Che cos’è la governance dell’IA?

La governance dell’IA è un insieme di politiche, procedure e controlli progettati per gestire l’uso dell’IA da parte di un’organizzazione e la sua esposizione ai rischi associati. Sebbene l’IA sia una tecnologia utile, comporta vari rischi per l’azienda, come il potenziale di violazioni dei dati o allucinazioni dell’IA che danneggiano i processi aziendali.

Man mano che le aziende diventano sempre più dipendenti dall’IA, la governance dell’IA è fondamentale per gestire l’esposizione ai rischi di sicurezza e garantire la conformità normativa. Oltre a politiche e procedure, un programma efficace di governance dell’IA richiede controlli tecnici per far rispettare le politiche e le procedure amministrative.

Perché la governance dell’IA è importante per le imprese moderne?

La maggior parte delle imprese moderne sta esplorando il potenziale dell’IA per migliorare i processi aziendali. Con l’aumento dell’IA agentica, questo include l’affidare agli agenti dell’IA di operare autonomamente, con poco o nessun controllo umano. Questo introduce un rischio significativo per l’azienda se gli agenti dell’IA commettono errori o violano le politiche aziendali.

Inoltre, l’integrazione crescente dell’IA nelle soluzioni SaaS significa che i dipendenti possono utilizzare soluzioni di IA non autorizzate per scopi aziendali. Questa IA ombra crea il potenziale per perdite di dati e altre minacce legate all’IA se un’organizzazione manca di visibilità e controllo su questo uso dell’IA.

La governance dell’IA è essenziale per garantire che l’uso dell’IA sia allineato con le esigenze dell’azienda, gli obiettivi di sicurezza aziendale e i requisiti di conformità. Le imprese dovrebbero definire politiche specifiche per l’IA per Secure Access Service Edge (SASE), Secure Web Gateway (SWG), Data Loss Prevention (DLP), Cloud Access Security Broker (CASB) e Zero Trust Network Access (ZTNA) per far rispettare questi requisiti.

Quali rischi aiuta a mitigare la governance dell’IA?

Gli strumenti di IA possono introdurre vari rischi per l’azienda riguardo alle operazioni, alla sicurezza e ad altri fattori. Alcune delle minacce più significative che un programma maturo di governance dell’IA può mitigare includono:

• Output inaccurati: Gli strumenti di IA possono produrre output errati o “allucinare” a causa di dati di addestramento incompleti o errati. La governance dell’IA può aiutare a identificare le allucinazioni e gestirne gli effetti.
• Perdita di dati: Gli strumenti AI con accesso a dati sensibili possono rivelarli a terzi non autorizzati in vari modi. I controlli di sicurezza dei dati sono vitali per gestire i dati accessibili all’AI e ciò che essa fa con queste informazioni.
• la Shadow AI L’uso non autorizzato degli strumenti AI può spostare informazioni sensibili al di fuori del controllo dell’azienda. I programmi di governance dell’AI possono aiutare a rilevare e prevenire l’uso di strumenti AI non autorizzati.
• Abuso dell’AI: Gli aggressori o i dipendenti malintenzionati con accesso agli strumenti AI possono usarli per raccogliere informazioni sensibili o comprometterli per causare danni all’azienda. Monitorare e controllare gli input ai sistemi AI può proteggere contro l’iniezione di prompt e l’abuso dell’AI.

Funzioni principali di un programma di governance dell’AI

Un programma di governance dell’AI è progettato per identificare e affrontare i principali rischi associati all’uso dell’AI da parte di un’organizzazione. Questo include tutto, dalla decisione su quali dati fornire a un modello AI alla gestione dell’uso aziendale degli strumenti abilitati all’AI fino a garantire la conformità alle normative sulla protezione dei dati. Raggiungere questi obiettivi è un processo continuo e multi-fase poiché l’uso dell’AI da parte di un’organizzazione e i relativi rischi evolvono, e le sue politiche e procedure diventano più mature.

