Prywatność w fazie projektowania: budowanie strategii AI, która nie podważa zaufania
Ten artykuł został zaadaptowany na podstawie odcinka podcastu DPM „Strategia AI stawiająca prywatność na pierwszym miejscu: jak wygląda i dlaczego ma znaczenie”.
Przewaga branż regulowanych: Branże regulowane mogą ponownie wykorzystać istniejące praktyki w zakresie zarządzania, zgodności z przepisami i reagowania na incydenty, aby odpowiedzialnie wdrażać AI.
Podział ryzyka: Oddzielenie narzędzi wewnętrznych od funkcji produktów pomaga organizacjom dokładniej oceniać ryzyko związane z AI, mechanizmy kontroli i odpowiedzialność.
Prywatność przede wszystkim: Strategia AI oparta na prywatności chroni dane osobowe, informacje zastrzeżone i bezpieczeństwo, a jednocześnie precyzuje oczekiwaną wartość biznesową.
Współdzielona odpowiedzialność: Organizacje powinny określić swoje przekonania dotyczące własności danych, zanim ustalą zasady etyczne lub opracują polityki dotyczące AI.
Odpowiedzialność w praktyce: Zespoły międzyfunkcyjne, macierze ryzyka, szkolenia pracowników i weryfikacja dostawców pomagają zapobiegać skrótom i wspierają podejmowanie pewnych decyzji.
Większość osób zakłada, że silnie regulowane branże — usługi finansowe, opieka zdrowotna, energetyka, telekomunikacja — są skazane na powolne wdrażanie AI, obciążone biurokracją, podczas gdy sektory podlegające mniejszym regulacjom pędzą naprzód. Zdaniem Lauren Wallace, doradczyni strategicznej i byłej dyrektor ds. prawnych w RadarFirst, to założenie odwraca rzeczywistość.
Wallace, która pełniła funkcje związane z prawem i rozwojem biznesu w firmach Apple, Microsoft i Nike, twierdzi, że regulowane przedsiębiorstwa mają w rzeczywistości przewagę, jeśli chodzi o budowanie zgodnych z przepisami i odpowiedzialnych programów AI. W tym artykule przedstawiono jej ramy strategii AI stawiającej prywatność na pierwszym miejscu: jak wygląda ona na poziomie poszczególnych komponentów, jak uzyskać poparcie organizacji oraz gdzie faktycznie znajdują się największe ryzyka — i możliwości.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Dlaczego regulowane branże mogą już mieć przewagę
Podstawowe zasady leżące u podstaw zarządzania AI — przejrzystość, odpowiedzialność, monitorowanie uprzedzeń — nie są nowymi wynalazkami. Jak wyjaśnia Wallace: „zasady leżące u podstaw zarządzania AI, takie jak przejrzystość, odpowiedzialność, monitorowanie uprzedzeń, zapobieganie… są już zapisane w istniejących ramach regulacyjnych”. Obejmuje to RODO, ale także przepisy dotyczące uczciwego udzielania kredytów, równego dostępu do szans oraz wiele innych przepisów dotyczących praw obywatelskich i ochrony konsumentów.
Zasady leżące u podstaw zarządzania AI, takie jak przejrzystość, odpowiedzialność, monitorowanie uprzedzeń, zapobieganie… są już zapisane w istniejących ramach regulacyjnych.
Banki na przykład od lat działają zgodnie z „zasadami zarządzania modelami” dotyczącymi algorytmicznego podejmowania decyzji — zasadami, które, jak mówi Wallace, „z łatwością przekładają się na to, z czym mamy do czynienia w przypadku wszystkich tych narzędzi AI”. Organizacje w tych sektorach zazwyczaj mają już programy zgodności, dedykowane zasoby związane z zarządzaniem oraz narzędzia egzekwowania zasad zbudowane wokół tych ram.
