ale nie chcesz zbytnio krępować swoich zespołów”. Każda osoba zarządzająca operacjami, która równoważy wdrażanie AI z bezpieczeństwem, znajduje się dokładnie w tej luce — a AI nie stworzyła leżącego u jej podstaw ryzyka prawnego, tylko sprawiła, że można je przypadkowo uruchomić na dużą skalę za pomocą menu ustawień, którego nikt nie przeczytał.
Znajdujesz się w niezręcznym momencie rozwoju firmy. Czujesz potrzebę wprowadzenia pewnych zasad, ale nie chcesz zbytnio krępować swoich zespołów.
Gdzie osoby zarządzające operacjami są faktycznie narażone
Najważniejsze obszary, na których skupiają się liderzy operacyjni, to:
- Dane osobowe pracowników. Plany zatrudnienia, dokumentacja HR i informacje o wynikach pracy, które mogą trafić do okna kontekstowego narzędzia AI bez faktycznej zgody kogokolwiek na ich umieszczenie.
- Informacje finansowe i wrażliwe pod kątem obowiązku ujawnienia. Istotne informacje niepubliczne, dane dotyczące wyników finansowych oraz wszystko, co mogłoby wywołać obawy związane z obowiązkiem ujawnienia informacji SEC, gdyby wyciekło lub trafiło do niewłaściwej osoby w niewłaściwym czasie.
- Informacje zastrzeżone i wrażliwe z punktu widzenia własności intelektualnej (w tym kod źródłowy). Czyste ryzyko związane z kontrolą dostępu i poufnością — odrębne od regulacji dotyczących papierów wartościowych — ale oparte na tym samym mechanizmie co każde inne niemonitorowane domyślne ustawienie AI.
- Dane dotyczące projektów klientów. Zastrzeżone informacje klientów przetwarzane przez narzędzia AI bez jasności co do umowy lub zgody wiążą się z takim samym narażeniem, nawet jeśli nie odnotowano jeszcze konkretnego wycieku.
More Articles
- Prywatność w fazie projektowania: budowanie strategii AI, która nie podważa zaufania
- Lider PMO omawia, jak zapobiec temu, by AI powodowała szybszy chaos zamiast sprawniejszej realizacji
- Jak budować godną zaufania sztuczną inteligencję: model czterech filarów dla zespołów projektowych
- Ekspert ds. innowacji w dostarczaniu projektów wyjaśnia warunki potrzebne do skutecznej integracji AI
- Luka kompetencji AI: jak organizacje i liderzy ją zamykają
Większość firm nie ma niczego z tego zakresu
Mimo wysokiej stawki Fisher otwarcie mówi, że wiele organizacji działa w ogóle bez warstwy zasad. „Wiele organizacji nie ma żadnego zarządzania danymi”, mówi.
Obserwował ten proces z obu stron. W większej, bardziej ugruntowanej firmie widział, jak zarządzanie danymi „traktowano bardzo poważnie przez długi czas”, do tego stopnia, że stawało się coraz bardziej zachowawcze — i coraz trudniejsze do zmiany. Mniejsze, szybciej rozwijające się firmy mają odwrotny problem: nie nadmierną ostrożność, lecz jej całkowity brak, dodatkowo w warunkach presji na szybkie działanie.
Najważniejszy wniosek dla liderów realizacji projektów
Nie musisz budować pełnych ram zarządzania danymi, aby zrobić pierwszy krok. Zacznij od czegoś małego i konkretnego: sprawdź menu ustawień. Przykład przełącznika, o którym mówi Fisher, jest rzeczywisty i łatwy do znalezienia — sprawdź, czy firmowe narzędzia AI są domyślnie ustawione na trenowanie na twoich danych oraz kto to zatwierdził. To rozmowa, którą możesz odbyć w tym tygodniu, a nie projekt.
Warto jednak uwzględnić przy tym prawdziwe napięcie, na które zwraca uwagę Fisher: kontrolowanie dostępu nie jest automatycznie bezpiecznym wyborem. „Nawet w organizacjach, w których dane są łatwo dostępne, często nadal postrzega się je jako zastrzeżone, choć nie ma takiej potrzeby”, mówi — a domyślne blokowanie dostępu może po cichu kosztować firmę tyle samo co pozostawienie go całkowicie otwartego, tylko mniej widocznie. „Nie uda ci się dokonać postępów w zmianie, jeśli nie zmienisz tego, kto ma dostęp do danych w twojej organizacji”. Dobre zarządzanie danymi nie polega wyłącznie na ograniczeniu liczby osób, które mają z nimi kontakt — chodzi o to, aby właściwe osoby miały celowy dostęp do właściwych danych.
Nawet w organizacjach, w których dane są łatwo dostępne, często nadal postrzega się je jako zastrzeżone, choć nie ma takiej potrzeby.
W praktyce oznacza to kilka konkretnych działań, a nie segregator z zasadami:
- Rozpocznij rozmowę już teraz, zanim wymusi ją incydent. Zapytaj, które zespoły już korzystają z narzędzi AI i w jaki sposób — większość liderów operacyjnych jest w tym zakresie opóźniona po prostu dlatego, że nikt o to nie zapytał.
- Najpierw sprawdź narzędzia używane w całej organizacji. W przypadku wszystkich platform AI zatwierdzonych w firmie potwierdź domyślne ustawienie dotyczące danych treningowych oraz to, kto ma wgląd w informacje, które przez nie przepływają.
- Nie ignoruj korzystania z narzędzi osobistych ani nieoficjalnych. Większym ryzykiem jest często narzędzie AI, którego nikt nie zatwierdził — ktoś wkleja notatki klienta do osobistego konta ChatGPT, ponieważ zatwierdzone narzędzie działa wolniej. Ujawnienie tego nie ma na celu karania, lecz poznanie rzeczywistego zakresu narażenia.
- Włącz przegląd dostępu do tej samej rozmowy, zamiast organizować go osobno. Sprawdzając ustawienia domyślne i korzystanie z narzędzi AI, zapytaj, kto kontroluje dostęp do danych, do których nie trzeba go ograniczać. Zamykanie jednych drzwi przy pozostawieniu innych szeroko otwartych to nie zarządzanie danymi — to pozory.
- Szkol ludzi w rozpoznawaniu wrażliwych danych, a nie tylko w przestrzeganiu zasad. Większość pracowników nigdy nie musiała zastanawiać się, co uznaje się za wrażliwe — dane klientów, dokumentacja HR, informacje finansowe — ani co może pójść nie tak, jeśli trafią one do nieuregulowanego narzędzia. Zasady mówiące ludziom, czego nie robić, mają mniejsze znaczenie niż faktyczne rozpoznawanie przez nich ryzyka, które mają przed sobą.
Żadne z tych działań nie wymaga spowalniania zespołów, aby wszystko zrobić właściwie. Wymaga natomiast wiedzy o tym, dokąd trafiają dane, kto o tym zdecydował i czy odpowiedź nadal brzmi „tak”.
Chcesz poznać więcej podobnych spostrzeżeń? Załóż bezpłatne konto DPM, aby usłyszeć więcej ekspertów takich jak ci.
