Il rischio maggiore legato all’intelligenza artificiale è già all’interno dell’edificio

E se il rischio più urgente legato all’IA che la vostra organizzazione deve affrontare non fosse un sofisticato attacco informatico o un agente disonesto che agisce in modo imprevedibile? E se fosse proprio il vostro team dirigenziale a utilizzare strumenti di cui il reparto IT non conosce nemmeno l’esistenza?

È quanto emerge da una ricerca di Nitro , intitolata «     » (   ) sull’adozione dell’IA nelle aziende, che ha rivelato come il 68% dei dirigenti di alto livello abbia utilizzato strumenti di IA destinati al pubblico non autorizzati per aggirare le limitazioni degli strumenti approvati. In una recente partecipazione al podcast“  ” del Tech Talks Network  , il CEO di Nitro Cormac Whelan  ha sostenuto che questa statistica non rappresenta solo un fallimento della governance, ma piuttosto un sintomo di qualcosa di più profondo. Le organizzazioni stanno adottando l’IA senza un quadro di riferimento che definisca dove, perché e a quali condizioni debba essere utilizzata. Finché tale quadro non esisterà, l’IA ombra a ogni livello dell’azienda sarà il risultato prevedibile.

Perché l’IA “ombra” si concentra ai vertici dell’organigramma

La pressione sui dirigenti affinché dimostrino i progressi nell’IA è enorme e proviene da ogni direzione — sale del consiglio di amministrazione, conferenze telefoniche con gli investitori, riunioni della leadership — e gli strumenti stessi non sono mai stati così facilmente accessibili. Questa combinazione sta generando un modello comportamentale specifico: i dirigenti sperimentano per conto proprio perché gli strumenti approvati o non esistono ancora o non soddisfano le esigenze con sufficiente rapidità.

«L’entusiasmo, la pressione e l’accessibilità: oggi l’IA è davvero alla portata di tutti», afferma Cormac. «E la pressione che molti dirigenti avvertono, sia nelle sale della dirigenza che nelle sale del consiglio di amministrazione, per dimostrare che stanno facendo progressi, che stanno ottenendo risultati sfruttando l’IA. Credo che questo li abbia spinti a sperimentare».

L’istinto di sperimentare è comprensibile. Ma la sperimentazione senza un quadro di riferimento significa che i vertici dell’organizzazione stanno prendendo decisioni caso per caso su quali dati rendere accessibili e di quali strumenti fidarsi, senza criteri condivisi per nessuno dei due aspetti.

Cosa rende i flussi di lavoro documentali l’area a più alto rischio per l’uso non autorizzato dell’IA?

Il motivo per cui questo aspetto è più rilevante rispetto a una tipica questione di “shadow IT” risiede nel contenuto dei file in fase di elaborazione. I documenti sono al centro di quasi tutte le funzioni aziendali fondamentali e contengono alcune delle informazioni riservate più sensibili in possesso di un’organizzazione.

«Che si tratti di un documento di approvvigionamento con un fornitore, di un atto legale, di un accordo di acquisto di azioni o di un contratto di lavoro, al loro interno è presente un’enorme quantità di dati altamente riservati e specifici del settore», afferma Cormac. «Garantire la sicurezza e l’integrità di tali informazioni: ecco ciò che conta».

Quando un dirigente analizza un contratto tramite uno strumento di IA non approvato per ottenere un riepilogo o un confronto rapido, potrebbe affidare quei dati a un sistema con politiche di conservazione, pratiche di addestramento e controlli di accesso sconosciuti. Se si moltiplica questa situazione all’interno di un’organizzazione in cui due terzi del team dirigenziale agiscono allo stesso modo, l’esposizione al rischio aumenta rapidamente. Tale rischio è già insito nel flusso di lavoro quotidiano di ogni dirigente che ha bisogno di una risposta più rapida di quella che gli strumenti approvati sono in grado di fornire.

In che modo un approccio incentrato sui risultati risolve sia la strategia che la governance

Il motivo per cui i dirigenti ricorrono a strumenti non approvati è che hanno in mente un risultato aziendale — riassumere questo contratto, estrarre queste cifre, confrontare queste condizioni — ma non dispongono di un percorso autorizzato per raggiungerlo. Per risolvere la questione è necessario definire i risultati che l’IA dovrebbe fornire in tutta l’organizzazione e solo allora costruire la governance attorno a quei casi d’uso specifici.”«A volte i dirigenti si lasciano prendere dal pensiero che “deve essere l’IA per questo, deve essere l’IA per quello”», afferma Cormac. «La domanda che vale la pena porsi per prima è: qual è il risultato che stiamo cercando di ottenere? E in che modo l’IA ci sta effettivamente aiutando a raggiungerlo?»