Sviluppo delle politiche e controlli sui rischi

Le politiche di governance dell’AI aziendale dovrebbero definire politiche che gestiscono i vari aspetti delle loro operazioni AI. Alcune politiche chiave includono:

• Uso accettabile degli strumenti AI
• Politiche di controllo degli accessi per gli agenti AI
• Restrizioni sulla gestione e condivisione dei dati per l’AI

Queste politiche probabilmente evolveranno nel tempo e dovrebbero specificare le regole per gli strumenti interni rispetto a quelli esterni. Ad esempio, un LLM aziendale che è interno alla rete aziendale potrebbe avere accesso a informazioni sensibili maggiore rispetto a ChatGPT e ad altri strumenti AI di terze parti.

Monitoraggio e supervisione dell’uso

Il monitoraggio e la visibilità nell’uso dell’IA sono essenziali per la sicurezza dei dati e la conformità normativa. Se ai sistemi di IA è consentito l’accesso a informazioni protette, l’organizzazione deve essere in grado di verificare che questi dati siano utilizzati e protetti in modo appropriato.

Gli elementi chiave di un programma di monitoraggio dell’IA includono:

• Strumenti di rete per identificare l’uso di strumenti di IA autorizzati e non autorizzati
• Strumenti di visibilità della sicurezza dei dati per monitorare il flusso di dati sensibili dentro e fuori dagli strumenti di IA
• Registrazione delle sessioni di IA e revisione delle interazioni con l’IA
• Reportistica sull’uso complessivo dell’IA e sulle interazioni sospette

Il monitoraggio continuo è essenziale per gestire le potenziali minacce alla sicurezza che l’uso dell’IA comporta. Una volta che si è verificata una fuga di dati o un agente IA commette un errore in un flusso di lavoro critico, potrebbe essere troppo tardi per invertire il danno.

Implementazione della Governance dell’IA nella Pratica

La governance dell’IA viene tipicamente implementata attraverso un processo iterativo, con l’organizzazione che crea nuove politiche e controlli man mano che il programma matura o l’uso dell’IA evolve. Ad esempio, un’organizzazione potrebbe inizialmente definire politiche che bloccano l’uso di determinati strumenti di IA e successivamente aggiornarle per consentirne l’uso con alcune restrizioni.

Queste politiche dovrebbero essere implementate attraverso una collaborazione tra i team di sicurezza, legale, IT e conformità. Ciò garantisce che le politiche soddisfino le varie esigenze dell’azienda – proteggendo contro gli attacchi informatici, i rischi legali e la non conformità – pur essendo anche efficacemente applicabili. Le politiche e i controlli dovrebbero essere regolarmente rivisti e aggiornati per garantirne l’efficacia e per effettuare miglioramenti continui.

Definizione degli Strumenti di IA Approvati e Riservati

Poiché l’IA è sempre più integrata nelle soluzioni SaaS e in altri software, le imprese devono decidere quali strumenti sono consentiti e quali sono vietati. Queste decisioni dovrebbero basarsi su una valutazione del rischio associato allo strumento, bilanciato con i potenziali benefici aziendali che esso offre. Ad esempio, se un’organizzazione implementa uno strumento SaaS sulla propria cloud privata, questo rappresenta una proposta di rischio molto diversa rispetto a uno strumento simile gestito da una terza parte. Gli strumenti interni possono essere più affidabili e avere accesso a una gamma più ampia di dati sensibili.

Anche dopo aver autorizzato un particolare strumento, un’organizzazione dovrebbe controllarne l’accesso. Definire i processi di onboarding, l’uso accettabile e le politiche di gestione dei dati fornisce la visibilità e il controllo necessari per l’uso dell’IA.

Gestione dell’accesso ai dati e delle regole di classificazione

Le perdite di dati e l’uso improprio rappresentano un rischio principale associato all’uso dell’IA. I dati possono essere accidentalmente esposti a terzi non autorizzati o utilizzati in modi che mettono a rischio i dati, l’azienda o i suoi clienti.

Le politiche di classificazione e gestione dei dati dovrebbero basarsi sulla sensibilità associata ai dati. Ad esempio, un’organizzazione può vietare la maggior parte delle informazioni personali identificabili (PII) dall’essere elaborate dall’IA, ma consentire l’accesso agli strumenti interni ai nomi e agli indirizzi dei clienti. Tuttavia, tutti i sistemi di IA esterni potrebbero essere vietati dall’accesso alle PII per gestire i rischi di violazione dei dati e di non conformità normativa.

