Dopo aver collegato un agente AI ai miei dati, la domanda successiva è inevitabile: chi sa quali dati sta usando, dove si trovano e se dovrebbero essere accessibili?
Nel precedente articolo sono arrivato a una conclusione apparentemente semplice:
il vero valore di un agente AI non è soltanto nel modello, ma nei dati e nel contesto che gli mettiamo a disposizione.
Nel mio piccolo progetto AI-nuoto il rischio è relativamente limitato. Ho una Knowledge con gli allenamenti, un profilo atleta e un collegamento a Strava.
Ma proviamo a spostare lo stesso concetto in un’azienda.
Improvvisamente non stiamo più parlando di vasche, CSS e chilometri.
Stiamo parlando di documenti, database, email, contratti, informazioni personali, proprietà intellettuale e dati regolamentati.
E la domanda cambia completamente.
Se un agente AI può accedere ai dati aziendali, siamo sicuri di sapere a quali dati sta accedendo?
Prima di proteggere un dato bisogna sapere che esiste e qui emerge uno dei problemi che considero più interessanti nell’adozione dell’AI.
Un’organizzazione può avere petabyte di informazioni distribuite tra cloud, SaaS, file server, object storage e database.
Prima ancora di parlare di AI dobbiamo essere in grado di rispondere ad alcune domande:
- Dove sono i miei dati?
- Quali sono sensibili?
- Chi può accedervi?
- Quali vengono utilizzati dall’AI?
- Esistono copie che non dovrebbero essere accessibili?
È qui che entra in gioco il concetto di Data Security Posture Management e, più in generale, di governance dei dati.
Ed è qui che diventa interessante Securiti AI.
Dalla Data Protection alla Data Intelligence
Securiti AI lavora proprio sul problema della conoscenza e della governance dei dati: scoperta, classificazione, privacy, accesso e controllo delle informazioni.
Il concetto che trovo particolarmente interessante è semplice:
non posso proteggere correttamente ciò che non conosco.
E con l’AI questo principio diventa ancora più importante.
Perché ora non sono soltanto gli utenti e le applicazioni tradizionali ad accedere ai dati.
Abbiamo LLM, RAG, copiloti e agenti che utilizzano quelle informazioni per costruire risposte e prendere decisioni.
La superficie da governare cambia!
Discover → Understand → Govern → Protect → Recover
Il percorso che vedo è questo:
- DISCOVER
Sapere quali dati possediamo e dove si trovano. - UNDERSTAND
Comprenderne contenuto, sensibilità e relazioni. - GOVERN
Definire chi e cosa può utilizzarli, compresi sistemi AI e agenti. - PROTECT
Proteggerli da perdita, compromissione e accessi non autorizzati. - RECOVER
Essere in grado di ripristinarli quando qualcosa va storto.
Ed è proprio nell’ultimo passaggio che Data Security e Data Resilience si incontrano.
Perché conoscere perfettamente i propri dati non basta se, dopo un ransomware o un errore, non siamo in grado di recuperarli.
Allo stesso modo, avere un backup perfetto non risolve tutto se non sappiamo quali dati stiamo proteggendo e quanto sono importanti.
L’AI ha bisogno di dati.
I dati hanno bisogno di governance.
Il mio piccolo AI-nuoto mi ha insegnato qualcosa di molto semplice.
Più dati fornisco all’agente, più le sue risposte possono diventare contestualizzate.
Ma aumentando l’accesso ai dati aumenta anche la responsabilità di sapere cosa gli sto permettendo di vedere.
In azienda questo diventa un problema di:
Governance. Security. Privacy. Identity. Data Protection. Resilience.
E probabilmente il futuro della Data Protection non sarà soltanto:
“Posso recuperare questo dato?”
ma anche:
“So che questo dato esiste, so cosa contiene, so chi lo utilizza, so quale AI può accedervi e, se viene compromesso, quanto velocemente posso renderlo nuovamente disponibile?”
A quel punto entrano inevitabilmente in gioco anche RPO e RTO.
Ed è qui che la conversazione sull’AI smette di essere soltanto una conversazione sui modelli.
Diventa una conversazione sui dati e soprattutto, sulla loro resilienza.
