Koje poslovne informacije nikada ne biste smjeli dijeliti s vanjskim AI alatima?

Zamislite voditelja prodaje koji u AI alat učita podatke o transakcijama kupaca za posljednjih nekoliko godina kako bi otkrio obrasce kupnje. Ili stručnjaka za nabavu koji od AI asistenta traži da analizira ugovore s dobavljačima i predloži bolju strategiju pregovora.

Obje su upotrebe AI-ja sasvim razumne. Mogu uštedjeti sate posla i otkriti vrijedne uvide. No isti dokumenti mogu otkriti i odnose s kupcima, cjenovnu strategiju, popuste dobavljača, navike kupnje i interna pravila odlučivanja koja je tvrtka razvijala godinama.

Ništa od toga ne mora izgledati kao klasičan sigurnosni rizik. Možda nema lozinki, osobnih identifikacijskih brojeva ni dokumenata označenih kao povjerljivi.

No zajedno ti podaci mogu otkriti mnogo o tome kako tvrtka posluje i što je čini konkurentnom.

Za tvrtke koje uvode AI to otvara važno pitanje: što AI više zna o vašoj tvrtki, to vam više može koristiti. No kako mu dati pristup tom znanju, a da pritom bez potrebe ne izgubite kontrolu nad njim?

Odgovor nije izbjegavati AI ili zaposlenicima zabraniti da ga koriste. Treba razumjeti koje se informacije dijele, kako ih različiti AI servisi obrađuju i koje su zaštitne mjere primjerene za svaki pojedini slučaj.

1. Očiti rizici: pristupni podaci, osobni podaci i povjerljive informacije

Neke informacije nikada ne smiju završiti u AI servisu koji tvrtka nije odobrila.

Lozinke, API ključevi, autentifikacijski tokeni, privatni ključevi za enkripciju i drugi pristupni podaci jasni su primjeri. Oni mogu omogućiti izravan pristup sustavima tvrtke, bazama podataka i infrastrukturi u oblaku.

Čak i kad zaposlenik podijeli pristupne podatke samo zato da riješi tehnički problem, servis ih može obraditi ili zadržati. Stvarne pristupne podatke treba zamijeniti zamjenskim vrijednostima. Ako su neki možda izloženi, treba procijeniti rizik i po potrebi ih promijeniti ili opozvati.

Osobni podaci još su jedna važna kategorija.

Podaci o kupcima i zaposlenicima, financijski i zdravstveni podaci te drugi osobni podaci ne smiju se tek tako učitati u bilo koji AI servis koji je zaposleniku pri ruci.

Prema Općoj uredbi o zaštiti podataka (GDPR), organizacije moraju imati odgovarajuću pravnu osnovu za obradu osobnih podataka i osigurati da obrada ispunjava sve primjenjive zahtjeve zaštite podataka.

To ne znači da se osobni podaci nikada ne smiju obrađivati putem vanjskog pružatelja AI usluga. Znači da tvrtka mora utvrditi je li takva obrada dopuštena te osigurati odgovarajuće tehničke, organizacijske i ugovorne zaštitne mjere.

Uklanjanje imena ili e-mail adresa nije nužno dovoljno. Kombinacija radnog mjesta, povijesti transakcija, lokacije ili drugih podataka i dalje može otkriti o kome je riječ.

Tvrtke moraju voditi računa i o informacijama koje pripadaju kupcima, dobavljačima i poslovnim partnerima. Obveza čuvanja povjerljivosti može vrijediti i kad te informacije ne sadrže nikakve osobne podatke.

To su razmjerno poznata pitanja informacijske sigurnosti i usklađenosti s propisima.

No postoji još jedna vrsta poslovnih informacija koja zaslužuje jednako pažnje.

2. Interno znanje vaše tvrtke možda je vrjednije nego što mislite

Pogledajte po čemu se razlikuju dvije tvrtke iz iste djelatnosti.

Obje možda koriste sličan softver, zapošljavaju ljude sličnih kvalifikacija i imaju pristup istim AI modelima. Ipak, jedna stalno ostvaruje bolje marže, bolje upravlja zalihama, brže uslužuje kupce ili donosi točnije poslovne odluke.

Razlika često proizlazi iz znanja stečenog godinama poslovanja.

To znanje može uključivati:

• Kako tvrtka određuje cijene i popuste za različite kupce.
• Koje je uvjete ispregovarala s dobavljačima i kako procjenjuje odluke o nabavi.
• Kako zaposlenici prepoznaju rane znakove nezadovoljstva kupaca ili pada potražnje.
• Koje iznimke u inače standardnom procesu traže poseban tretman.
• Kako tvrtka predviđa potražnju, raspoređuje resurse ili upravlja operativnim rizicima.
• Koja su se interna pravila i kriteriji odlučivanja pokazali uspješnima u praksi.