Che cos’è un framework di governance dell’IA?

I framework di governance dell’IA, come il NIST AI Risk Management Framework (RMF), sono progettati per aiutare le organizzazioni a creare politiche e controlli per gestire la loro esposizione al rischio dell’IA. Questi framework coprono i principali componenti della governance dell’IA – responsabilità, trasparenza, sicurezza e supervisione – e dettagliano come le organizzazioni possono creare e far maturare i loro programmi. Costruendo programmi utilizzando questi framework, le organizzazioni possono anche semplificare la conformità mappando i requisiti normativi ai controlli all’interno del framework.

Elementi chiave trovati nei framework comuni

I framework di governance dell’IA possono avere obiettivi diversi e possono includere una varietà di elementi. Alcuni dei più significativi includono:

• Documentazione del Modello: La documentazione del modello dettaglia il modello in uso, i suoi dati di addestramento e altri fattori per supportare l’auditabilità e la responsabilità.
• Valutazione del Bias: Le valutazioni del bias tentano di identificare i bias che possono esistere in un modello a causa della loro presenza nei dati di addestramento.
• Spiegabilità: L’interpretabilità si riferisce alla capacità di comprendere come un modello di intelligenza artificiale ha raggiunto una decisione, supportando la rilevazione di pregiudizi ed errori.
• Controlli sui Dati: I controlli sui dati limitano le informazioni disponibili a un sistema di intelligenza artificiale per proteggere la privacy e la sicurezza dei dati.
• Valutazioni di Impatto: Le valutazioni di impatto determinano i potenziali effetti del dispiegamento di un modello di intelligenza artificiale sull’azienda, sui clienti e sulla società, per consentire la gestione di eventuali danni.
• Monitoraggio della Deriva del Modello: Il monitoraggio della deriva del modello serve a rilevare cambiamenti nelle prestazioni di un modello nel tempo, in base alla sua esposizione a dati aggiuntivi e a un addestramento continuo.
• Documentazione dell’Addestramento: La documentazione dell’addestramento fornisce informazioni su come viene creato il modello e supporta la revisione e la conformità.
• Procedure di Inferenza: Le procedure di inferenza spiegano come un modello elabora gli input per generare output, il che è utile per valutare l’affidabilità per l’uso in produzione.

Come dovrebbero le organizzazioni valutare le opzioni di certificazione della governance dell’IA?

Le certificazioni di governance dell’IA convalidano l’efficacia delle politiche di governance dell’IA di un’organizzazione. Queste certificazioni possono essere utili per vari motivi, come la conformità normativa o la costruzione di fiducia con clienti e partner.

Quando si valutano le certificazioni di governance dell’IA, i fattori chiave da considerare includono:

• Ambito e frequenza degli audit
• Livello di rigore
• Allineamento con le politiche interne
• Allineamento con i requisiti normativi (GDPR, PCI DSS, ecc.)

Come si allinea la governance dell’IA con i controlli delle politiche SASE?

I programmi di governance dell’IA hanno un’efficacia limitata se le politiche non vengono applicate tramite controlli tecnici. Le architetture SASE sono particolarmente adatte all’applicazione delle politiche dell’IA grazie alla loro profonda e completa visibilità sul traffico di rete di un’organizzazione e sull’interazione con soluzioni SaaS e altri programmi.

Ruolo del SWG nella supervisione dell’IA

I SWG aiutano le organizzazioni a monitorare il traffico web degli utenti e ad applicare le politiche di sicurezza aziendale. Questi controlli possono essere estesi per supportare la governance dell’IA ispezionando i contenuti che fluiscono verso e da strumenti di IA per l’esfiltrazione di dati, l’iniezione di prompt e altre minacce. Questa visibilità sulle risorse basate sul web fornisce un controllo critico sull’uso crescente degli strumenti SaaS abilitati all’IA.

Ruolo del DLP nella prevenzione della perdita di dati

Gli strumenti di prevenzione della perdita di dati (DLP) sono progettati per identificare e bloccare la condivisione di dati sensibili con destinatari non autorizzati. Con l’aumento dell’IA, l’uso del DLP si espande per includere il divieto di condivisione di dati sensibili con strumenti di IA o di esfiltrazione da parte di agenti di IA. Sebbene il DLP non possa gestire l’iniezione di prompt e rischi simili, può ridurre i loro impatti controllando l’accesso ai dati sensibili.

