Vragen rond ‘shadow agents’ zijn niet van technische, maar van organisatorische aard
Wat te doen als de ‘shadow agents’ de touwtjes in handen nemen? Het fenomeen is heel reëel, maar weinig bedrijven zijn zich hier ten volle van bewust. En nog veel minder bedrijven hebben een specifieke strategie hiervoor geïmplementeerd, zo blijkt uit onderzoek van Veeam Software.
Terwijl de regelgevende druk toeneemt en de verantwoordelijkheid van bedrijfsleiders groeit, leidt het gebrek aan datagovernance en vertrouwen tot conflicten binnen raden van bestuur en tot bezorgdheid bij leidinggevenden over hun persoonlijke aansprakelijkheid.
Volgens Veeam Software moeten organisaties op twee fronten het hoofd bieden aan onbeheerde AI. Wat betreft de gegevensbeveiliging geeft 70% van de organisaties toe dat geautomatiseerde, op AI gebaseerde workflows zonder volledig toezicht met gevoelige gegevens omgaan. Wat betreft governance verliezen IT-afdelingen bovendien de controle: 67% van de bedrijven meldt dat hun medewerkers autonome AI-workflows creëren die de IT-afdeling niet volledig kan volgen.
AI-governance is geen backoffice-aangelegenheid!
„Terwijl organisaties zich haasten om AI operationeel te maken, wijzen de resultaten van ons onderzoek op een grote uitdaging: ervoor zorgen dat de gegevens die de AI-agenten voeden betrouwbaar, veilig en veerkrachtig blijven”, merkt Tim Pfaelzer, General Manager & Senior Vice President bij Veeam Software op. Zonder adequaat beheer, inzicht en bescherming lopen bedrijven het risico gevoelige informatie bloot te geven, het risico op niet-naleving te vergroten en de betrouwbare gegevensbasis in gevaar te brengen die nodig is om AI op grote schaal in te zetten. »
De toenemende regelgevingsdruk en de eisen op het gebied van ‘bedrijfsverantwoordelijkheid’ zorgen er ook voor dat AI-governance verschuift van het technische domein – in feite de backoffice – naar het management.
En daar loopt het spaak. 32 % van de organisaties geeft aan dat deze druk nu al spanningen of conflicten tussen leidinggevenden veroorzaakt… met name sinds de invoering van de persoonlijke juridische aansprakelijkheid van leidinggevenden op het gebied van cyberweerbaarheid en naleving van regelgeving.
In afwachting van concrete antwoorden
Struikelen we over puur bestuurlijke kwesties. Ten eerste: wie is de eigenaar van deze agent? Niet de leverancier, niet het algemene IT-team, maar één persoon. Ten tweede: wie keurt de ingebruikname van de agent goed? Wat is de validatieprocedure voordat een agent toegang krijgt tot live-systemen? Wie neemt deel aan deze validatie, en op basis van welke criteria? Ten derde: wie houdt het gedrag ervan continu in de gaten? Een agent die op een bepaald moment T is goedgekeurd, is zes maanden later niet per se nog veilig. Modellen veranderen, het gebruik verschuift, gegevens evolueren. Wie kijkt er echt naar wat de agent doet, en hoe vaak? Ten vierde: wie beslist er wanneer zich een incident voordoet? Als de agent een verkeerde beslissing neemt, een onjuiste actie in gang zet of gevoelige gegevens blootstelt, wie neemt dan het heft in handen, en op basis van welk mandaat?
Dit zijn geen technische, maar organisatorische vragen. En zolang er geen duidelijk antwoord op komt, opereert elke ingezette agent – officieel of ‘schaduw’ – in een vacuüm van verantwoordelijkheid.
“Leidinggevenden hebben nog nooit zoveel zaken in overweging moeten nemen met betrekking tot gegevensbeheer en regelgeving rond cyberweerbaarheid,” erkent Tim Pfaelzer. Hoewel de toegenomen druk en spanningen volkomen begrijpelijk zijn, zal een betere afstemming op directieniveau de organisatie veel beter wapenen om de betrouwbaarheid van haar gegevensbeheer en AI te waarborgen in het tijdperk van autonome agents.”
