Рискове за поверителността на данните при ИИ, които всеки малък бизнес трябва да разбира

Никой в малкия бизнес не си поставя за цел да изтече данни на клиенти в модел с ИИ. Случва се така, както се случват повечето неприятности — тихо, услужливо, по едно безобидно на пръв поглед поставяне наведнъж. Някой пуска имейл на клиент в чатбот, за да състави учтив отговор. Някой качва таблица с имена, за да я „просто обобщи“. Някой позволява на лъскав нов инструмент да прочете цялата споделена пощенска кутия, за да е по-умен. Нищо от това не изглежда като решение. Точно затова си струва да поговорим за него.

Работя с малки и средни компании, които въвеждат ИИ в ежедневието си, и разговорът за поверителността е този, който хората най-много искат да прескочат. Звучи като юристи, съответствие и формуляри — обратното на скоростта, заради която дойдоха при ИИ. Но ето в какво е работата: не е нужно да ставате експерт по защита на данните. Нужен ви е ясен поглед къде са истинските рискове, кои от тях наистина важат за бизнес с вашия размер и шепа навици, които ви предпазват от неприятности. Това е цялата задача и е по-малка, отколкото изглежда.

Това не е плашеща статия и не е лекция за регламенти, които никога няма да прочетете. Това е практичната версия: до какви данни наистина се докосват инструментите с ИИ, къде може да се обърка и как да продължите да използвате ИИ, без да лежите будни, чудейки се на чии сървъри е списъкът ви с клиенти.

Какво всъщност се промени, когато се появи ИИ

Години наред данните, които бизнесът ви обработваше, оставаха предимно там, където ги поставяхте — счетоводния ви софтуер, пощенската ви кутия, споделен диск. Рисковано, разбира се, но ограничено. Генеративният ИИ тихо разруши тази граница. Целият смисъл на тези инструменти е, че им подавате реалната си, конкретна информация и те правят нещо полезно с нея. Което означава, че данните ви сега пътуват някъде ново, често към сървър, който не притежавате, в държава, която не сте избирали, управляван от компания, с която никога не сте говорили.

Това не е по същество лошо. Много уважавани доставчици на ИИ боравят внимателно с данните. Но подразбиращите се допускания се промениха, а повечето хора така и не обновиха своите. Мисловният модел „данните ми остават в сградата ми“ просто не оцелява при допир с чатбот, до който се достъпва през браузър. Щом приемете това, останалото става много по-лесно за осмисляне.

Къде всъщност отиват данните ви

За да разсъждавате за риска, трябва да знаете какво се случва с парче текст, след като натиснете „изпрати“. При типичен облачен инструмент с ИИ вашият вход пътува до сървърите на доставчика, обработва се от модела и се връща отговор. Достатъчно просто. Въпросите, които имат значение, са тези, които никой не задава в момента: Съхранява ли се този вход? За колко време? Кой може да го види? И използва ли се за обучение на бъдещи модели?

Тези четири въпроса са целият разговор за поверителността в миниатюра. Безплатен потребителски план и платен бизнес план от една и съща компания могат да им отговорят напълно различно. Безплатната версия на инструмент може да задържи входовете ви и да ги използва за подобряване на модела; бизнес версията на същия инструмент често обещава, че изобщо няма да съхранява или да се обучава върху данните ви. Същото лого, съвсем различна сделка. Разликата е в плана, на който сте, и в настройките, които никога не сте отваряли.

Рисковете, които наистина имат значение за малкия бизнес

Ръководствата за поверителност обичат да изброяват двайсет заплахи, повечето от които важат за банка, а не за компания от 12 души. Нека ги съкратя до шепата, която наистина хапе малкия бизнес. Това са онези, които съм виждал да причиняват реални главоболия.

Изтичане на данни, които не сте искали да споделяте

Това е ежедневният случай. Служител поставя цялото съобщение на клиент — име, адрес, детайли за поръчката, може би оплакване — в чатбот, за да получи помощ с отговора. Безобидно намерение, но тези лични данни вече са изпратени на трета страна, вероятно съхранени, вероятно използвани за обучение. Умножете това по натоварен екип за една година и сте изпратили тихо значителна част от клиентската си база на чужди сървъри, без запис за това и без съгласие от засегнатите хора.

Вашите данни обучават нечий друг модел

Ако инструмент използва входовете ви за подобряване на модела си, фрагменти от информацията ви по принцип могат да изплуват другаде по-късно. За повечето малки бизнеси реалистичната грижа не е, че конкурент по магия ще извлече ценоразписа ви — а загубата на контрол и проблемът със съгласието. Обещали сте на клиентите, че ще пазите данните им. Подаването им в модел, който се учи от тях, трудно се съчетава с това обещание и е невъзможно да се отмени.

Инструментът, който закачихте, без да прочетете нищо

Най-рисковият ИИ в бизнеса ви често е малкият, който никой не е проверил — разширение за браузър, приложение от типа „свържи пощенската си кутия“, безплатен инструмент за транскрипция, който някой е намерил. Те могат да поискат всеобхватен достъп до имейл, файлове или календари и много от тях са тънка обвивка около по-голям доставчик на ИИ, който не виждате. Опасността не са известните инструменти, които биват одитирани. А незабележимите, с широки разрешения и политика за поверителност, която никой не е отварял.

Уверено грешни отговори за реални хора

Има аспект на поверителността, който се пропуска: ИИ може да генерира правдоподобна, но грешна информация за конкретен човек или случай. Ако този измислен детайл се озове в клиентски запис, препоръка или решение, което засяга някого, имате едновременно проблем с точността и с защитата на данните. Всичко, което ИИ твърди за реален човек, се нуждае от проверка от човек, преди да се приеме за факт.