Dotyczy to również reagowania na incydenty. Wallace mówi o tym bezpośrednio: „Nie ma znaczenia, gdzie dochodzi do incydentu — czy wynika on z wysłania faksu do niewłaściwego odbiorcy, czy ze sztucznej inteligencji, której zezwolono na wykorzystywanie danych osobowych. Incydent to incydent”. Zasady dotyczące powiadamiania o naruszeniach bezpieczeństwa i prywatności nie przewidują wyjątku dla AI, a jak ujmuje to Wallace: „z pewnością nie można po prostu zrzucić winy na AI”.
Gdzie zatem znajduje się prawdziwe ryzyko? Nie w przedsiębiorstwach, których można by się spodziewać. „Właściwie uważam, że większym wyzwaniem są średniej wielkości firmy” — mówi Wallace. „Mogą po raz pierwszy mierzyć się z tymi przeszkodami regulacyjnymi, gdy wdrażają AI do swoich procesów, i teraz zastanawiają się, od czego zacząć”.
Podziel przypadki użycia na dwa obszary
Wallace zaleca od samego początku podzielić inicjatywy związane z AI na dwie kategorie:
- Wewnętrzne zastosowania AI do zwiększania produktywności, zastępowanie istniejących narzędzi lub usprawnienia funkcjonalne.
- Przypadki użycia AI w rozwoju produktów.
Jak zauważa: „dla każdego z tych obszarów należy wziąć pod uwagę zupełnie inne kwestie” — traktowanie strategii AI jako jednego, niezróżnicowanego przedsięwzięcia utrudnia dokładną ocenę ryzyka.
Zacznij od ochrony prywatności już na etapie projektowania — ale nie ograniczaj się do danych osobowych
Podejście stawiające prywatność na pierwszym miejscu wykracza poza ochronę informacji o klientach. Wallace wskazuje na potrzebę ochrony „nie tylko danych osobowych, lecz także informacji zastrzeżonych firmy”, ponieważ „gdy umieszczasz informacje firmowe w dużym modelu językowym, takim jak ChatGPT, pojawia się cała gama nowych zagrożeń”.
Mamy oszałamiająco dużą nową powierzchnię ataku związaną ze sztuczną inteligencją. Dlatego trzeba zadbać o to, aby bezpieczeństwo było odpowiednio skonfigurowane.
Wskazuje również bezpośrednio na kwestie związane z bezpieczeństwem: „Mamy oszałamiająco dużą nową powierzchnię ataku związaną ze sztuczną inteligencją. Dlatego trzeba zadbać o to, aby bezpieczeństwo było odpowiednio skonfigurowane”. Przede wszystkim jednak podkreśla znaczenie wewnętrznego porozumienia — „rozpoczęcia wewnętrznej dyskusji, aby zrozumieć, co chcecie zrobić ze sztuczną inteligencją, co waszym zdaniem możecie zrobić ze sztuczną inteligencją oraz jaki jest rzeczywisty zwrot z inwestycji, który macie nadzieję osiągnąć”.
Wybierz najwyższy standard, a nie najmniejszy wspólny mianownik
Różne przepisy dotyczące prywatności opierają się na podobnych podstawowych wartościach, ale wdrażają je w różny sposób. Wallace radzi: „Spróbujcie znaleźć najwyższy standard. Spróbujcie znaleźć to, co jest spójne w różnych środowiskach regulacyjnych, w których działacie, i traktujcie wszystkich tak, jakby podlegali temu samemu, opartemu na wysokich zasadach podejściu”.
Alternatywne podejście — próba stosowania wszędzie jedynie absolutnego minimum wymaganego prawem — przynosi odwrotny skutek. „Może się wydawać, że pozwoli wam to ograniczyć ryzyko regulacyjne”, mówi, „ale będzie was to kosztować znacznie więcej pod względem wdrożenia i obciążenia mentalnego, gdy będziecie próbować robić interesujące rzeczy”.