Quando si definisce prima il risultato, la governance diventa notevolmente più semplice perché l’ambito è chiaro. Quali dati richiede questo caso d’uso? Qual è il livello di sensibilità di quei dati? Quali politiche di conservazione e formazione deve rispettare lo strumento? A queste domande si può rispondere quando il caso d’uso è specifico fin dall’inizio.

«Il nostro team legale, quello finanziario e quello di marketing utilizzano tutti l’IA», afferma Cormac. «E si parte innanzitutto dal chiedersi in che modo ciò ci aiuti a ottenere un risultato migliore, che si tratti di produttività, rapidità di immissione sul mercato, capacità di migliorare la qualità del nostro codice o l’usabilità del nostro prodotto. Partiamo innanzitutto tenendo a mente il risultato finale».

A livello organizzativo vale la stessa logica. Quando le organizzazioni definiscono i risultati di cui hanno bisogno, valutano in quali ambiti l’IA li accelera realmente e definiscono una governance attorno a quelle specifiche implementazioni, l’IA “ombra” smette di essere una soluzione alternativa allettante.

Come sottoporre a stress test il proprio framework di IA

Man mano che gli strumenti di IA si diffondono in tutta l’azienda, la questione di dove finiscano i dati e di come vengano gestiti diventa una decisione di acquisto, piuttosto che un semplice esercizio di conformità. Le organizzazioni che valutano i fornitori di IA (o che analizzano ciò che i propri dirigenti stanno già utilizzando) devono porre domande specifiche: questo strumento conserva i dati che vi vengono immessi? Tali dati vengono utilizzati per addestrare i modelli? Chi vi ha accesso e sotto quale giurisdizione?

«Abbiamo sempre considerato l’Europa come il massimo comune denominatore in materia di regolamentazione dei dati personali», spiega Cormac. «Lo consideriamo un punto di forza. Quando entriamo nei mercati dell’Asia, dell’Australia o degli Stati Uniti, di solito operiamo ben al di sopra dei requisiti locali in materia di privacy dei dati».

Adeguare la selezione dei fornitori e l’implementazione interna agli standard di privacy più elevati disponibili, anziché ai requisiti minimi richiesti, riduce l’esposizione ai rischi, semplifica le operazioni transfrontaliere e rafforza la credibilità presso clienti e partner nei settori regolamentati. Se il vostro quadro normativo è in grado di soddisfare i requisiti di privacy dei dati più esigenti, può soddisfarli tutti.

Colmare il divario

La percentuale del 68% è un indicatore reale di quanti dirigenti abbiano un’esigenza aziendale che l’attuale approccio alla IA della loro organizzazione non è in grado di soddisfare. E ogni volta che uno di loro ricorre a uno strumento non approvato, sta prendendo una decisione in materia di sicurezza dei dati, affidabilità dei fornitori e conformità a nome dell’intera organizzazione senza disporre di una struttura di governance a sostegno.

«Concentratevi sui risultati», afferma Cormac. «L’IA dovrebbe essere quasi una routine, in secondo piano. Non dovreste mai fare nulla che metta a rischio la fiducia o la trasparenza dei vostri dati. Se l’IA contribuisce a ottenere un risultato migliore, fantastico. Ma se così non fosse, ci sono altri modi per raggiungerlo».

L’obiettivo è un quadro di riferimento che renda superflua la sperimentazione non approvata: un quadro che parta da risultati definiti, impieghi l’IA per il raggiungimento di tali risultati con una governance chiara e sottoponga ogni strumento agli stessi standard di affidabilità e responsabilità applicati a ogni altra parte dell’azienda. Per le organizzazioni in cui la maggior parte dei dirigenti opera già al di fuori degli strumenti approvati, prima verrà messo in atto tale quadro di riferimento, minore sarà il divario da colmare.

Ascoltate la conversazione completa sul podcast “   ” di Tech Talks Network , in cui Cormac parla di “shadow AI”, di come distinguere la vera innovazione dal marketing costoso e del perché una mentalità orientata ai risultati sia più importante che mai.