• Лични данни на клиенти, поставени в потребителски инструменти, които може да ги съхраняват или да се обучават върху тях.
• Поверителни договори, цени или стратегия, споделени с модел, с който нямате споразумение.
• Данни на служители — здравни бележки, представяне, заплати — прекарани през общи чатботове.
• Добавки с ИИ от трети страни, на които е даден широк достъп до пощенската ви кутия, файлове или календар.
• Генерирани от ИИ твърдения за реални хора, копирани в записи без проверка от човек.
• Цели споделени пощенски кутии или дискове, свързани с инструмент, чиито условия никой не е чел.

Какво очакват правилата (без правното главоболие)

Ако обработвате данни за когото и да е в Европа — а почти всеки бизнес го прави — GDPR вече важи за начина, по който използвате ИИ. Не е нужно да го наизустявате, но няколко принципа се превеждат директно в здрав разум. Отговорни сте за личните данни дори когато инструмент ги обработва вместо вас. „ИИ-то го направи“ не е защита. Ако предадете клиентски данни на доставчик, очаква се да имате надлежно споразумение с него за това как ги обработва.

Принципите, които имат най-голямо значение на практика, са скучните, разумните: споделяйте само данните, които наистина са ви нужни (не поставяйте целия запис, когато би стигнал откъс), бъдете прозрачни с хората за това как се използват данните им, пазете ги само толкова дълго, колкото е необходимо, и бъдете в състояние да удовлетворите искания за достъп или изтриване. ИИ не променя тези задължения — просто ги прави по-лесни за забравяне, защото инструментът усеща като личен асистент, а не като външна компания.

Облак, частен облак или на собствена инфраструктура?

Не целият ИИ живее на чужд сървър. Има спектър и познаването му ви помага да съчетаете инструмента с чувствителността на данните. В единия край е публичният облачен инструмент — бърз за приемане, най-евтин за начало, но данните ви напускат контрола ви. По средата стои облачна договорка на бизнес ниво с договорни гаранции: без обучение върху данните ви, ясно задържане, обработка в регион, който приемате. За повечето малки бизнеси тази средна опция е златната среда за ежедневната работа.

В далечния край е изпълнението на ИИ на собствена инфраструктура — на място или в частна среда, която контролирате — така че чувствителните данни изобщо да не напускат стените ви. Това беше екзотично и скъпо. Вече не е. Способни отворени модели вече могат да работят на хардуер, който средна компания може разумно да притежава, и за бизнеси, обработващи наистина чувствителен материал — здравни данни, правни досиета, всичко, при което поверителността е продуктът — това все повече е разумната подразбираща се опция, а не лукс.

Капанът е да третирате това като „всичко или нищо“. Не е нужно да избирате един модел за цялата компания. По-умният подход е да сортирате данните си по чувствителност и да ги насочвате съответно: маркетинговите текстове и общите въпроси спокойно могат да използват добър облачен инструмент, докато всичко, свързано с реални клиентски записи, здравна информация или поверителни договори, минава през контролирана или собствена среда. Една компания, две ленти.

Практичен контролен списък, който наистина можете да изпълните

Ето частта, която можете да свършите този месец без консултант или проект за съответствие. Нищо от това не е тежко. Става дума главно за това да решавате нещата нарочно, а не случайно.

1. 1
   Избройте инструментите с ИИ, които вече се използват

   Попитайте екипа си — честно, без обвинения — какви инструменти с ИИ използват, включително безплатни лични акаунти и разширения за браузър. Не можете да защитите данни, течащи през инструменти, за чието съществуване не знаете.
2. 2
   Сортирайте данните си на чувствителни и не

   Прокарайте груба линия. Лични данни на клиенти, записи на служители, договори и цени от едната страна; общо съставяне на текст, мозъчна атака и публична информация от другата. Това единствено разделение задвижва всяко друго решение.
3. 3
   Преместете реалната работа на бизнес планове

   За всичко, докосващо чувствителната страна, преминете от потребителски/безплатни нива към бизнес план, който договорно няма да съхранява или да се обучава върху данните ви и има DPA.
4. 4
   Напишете едно кратко правило за използване на ИИ

   Половин страница: кои инструменти са одобрени, какво никога не бива да се поставя в публичен инструмент и кого да питате при съмнение. Простото и прочетено бие изчерпателното и пренебрегнатото.
5. 5
   Заключете чувствителната лента

   За наистина поверителни данни изберете контролирана или собствена среда, така че да не напускат средата ви — и спрете да опитвате да направите публичен инструмент достатъчно безопасен за тях.

Това е всичко. Пет стъпки, нито една драматична. Целта не е перфектна крепост — а премахване на лесните, случайни изтичания, които съставляват преобладаващото мнозинство от реалните инциденти. Справете се с тях и вече сте пред повечето бизнеси с вашия размер.

Частта, която технологията не може да поправи

Можете да си купите най-поверителната среда на света и пак да имате проблем, защото поверителността в малкия бизнес е главно въпрос на навици, а не на инфраструктура. Изтичането почти никога не идва от хитър нападател. Идва от услужлив служител под натиск на времето, който поставя грешното нещо в грешното поле, защото никой не му е казал да не го прави и защото инструментът е направил това да изглежда напълно нормално.

Затова нещото с най-голям ефект, което можете да направите, изобщо не е техническо. То е да направите очевидно и лесно да се постъпва правилно: един одобрен инструмент за чувствителна работа, едноредово правило, което всички наистина знаят, и култура, в която въпросът „окей ли е да сложа това тук?“ е нормален, а не досаден. Технологията поставя границите. Хората решават дали те се спазват — и ще ги спазват, ако направите безопасния път лесния.

Чести въпроси