Nuove esposizioni di sicurezza dell’adozione rapida di GenAI che le organizzazioni devono affrontare
Generative AI (GenAI) è passata da curiosità a forza centrale nella tecnologia aziendale. La sua capacità di generare testo, codice, immagini e intuizioni su richiesta la rende indispensabile per i dipendenti che desiderano semplificare la complessità e accelerare la produttività. Tuttavia, con questa innovazione ed efficienza, sorgono enormi rischi.
Le chiamate con dirigenti e leader della governance AI in vari settori evidenziano un tema ricorrente: la sicurezza dei dati è passata da una preoccupazione chiave a un punto focale della loro strategia, diventando la sfida definente dell’adozione dell’AI. A differenza del software tradizionale o delle precedenti onde di machine learning, GenAI cambia radicalmente il processo di protezione dei dati all’interno di un’organizzazione.
Studi recenti hanno rivelato che il 95% dei progetti pilota GenAI nelle imprese sta fallendo. Non perché la tecnologia sia debole, ma perché le aziende mancano dei framework di governance e sicurezza necessari per operazionalizzare GenAI in modo appropriato e responsabile. I leader aziendali citano la sicurezza dei dati come il principale rischio commerciale e di sicurezza che ostacola l’adozione più rapida dell’AI. Inoltre, l’uso non autorizzato di strumenti pubblici da parte dei dipendenti, noto come “shadow AI”, è ampiamente riconosciuto come un driver di rischi per i dati in aumento al di là del controllo aziendale.
Esposizioni di GenAI da considerare
GenAI crea una superficie di dati vasta e in continua espansione, complicando la governance e la sicurezza dei dati aziendali in vari modi interconnessi:
- Perdita di input – GenAI può ingerire dati nella loro forma grezza, inclusi testi, immagini, audio e video. Gli utenti finali possono ora indirizzare gli strumenti GenAI verso nuovi dataset con sforzo o competenza minima. Questo significa che i dipendenti stanno alimentando i prompt con informazioni aziendali altamente sensibili, inclusi dati identificabili dei clienti, proprietà intellettuale, previsioni finanziarie e persino codici sorgente.
- Esposizione di output – I modelli generativi non si limitano a consumare, ma sintetizzano. Un prompt può inavvertitamente estrarre intuizioni da vari dataset ed esporle a utenti senza la necessaria autorizzazione. In alcuni casi, gli output possono persino “allucinare” dati che appaiono legittimi ma contengono frammenti di materiale di addestramento altamente sensibile.
- Accessibilità senza supervisione – I sistemi aziendali tradizionali richiedevano l’approvazione dei fornitori e la fornitura IT. Oggi GenAI è incorporata ovunque: suite Microsoft Office, browser, strumenti di chat e piattaforme SaaS. I dipendenti possono adottarla immediatamente, eludendo completamente la governance. Questo accesso senza attriti alimenta lo “shadow AI”, e ogni uso non autorizzato di GenAI è un potenziale evento di esfiltrazione dei dati che avviene invisibilmente, su larga scala, e al di fuori del perimetro di governance di un’azienda.
- Rischio della catena di fornitura di secondo livello – Un fornitore può sembrare sicuro, ma spesso fa affidamento su subappaltatori come host cloud, servizi di annotazione o laboratori AI di terze parti. Ognuno introduce i propri contratti di licenza e politiche. I dati sensibili possono passare attraverso più mani invisibili, mentre la responsabilità rimane interamente con l’azienda.
- Gap di governance nei dati di addestramento – Una volta che i dati entrano in un modello AI, il controllo di fatto termina. Le aziende non possono facilmente ritirare o governare come le loro informazioni vengono utilizzate. La conoscenza proprietaria può persistere e poi riemergere negli output molto tempo dopo che la sua origine è stata dimenticata.
Affrontare il rischio di GenAI
GenAI è già incorporata nei flussi di lavoro aziendali, quindi la domanda per le aziende non è se adottarla, ma come farlo in modo responsabile. Adottare GenAI senza governance comporta rischi costosi, penali normative e danni alla reputazione. Bloccandola, si spingono i dipendenti a utilizzare soluzioni non autorizzate. L’unico modo per procedere è l’abilitazione avvolta in visibilità e controllo.
La governance di GenAI richiede visibilità contestuale non solo su quali dati ha un’azienda, dove si trovano e chi ha accesso, ma anche su come viene utilizzato GenAI. Le aziende devono monitorare quali strumenti vengono utilizzati, quali prompt vengono inseriti e se dati sensibili stanno lasciando il loro ambiente. Da lì, possono applicare controlli appropriati per monitorare i prompt e gli output in tempo reale, segnalare sessioni rischiose o flussi di dati anomali, bloccare strumenti non autorizzati, filtrare prompt sensibili prima che escano, de-identificare i dati sensibili mentre vengono inseriti nei prompt e far rispettare restrizioni basate sui ruoli sugli approfondimenti guidati dall’AI.
GenAI rappresenta un nuovo strato di rischio e opportunità per le aziende. Gestirlo richiede la mentalità che la sicurezza non sia un freno all’innovazione, ma la base che la rende sicura.