Nie chodzi zresztą wyłącznie o ryzyko regulacyjne. „To zachęci do etycznego podejścia do wykonywanej pracy”, wyjaśnia Wallace, „nawet tam, gdzie nie macie jasno określonych obowiązków regulacyjnych, na które można wskazać, przywołując konkretny rozdział i werset”. Ryzyko prawne może pochodzić z nieoczekiwanych źródeł — „pozwu zbiorowego”, „jakiegoś przedsiębiorczego zespołu prawnego” lub „konkurencji” — a nie tylko od organu regulacyjnego.
Określ stanowisko organizacji w kwestii własności danych
Zanim organizacje opracują listę zasad etycznych dotyczących sztucznej inteligencji, zdaniem Wallace muszą najpierw odpowiedzieć na bardziej fundamentalne pytanie. Przedstawia trzy konkurujące ze sobą globalne filozofie dotyczące własności danych:
O modelu UE: „Prywatność jest podstawowym prawem człowieka, a prawo do decydowania o wykorzystaniu własnych danych osobowych należy do podmiotu danych — człowieka”.
O historycznym modelu amerykańskim: „Uznawaliśmy, że wartość tych danych osobowych należy do firmy, która je zgromadziła, ponieważ czerpie ona z nich wartość, a zatem skoro to ona tę wartość wydobyła, z pewnością musi ona do niej należeć”.
O trzecim modelu spotykanym w innych miejscach: „Wartość danych osobowych, a w istocie konkretna treść danych osobowych, uznawana jest za własność państwa, ponieważ państwo wykorzysta je w najlepszym interesie podmiotu danych”.
Jej zdaniem firmy muszą świadomie wybrać swoje stanowisko, zamiast przyjmować je bezrefleksyjnie: „Czy jako organizacja wierzymy, że służymy ludziom, czerpiąc wartość z danych osobowych? [Czy] wierzymy, że służymy ludziom, pomagając naszym klientom wykorzystywać dane osobowe dla dobra podmiotu danych?”. Jak mówi, tę decyzję należy podjąć przed stworzeniem listy zasad etycznych — „nie od listy zasad, takich jak sprawiedliwość, odpowiedzialność czy ograniczanie uprzedzeń, trzeba zacząć”.
Ukryty koszt wzbogacania danych
Pojedyncze punkty danych mogą wyglądać na bezwartościowe w oderwaniu od kontekstu, ale Wallace ostrzega, że agregacja zmienia sytuację: „Informacje, które przekazaliście jednemu dostawcy w jednym przypadku — rozpatrywane samodzielnie mogą nie mieć dużej wartości. Jednak po zagregowaniu, wzbogaceniu i odsprzedaniu podmiotom trzecim, które mogą wykorzystać je do innych celów, ich wartość staje się znacznie wyższa”.
Ilustruje to prawdziwą historią przejęcia: duży bank kupił startup specjalnie ze względu na listę „4 milionów nazwisk osób, które skorzystały z usług związanych z kredytami studenckimi”, płacąc około „175 milionów dolarów” — uznając, że kompletna, zweryfikowana lista potencjalnych klientów jest warta mniej więcej „sto dolarów za osobę” w porównaniu z typowym kosztem pozyskania klienta wynoszącym „około 150 dolarów”. Problem polegał na tym, że „okazało się, iż te 4 miliony nazwisk były fałszywe. Zostały syntetycznie wygenerowane przy użyciu jakiegoś programu sztucznej inteligencji”, a transakcja upadła.
Jej wniosek podważa to, jak beztrosko ludzie traktują własne dane: „Ten duży bank uznał, że jesteście warci co najmniej sto dolarów. Czy wy [jako konsumenci] zrobilibyście z tymi danymi coś innego, wiedząc, ile są warte?”