Identificazione degli strumenti di Shadow AI

Lo Shadow AI è una minaccia crescente con la proliferazione di strumenti SaaS, app basate su browser, estensioni del browser non autorizzate e altri strumenti di IA non gestiti. Spesso, le organizzazioni senza un programma di governance dell’IA maturo mancano di visibilità su queste soluzioni, esponendosi a perdite di dati e altre minacce. Monitorando l’uso di app di IA non autorizzate, le organizzazioni possono bloccare o limitare il loro utilizzo in conformità con le politiche aziendali.

Domande frequenti sulla governance dell’IA

Qual è l’obiettivo della governance dell’IA?

La governance dell’IA è progettata per gestire i rischi dell’uso dell’IA per la sicurezza, la conformità e le operazioni. Un programma di governance dell’IA gestisce l’uso dell’IA e i dati che fluiscono dentro e fuori di essa per mitigare i principali rischi dell’IA per l’azienda.

Che cos’è un framework di governance dell’IA?

Un framework di governance dell’IA è uno strumento progettato per aiutare le organizzazioni a sviluppare i propri programmi di governance dell’IA che soddisfano i requisiti di sicurezza e conformità. Un esempio è il NIST AI Risk Management Framework (AI RMF), che dettaglia le migliori pratiche di sicurezza per la gestione dei sistemi di intelligenza artificiale.

In che modo la governance dell’IA riduce il rischio di Shadow AI?

Lo Shadow AI rappresenta principalmente un rischio quando un’organizzazione manca di visibilità e controllo sull’uso non autorizzato degli strumenti abilitati all’IA. La governance dell’IA fornisce la capacità di rilevare l’uso non autorizzato dell’IA e di far rispettare le politiche aziendali sull’IA per garantire che l’uso dell’IA sia conforme alle politiche aziendali.

Chi è responsabile della governance dell’IA in un’impresa?

La responsabilità per la governance dell’IA è distribuita nell’organizzazione, poiché l’IA può mettere a rischio l’azienda in vari modi. Ad esempio, l’IA può introdurre il rischio di attacchi informatici, cause legali o non conformità normativa. Per questo motivo, la governance dell’IA è meglio attuata tramite un consiglio interfunzionale, che include i team di sicurezza, IT, legale e conformità, che garantisce che le politiche e i controlli dell’IA soddisfino le esigenze di tutte le parti dell’azienda.

La governance dell’IA è necessaria per la conformità normativa?

Sebbene le normative possano non richiedere esplicitamente la governance dell’IA, è spesso implicitamente richiesta da leggi sulla protezione dei dati come il GDPR e normative come il NIS2. Questo perché gli strumenti di IA possono mettere a rischio dati sensibili di esposizione, utilizzare impropriamente dati protetti o causare guasti che impattano le operazioni dei sistemi core. I programmi di governance dell’IA possono aiutare a garantire la conformità ai requisiti di queste normative.

La Governance dell’IA e il suo Ruolo nelle Operazioni Aziendali Sicure

Man mano che le aziende diventano più dipendenti dall’IA, consentendole di accedere a dati sensibili e flussi di lavoro critici, la governance dell’IA è essenziale. Definire e far rispettare le politiche di governance dell’IA in anticipo aiuta le organizzazioni a ridurre il rischio di incidenti costosi e implementare un programma che possa scalare e maturare nel tempo.

Quando si crea una governance dell’IA critica, è fondamentale garantire che le politiche e le procedure siano supportate e applicate da controlli tecnici. Altrimenti, lo Shadow AI e gli attaccanti potrebbero essere in grado di violare o eludere le politiche per raggiungere i loro obiettivi a scapito della sicurezza e della conformità normativa dell’organizzazione.

Le soluzioni SASE sono particolarmente adatte a questo, poiché i controlli SWG, DLP e di visibilità della superficie di attacco possono essere estesi per coprire anche le minacce e le soluzioni dell’IA. Implementare queste capacità come parte di una piattaforma di sicurezza convergente con una profonda visibilità su tutto il traffico WAN aiuta anche a eliminare le lacune di visibilità e semplificare la gestione.