Monitoraggio dell’AI nel posto di lavoro
Proprio come le organizzazioni utilizzano l’intelligenza artificiale per monitorare il posto di lavoro, devono anche monitorare se stesse e, di conseguenza, rimodellare le proprie aspettative in materia di rischio, governance e sicurezza. L’AI deve essere gestita da due direzioni: dall’interno verso l’esterno, assicurandosi che le organizzazioni utilizzino l’AI in modi che preservino la fiducia, e dall’esterno verso l’interno, proteggendo i sistemi AI dalle minacce esterne.
Definizione di “AI” nel contesto aziendale
Il termine “AI” è frequentemente usato come un termine generico per qualsiasi cosa automatizzata o basata sulla tecnologia. Ciò oscura le differenze significative in termini di rischio, controllo e trattamento normativo. Per una governance efficace, le organizzazioni devono distinguere tra automazione tradizionale, modelli predittivi, sistemi generativi e architetture agentiche più avanzate.
Questa precisione aiuterà le organizzazioni a effettuare valutazioni di rischio accurate, progettazioni di controllo appropriate e divulgazioni esterne credibili. Dal punto di vista tecnologico, la maggior parte delle imprese utilizza AI generativa e chatbot come assistenti per la generazione di contenuti, riassunti e analisi. Questi strumenti possono migliorare notevolmente velocità e scala, ma possono anche ampliare le opportunità di accesso non autorizzato e attacchi.
Poiché l’AI interagisce con dati sensibili, si connette a sistemi interni e risponde a richieste di utenti suscettibili di manipolazione, potrebbero crearsi nuove vie di sfruttamento e ampliare la superficie di attacco dell’organizzazione e quindi la vulnerabilità.
AI agentica
L’AI agentica è descritta come “una nuova generazione di sistemi AI che sono semi- o completamente autonomi e quindi in grado di percepire, ragionare e agire autonomamente.” L’AI agentica porta questi rischi un passo oltre orchestrando sequenze di azioni attraverso gli strumenti e i sistemi di un’organizzazione, il che può accelerare e aumentare l’impatto di errori di configurazione, problemi di privilegi e uso improprio.
È importante notare che la terminologia legale e tecnica non è sempre coerente. Molte leggi distinguono tra sistemi AI in generale e “automated decision-making (ADM)” o “automated decision-making technology (ADMT)” quando le decisioni influiscono materialmente sui diritti o sulle opportunità degli individui.
Utilizzo dell’AI preservando la fiducia
Esaminando l’AI dall’interno verso l’esterno, si deve considerare come viene implementata all’interno dell’organizzazione e come tale utilizzo influisce sulle relazioni con i dipendenti, sulla fiducia dei clienti e sulle aspettative dei terzi. Molti quadri normativi e politiche si basano su approcci basati sul rischio che si concentrano e calibrano i controlli attorno al contesto, al potenziale danno e all’autonomia del sistema dell’organizzazione.
Le preoccupazioni legali e di conformità interne chiave includono:
- Quando si utilizza l’AI per monitorare le prestazioni, non oltrepassare il limite nella sorveglianza intrusiva dei dipendenti.
- Fare quanto necessario per prevenire perdite di informazioni riservate, inclusi dati personali, proprietà intellettuale e informazioni aziendali sensibili, ognuna delle quali può avere protezioni normative e contrattuali distinte.
- Preservare la fiducia dei consumatori e degli stakeholder segnalando chiaramente quando vengono utilizzati chatbot o strumenti di decision-making automatizzati e fornendo vie significative per la comunicazione, spiegazione e risoluzione delle controversie.
- Gestire i rischi della catena di approvvigionamento trattando i fornitori di AI e i servizi AI incorporati come terze parti critiche soggette a valutazioni di rischio strutturate, salvaguardie contrattuali e monitoraggio continuo.
Risorse e rischi operativi
Molti rischi operativi significativi dovuti a errori umani possono sorgere dopo il dispiegamento dell’AI. Questi possono includere uso improprio dell’AI, eccessiva dipendenza dall’AI, violazioni delle politiche e disallineamento tra uso previsto e uso effettivo. Un programma maturo di governance dell’AI combina controlli tecnici con formazione, gestione degli accessi, monitoraggio dell’aderenza alle politiche, rilevamento e pianificazione della risposta agli incidenti e implementazione di robusti registri di audit.
Protezione dell’AI come superficie di attacco
Guardando l’AI dall’esterno verso l’interno, si considera i sistemi AI come beni e superfici di attacco che richiedono strategie di sicurezza dedicate. Una parte significativa delle attività relative all’AI si verifica oltre la visibilità tradizionale, specialmente dove modelli, agenti e livelli di orchestrazione sono ospitati in servizi cloud o piattaforme esterne.
I leader della sicurezza devono chiarire gli obiettivi di monitoraggio, tra cui:
- Rilevare l’uso dell’AI da parte di attori minacciosi all’interno degli ambienti aziendali.
- Identificare e contenere abusi o compromissioni dei sistemi AI e agentici.
- Gestire il rischio interno dove i sistemi AI, se configurati in modo errato, possono consentire accessi o aggregazioni di dati oltre il ruolo di un individuo.
- Controllare l’esposizione ampliata dei dati poiché i servizi AI si integrano attraverso SaaS, cloud e piattaforme interne, creando così nuovi flussi di dati e dipendenze.
L’AI sta evolvendo, con soluzioni emergenti progettate specificamente per monitorare il comportamento dell’AI, applicare politiche di prompt e azioni degli agenti, e fornire registri auditabili per la conformità. Col tempo, queste capacità probabilmente si concentreranno in piattaforme di endpoint, identità e sicurezza di nuova generazione. Tuttavia, i Direttori della Sicurezza delle Informazioni e i team esecutivi non dovrebbero attendere l’arrivo di prodotti completamente maturi. Dovrebbero iniziare ora, dando priorità alla mappatura dell’uso dell’AI, all’allineamento delle definizioni tecniche e legali, alla chiarificazione dei ruoli e delle responsabilità, e alla costruzione di strategie di monitoraggio e governance che affrontino simultaneamente la fiducia interna e la sicurezza esterna.
