.svg?width=93&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Home"){kind=logo}
.svg?width=7&quality=80&auto=webp&format=auto&cache=true&immutable=true&cache-control=max-age%3D31536000 "Top Navigation - Sign in - Icon")
Gli strumenti di IA hanno reso incredibilmente facile per un’azienda esporre i propri dati:
Un dipendente incolla l’elenco dei clienti in un chatbot per riformattarlo.
Uno sviluppatore inserisce codice proprietario in un assistente per individuare e correggere un errore.
Qualcuno collega un nuovo prodotto basato sull’IA al proprio account di lavoro per risparmiare qualche ora alla settimana.
Nessuna di queste azioni sembra avere intenti malevoli, eppure ciascuna comporta il trasferimento di informazioni sensibili in un ambiente che il team di sicurezza non è in grado di monitorare.
Questa nuova era del «muoversi velocemente e rompere le cose» (move fast and break things), espressione coniata notoriamente da Mark Zuckerberg agli albori di Facebook, favorisce gli aggressori. Oggi i dati aziendali transitano attraverso un numero maggiore di ambienti e soggetti terzi e vengono gestiti tramite un numero crescente di credenziali con privilegi delegati.
L’uso dell’IA ombra (Shadow AI) è già ampiamente diffuso:
- L’82% delle organizzazioni ha individuato almeno uno strumento o un flusso di lavoro basato sull’IA di cui i team IT e di sicurezza ignoravano l’esistenza.
- Il 90% dei responsabili IT dichiara di essere preoccupato per i rischi legati all’IA ombra dal punto di vista della privacy e della sicurezza.
Le organizzazioni sono consapevoli del problema e adotteranno policy sull’IA per informare i dipendenti sugli usi consentiti di queste tecnologie e soddisfare i requisiti di conformità normativa. Si presume che, se i dipendenti conoscono le regole, le rispetteranno. Purtroppo, la governance non funziona in questo modo.
Un documento che definisce le policy e la formazione dei dipendenti rappresentano soltanto il punto di partenza di una strategia di governance dell’IA. Una policy sull’IA è efficace solo se supportata da una visibilità adeguata e da controlli tecnici applicati all’interno dei flussi di lavoro degli utenti.
Leggi tutto l’articolo: https://www.sophos.com/en-us/blog/ai-governance-needs-more-than-a-policy-document