La sfida della convergenza normativa: espansione dei permessi e regolamenti sull’IA in ambienti ibridi
I leader della sicurezza aziendale affrontano una sfida di convergenza normativa. Con i dati che sfuggono ai confini e le informazioni generate dall’IA sempre più in grado di accedere ai dati personali, i tecnologi devono agire in modo decisivo o rischiare esposizioni normative. Tuttavia, all’interno di questa sfida si nasconde un vantaggio competitivo per coloro che costruiscono proattivamente quadri di governance intelligenti.
I numeri raccontano una storia. Non meno di cinque stati americani hanno implementato nuove leggi sulla privacy dei dati. Allo stesso tempo, nell’Unione Europea è entrato in vigore il Digital Operational Resilience Act (DORA) per le entità dei servizi finanziari. Nel frattempo, l’AI Act dell’UE crea una rete intricata di requisiti normativi sovrapposti che i tradizionali quadri di governance dei dati semplicemente non erano progettati per gestire.
Il costo finanziario è sbalorditivo e in rapida crescita. Ricerche indicano che il costo medio di una violazione dei dati era quasi di 5 milioni di dollari nel 2024, con 10,5 trilioni di dollari previsti per i crimini informatici quest’anno. Il costo dell’inazione è alto. Dietro queste cifre si cela un’epidemia di espansione dei permessi.
Il corso di collisione tra innovazione e conformità
Quello che rende questo particolarmente difficile non è solo il volume di nuove normative, ma la loro coesione attorno alla governance dei dati. L’European Data Protection Board (EDPB) ha ricordato alle aziende che lo sviluppo responsabile dell’IA deve allinearsi ai principi del General Data Protection Regulation (GDPR) dell’UE, mentre il Parlamento Europeo ha pubblicato un rapporto sull’interazione tra l’AI Act dell’UE e il GDPR, concludendo che potrebbe risultare restrittivo in circostanze in cui il GDPR consente il trattamento di categorie speciali di dati personali.
Questa rappresenta una collisione fondamentale tra innovazione e conformità. Le iniziative di IA hanno un bisogno insaziabile di dati, il che contraddice i rigorosi mandati sulla privacy, costringendo i tecnologi a riconciliare esigenze apparentemente incompatibili. Senza un approccio olistico che affronti e riduca l’espansione dei permessi, le organizzazioni devono scegliere se ostacolare l’innovazione o rischiare pesanti sanzioni a causa di una scarsa igiene degli accessi.
La governance multi-cloud è il punto cieco
Gli approcci tradizionali alla conformità tendono a fallire negli ambienti ibridi, dove i problemi di governance si moltiplicano a causa dei diversi servizi utilizzati e della complessità dell’infrastruttura sottostante, creando vulnerabilità alla sicurezza. I dati residenti nel cloud sono solitamente scalati, condivisi e automatizzati, e le piattaforme IT native del cloud possono spesso offuscare la reale posizione dei dati sia per l’utente finale che per il fornitore del servizio.
Il contesto multi-cloud, pur offrendo agilità, è diventato un punto cieco per la governance. L’assenza di interfacce di programmazione delle applicazioni (API) standardizzate e l’offuscamento della residenza dei dati attraverso piattaforme disparate rappresentano non solo ostacoli tecnici, ma anche minacce all’applicazione coerente delle politiche e alla conformità auditabile. Questa frammentazione significa anche che dimostrare responsabilità ai regolatori può essere arduo e pieno di rischi.
La sfida dell’amplificazione dell’IA
Le carichi di lavoro dell’IA aggiungono ulteriore complessità ai quadri di conformità. Dopo il GDPR, i richiedenti brevetti con maggiore esposizione ai mercati dell’UE hanno aumentato i brevetti per la conservazione dei dati – progettati per funzionare efficacemente con meno dati personali o che lavorano attivamente per preservare la privacy – riducendo quelli ad alta intensità di dati, indicando che le normative stanno già rimodellando le strategie di sviluppo dell’IA. Tuttavia, la maggior parte delle organizzazioni manca dell’infrastruttura di governance per supportare questa transizione.
Una parte importante di questa infrastruttura mancante è la capacità di gestire e limitare l’accesso ai vasti set di dati che alimentano i modelli di IA, prevenendo l’espansione dei permessi che espone dati sensibili o dati a cui gli utenti richiedenti non dovrebbero avere accesso. Le organizzazioni devono stabilire simmetria dei permessi tra le esigenze del sistema di IA e i diritti di accesso concessi, assicurando che i modelli di apprendimento automatico abbiano esattamente i dati di cui hanno bisogno senza accumulare permessi eccessivi che potrebbero compromettere informazioni sensibili.
Costruire una governance resiliente: tre capacità critiche
Il percorso da seguire è chiaro, sebbene impegnativo. I leader della sicurezza aziendale e le aziende che servono devono passare da una conformità reattiva a una governance dei dati proattiva. Questo non è solo necessario per la sopravvivenza, ma anche un trampolino di lancio per l’innovazione. Tre capacità fondamentali sono necessarie per costruire quadri veramente resilienti:
- Analisi automatica dei controlli di accesso
Prima di tutto, i tecnologi devono implementare l’analisi e la correzione automatica delle liste di controllo degli accessi (ACL). Gli audit manuali dei permessi semplicemente non possono scalare per soddisfare le attuali esigenze normative. Le organizzazioni moderne basate sui dati necessitano di sistemi che possano analizzare automaticamente l’ereditarietà dei permessi complessi, identificare schemi di accesso eccessivi e correggere le violazioni senza intervento umano.
- Applicazione delle politiche basata sui metadati
I quadri di governance intelligenti devono sfruttare l’intelligenza dei metadati. Questi quadri devono estrarre e utilizzare metadati ricchi – inclusi proprietà, liste di controllo degli accessi e dettagli di elaborazione – per abilitare la gestione del ciclo di vita dei dati guidata dalle politiche. Questo consente ai tecnologi e ai team di dati di implementare i requisiti di limitazione degli scopi derivanti da normative come il California Consumer Privacy Act (CCPA) e il GDPR.
- Visibilità trasversale agli ambienti
Una visibilità completa attraverso tutti gli ambienti è essenziale. I team di conformità necessitano di una visione unica attraverso i patrimoni di dati on-premises, ibridi e multi-cloud. Senza di essa, non possono dimostrare la responsabilità nella gestione dei dati che i regolatori richiedono. Questa capacità espone vulnerabilità, rileva e gestisce l’espansione dei permessi attraverso sistemi disparati e assicura che nessun IT ombra o risorsa trascurata ospiti diritti di accesso eccessivi.
