Seguretat de dades i intel·ligència artificial

La intel·ligència artificial pot ajudar a redactar documents, analitzar informació, respondre consultes o automatitzar processos.

Tanmateix, cada vegada que una persona introdueix informació en una eina d’IA pot estar compartint dades de clients, treballadors, proveïdors o de la mateixa empresa.

Per això, abans d’incorporar aquestes solucions, cal respondre una pregunta fonamental: sabem on van les nostres dades i què en fa el proveïdor?

Quins riscos hi ha en compartir dades amb una IA?

Un nom, un correu electrònic, una factura, una gravació o una avaluació laboral poden contenir dades personals.

També hi ha informació que, encara que no sigui personal, pot resultar crítica per al negoci:

• Contractes.
• Pressupostos.
• Estratègies comercials.
• Informació financera.
• Credencials d’accés.
• Documentació tècnica.
• Propostes per a clients.
• Secrets empresarials.

Introduir aquestes dades en una plataforma sense revisar prèviament les seves condicions pot provocar pèrdua de confidencialitat, accessos no autoritzats o utilització de la informació per a finalitats no previstes.

Cinc controls abans d’utilitzar una eina d’IA

1. Determinar quina informació necessita

No s’ha de compartir informació addicional simplement perquè estigui disponible.

L’Agència Espanyola de Protecció de Dades recorda que el principi de minimització exigeix tractar únicament les dades necessàries i limitar-ne l’accessibilitat i la conservació.

Abans d’introduir un document complet, convé preguntar-se si l’eina necessita realment tota la informació que conté.

2. Comprovar on s’emmagatzemen les dades

L’empresa hauria de saber:

• On estan ubicats els servidors.
• Durant quant de temps es conserva la informació.
• Si hi ha transferències internacionals.
• Quines mesures de seguretat aplica el proveïdor.
• Què passa amb les dades en cancel·lar el servei.

3. Revisar qui hi pot accedir

Els permisos s’han d’assignar d’acord amb les funcions de cada treballador.

No totes les persones necessiten accés a totes les eines, documents o bases de dades. Aplicar accessos individuals també facilita la traçabilitat i permet identificar possibles usos indeguts.

4. Saber si les dades s’utilitzen per entrenar models

Algunes eines poden utilitzar les converses, els documents o les instruccions introduïdes per millorar els seus serveis.

L’empresa ha de revisar les condicions del proveïdor i configurar correctament les opcions de privacitat abans d’autoritzar l’ús de la plataforma.

5. Establir com s’eliminen les dades

Hi ha d’haver un procediment per esborrar informació, retirar permisos, cancel·lar comptes i finalitzar la relació amb el proveïdor.

També és important conservar únicament les dades necessàries durant el temps imprescindible.

La ciberseguretat ha de cobrir tot el cicle de vida

La seguretat no acaba en contractar una eina.

ENISA, l’Agència de la Unió Europea per a la Ciberseguretat, recomana aplicar bones pràctiques durant les diferents etapes dels sistemes d’IA: selecció, implantació, utilització, manteniment i retirada.

Això implica revisar periòdicament:

• Els permisos dels usuaris.
• Les actualitzacions de seguretat.
• Els incidents detectats.
• Els canvis en les condicions del proveïdor.
• Les integracions amb altres sistemes.
• Les dades que l’eina continua necessitant.

Crear una política d’ús segur de la IA

Una política interna pot establir:

• Quines eines estan autoritzades.
• Quines dades està prohibit introduir.
• Quines tasques requereixen supervisió humana.
• Com s’han de comprovar els resultats.
• Qui autoritza noves aplicacions.
• Com es comuniquen possibles incidents.

Aquestes regles s’han de coordinar amb el pla d’adaptació al Reglament Europeu d’Intel·ligència Artificial.

També s’han de tenir en compte a l’hora de preparar la infraestructura tecnològica de la pime per utilitzar IA, ja que la protecció de les dades depèn tant de les normes internes com de la seguretat dels sistemes.

La seguretat genera confiança

Protegir les dades no s’ha de considerar un obstacle per innovar.

Una empresa que estableix controls, forma el seu equip i selecciona adequadament els seus proveïdors pot utilitzar la intel·ligència artificial amb més garanties.

A més, podrà explicar als seus clients com protegeix la seva informació i quines mesures aplica per evitar usos inadequats.

Preguntes freqüents sobre seguretat de dades i IA

Es poden introduir dades personals en una eina d’IA?

Depèn de la finalitat, de la base jurídica, de les condicions del proveïdor i de les mesures de protecció aplicades. No s’haurien d’introduir dades personals sense una revisió prèvia.

Un compte de pagament garanteix la confidencialitat?

No necessàriament. Cal comprovar les condicions concretes del servei, la seva configuració de privacitat i el contracte aplicable.

Quina informació no s’hauria de compartir?

Com a norma general, no s’hauria d’introduir informació confidencial, credencials, dades sensibles o documentació de clients sense autorització i sense comprovar prèviament les garanties del proveïdor.

Protegeix les dades de la teva empresa quan utilitzes IA

Saps quina informació està compartint el teu equip amb les eines d’intel·ligència artificial?

A HST revisem les teves solucions, les seves configuracions i els processos interns per elaborar una política d’ús segur de la IA adaptada a la teva empresa