Wbuduj odpowiedzialność w zespół projektowy, a nie tylko w salę posiedzeń zarządu
„Ton nadawany z góry” ma znaczenie, mówi Wallace, ale „to wystarcza tylko do pewnego momentu, gdy działamy na poziomie projektu”. Prawdziwa odpowiedzialność wymaga zaangażowania w każdą inicjatywę dotyczącą AI grupy reprezentującej rzeczywiście różne funkcje — „przy stole musi być zespół produktowy, inżynieria, bezpieczeństwo” — a także działów, które często są pomijane:
Sukces klienta: „Czy rozumieją funkcjonalność na tyle dobrze, że nawet bez skryptu mieliby przynajmniej słownictwo pozwalające przekazać pytanie komuś innemu?”
Marketing: „Czy wiecie, czy należą do kategorii osób uczulonych na AI, czy też do tej drugiej — bardzo chętnych do wypróbowywania nowych rzeczy? Jak dostosujecie ton i przekaz, aby odpowiednio mówić o nowych funkcjach?”
Dział prawny: „Wśród klientów w waszym portfolio mogą znajdować się tacy, którzy zabraniają wykorzystywania AI w produktach, które od was kupują. Taki zapis może być gdzieś ukryty w umowie. Może mówić o podejmowaniu decyzji algorytmicznych albo wykorzystywaniu modeli. Możecie mieć dziesięcioletnią umowę, która zabrania takiego zastosowania”.
Jak mówi Wallace, celem jest zespół, który w danym momencie sam bierze odpowiedzialność za swoje działania.
Oddziel niezamierzone niewłaściwe wykorzystanie od celowego podejmowania ryzyka
Wallace wyraźnie rozgranicza przypadkowe ujawnienie danych i celowe chodzenie na skróty. Po stronie przypadkowych zdarzeń mówi: „Większość używanych przez nas narzędzi ma konfiguracje, które można włączyć, aby kontrolować, czy ujawnione zostaną dane osobowe lub poufne informacje firmowe”.
Trudniejszym problemem jest skrót wynikający z presji terminu — ktoś decyduje się „przesłać ten zbiór danych do publicznego LLM”, ponieważ „musimy dostarczyć to do piątku”. Odpowiedź Wallace na taki scenariusz jest bezpośrednia: „Po prostu tego nie róbcie”.
Daj zespołom prawo do odmowy
Odmowa nie jest karą, mówi Wallace — to kwestia dyscypliny: „Nie ma w tym żadnej przyjemności, prawda? To nie jest jakiś mściwy gest”. Jej rekomendowanym narzędziem jest prosta macierz ryzyka — „prawdopodobieństwo rośnie wzdłuż jednej osi, a dotkliwość wzdłuż drugiej” — która pozwala organizacji „szczerze porozmawiać o znalezieniu swojego punktu w tym polu” i wspólnie uzgodnić, gdzie przebiega granica.
Otwarcie mówi o stosowaniu tej zasady podczas weryfikowania dostawców w RadarFirst: „W ciągu roku przyjrzeliśmy się setkom dostawców. Odsetek tych, którym odmówiliśmy, był dość wysoki. Mówiliśmy: „nie mamy wystarczających informacji albo nie opublikowali centrum zaufania, które moglibyśmy dokładnie przeanalizować, albo korzystają z bazowych modeli, których nam nie ujawniają””.
A niewiedza nie jest później usprawiedliwieniem: „Nie mogę zwrócić się do dostawcy i powiedzieć: „Tak naprawdę nie rozumiałam, co robicie, kiedy od was to kupowałam”. Niewiedza nie jest usprawiedliwieniem w świetle prawa. Nigdy nim nie była. I nigdy nim nie będzie”.
Nie mogę zwrócić się do dostawcy i powiedzieć: “Tak naprawdę nie rozumiałam, co robiliście, kiedy od was to kupowałam”. Niewiedza nie jest usprawiedliwieniem w świetle prawa.
More Articles
- Wycofywanie się z AI: prawdziwe historie liderów
- Rzeczywiste przepływy pracy z AI stosowane przez szefa realizacji w agencji wdrażającej Asanę
- Menedżer projektów i edukator wspomagany przez AI przedstawia prosty przepływ pracy AI, który zasadniczo zmienia sposób realizacji projektów
- Najlepsze modele AI do zadań związanych z zarządzaniem projektami
- 3 alternatywy dla zastąpienia ludzkich kierowników projektów agentami sztucznej inteligencji
Buduj kompetencje w zakresie AI w całej organizacji, nie tylko wśród kadry kierowniczej
W RadarFirst zespół Wallace prowadził cykliczny cykl edukacyjny: „Około półtora roku temu uruchomiliśmy comiesięczne spotkania przy lunchu poświęcone etycznej AI. Na każdym spotkaniu omawialiśmy jeden temat — sprawczość człowieka i nadzór, przejrzystość albo odpowiedzialność”. Podstawą spotkań były wytyczne UE dotyczące AI, a także rzeczywiste przykłady z Bazy incydentów AI: „Szokujące, najnowsze przypadki, które dotyczyły zasad przejrzystości lub ograniczania stronniczości”.
Wallace wyjaśnia, że celem nie było natychmiastowe zmienienie czyjegoś zdania: „Być może kiedy wychodzili z sali, nadal mieli takie samo stanowisko. W porządku. Kiedy jednak wracali do swoich biurek, mieli słownictwo pozwalające omawiać wątpliwości z zespołem albo eskalować je do działu prawnego, działu zgodności lub zespołu produktowego — zależnie od sytuacji”.
Jeśli chodzi o to, kto powinien prowadzić te spotkania, nie uważa ona, że potrzebne jest specjalne stanowisko ds. etyki AI: „Wyobrażam sobie, że można by nawet przekazywać to zadanie z miesiąca na miesiąc różnym osobom i za każdym razem czerpać z tego nieco inną wartość”.
Regulacje powoli nadrabiają zaległości — już teraz działajcie zgodnie z własnymi zasadami etycznymi
Wallace przedstawia samo prawo jako opóźniony wskaźnik wspólnych wartości: „Prawo jest po prostu sposobem zapisania naszych wspólnych zasad etycznych i umieszczenia ich w miejscu, w którym ludzie mogą je znaleźć”. W międzyczasie lukę wypełniają postępowania sądowe, zajmując się kwestiami „gdy są nowe, pojawiają się po raz pierwszy i nie było czasu, aby przepracować je w ramach procesów legislacyjnych” — ale ten proces jest z założenia powolny: „koła sprawiedliwości mielą powoli, ale niezwykle dokładnie”.
Wskazuje na ustawodawstwo dotyczące AI w Kolorado jako przestrogę: stan „działał dość szybko. Stworzono coś całkiem dobrego, a potem trzeba było to wycofać, ponieważ nie udało się ustalić, jak faktycznie to wdrożyć”. Firmy, które wcześniej zbudowały wokół tego zgodność z przepisami, musiały czekać.
Jej zalecenie jest takie, aby przestać traktować nadrabianie zaległości regulacyjnych jako metę: „Jeśli wiesz, co to znaczy być etyczną organizacją, jeśli wiesz, gdzie znajduje się twój próg ryzyka, umieścisz swoje ryzyko legislacyjne lub procesowe po właściwej stronie tej kategorii i powiesz: dobrze, jesteśmy gotowi się z tym zmierzyć, jeśli do tego dojdzie. Ale obecnie nie wiemy wystarczająco dużo — to, co wiemy o sobie, to to, co uważamy za właściwe, i to, czego, jak sądzimy, oczekują od nas nasi klienci. Na tym możemy działać już dziś”.
Chcesz poznać więcej podobnych spostrzeżeń? Zarejestruj się, aby założyć bezpłatne konto DPM i posłuchać kolejnych ekspertów.