Dio tih informacija formalno je dokumentiran. Dio se nalazi u tablicama, poslovnim aplikacijama, e-mailovima i internim procedurama. Ostatak je u iskustvu zaposlenika koji su naučili kako postupiti kad situacija ne odgovara standardnim pravilima.

Velik dio tog znanja možda nije službeno označen kao povjerljiv. Ipak, može biti važan izvor konkurentske prednosti.

Prema Direktivi EU-a o zaštiti poslovnih tajni, informacija se može smatrati poslovnom tajnom ako nije općepoznata ili lako dostupna, ako ima tržišnu vrijednost upravo zato što je tajna i ako su poduzete razumne mjere da tajnom i ostane.

No pravna definicija poslovne tajne nije jedino što je važno.

Informacija može biti strateški vrijedna i kad ne ispunjava formalnu definiciju poslovne tajne.

Način na koji tvrtka određuje cijene, njezine operativne procedure ili stečena stručnost mogu biti vrijedni zaštite već zato što bi konkurentima koristilo da ih razumiju.

To postaje posebno važno kad zaposlenici počnu koristiti AI za analizu internih poslovnih informacija.

Rizik nije uvijek u jednom dokumentu

Zamislite tvrtku koja u AI asistenta učitava mjesečna izvješća o prodaji.

Jedno izvješće možda otkriva razmjerno malo. No izvješća za nekoliko godina, zajedno sa segmentacijom kupaca, strukturom popusta i poviješću kupnje, daju mnogo detaljniju sliku. Iz njih se može iščitati koji su kupci najprofitabilniji, kako se potražnja mijenja tijekom godine, koji su proizvodi strateški važni i kako tvrtka reagira kad kupci promijene navike.

Isto vrijedi za evidenciju nabave, proizvodne podatke, logističke procese, interne financijske projekcije i tehničku dokumentaciju.

Pojedinačno ti dokumenti mogu izgledati sasvim obično. Zajedno mogu otkriti vrijedno operativno i komercijalno znanje.

To ne znači da informacije učitane u vanjski AI servis automatski postaju dostupne konkurenciji. Znači da tvrtka mora razumjeti što se s njima događa nakon što napuste okruženje koje ona kontrolira.

3. Što se zapravo događa kad informacije podijelite s AI servisom?

Jedna od najčešćih zabluda o AI-ju jest da svaka informacija poslana vanjskom modelu automatski postaje dio podataka na kojima se on trenira.

Ne funkcionira svaki AI servis tako.

Pružatelji, proizvodi i pretplatnički paketi različito pristupaju obradi, čuvanju i zaštiti podataka te treniranju modela. Primjerice, poslovni AI servis može ugovorno isključiti podatke korisnika iz treniranja modela, dok usluga za privatne korisnike može imati drukčije zadane postavke ili uvjete.

No to što se podaci ne koriste za treniranje modela ne znači nužno da se nikad ne pohranjuju, ne bilježe ili ne obrađuju izvan tvrtke.

Tvrtke bi trebale razlikovati nekoliko pitanja.

Koriste li se informacije za treniranje ili poboljšanje modela?

Ovisno o servisu, ugovornim uvjetima i postavkama, neki servisi mogu koristiti poslani sadržaj za poboljšanje svojih modela ili proizvoda.

Drugi izričito isključuju sadržaj korisnika iz treniranja modela.

Tvrtke bi trebale provjeriti pravila koja vrijede za konkretan proizvod i korisnički račun koji koriste, a ne se oslanjati na općenite izjave pružatelja.

Koliko se dugo informacije čuvaju?

Čak i kad je poslani sadržaj isključen iz treniranja modela, upiti, učitane datoteke i generirani odgovori i dalje se mogu čuvati u operativne i sigurnosne svrhe, radi praćenja zlouporabe ili iz drugih razloga.

Rokovi čuvanja i mogućnosti brisanja razlikuju se od servisa do servisa.

Tko može pristupiti informacijama?

Ovisno o servisu, ovlašteno osoblje pružatelja ili podizvršitelji obrade mogu u određenim okolnostima imati pristup poslanim informacijama.

Pitanje nije samo je li pružatelj pouzdan, nego jesu li kontrole pristupa i ugovorna zaštita primjerene informacijama koje se obrađuju.

Gdje se informacije obrađuju?

Lokacija pohrane podataka, međunarodni prijenosi i lokacije podizvršitelja obrade mogu biti važni, osobito za organizacije koje moraju ispuniti regulatorne ili ugovorne zahtjeve.

Što se događa kad se AI poveže s internim poslovnim sustavima?

AI se sve češće koristi kroz integracije sa sustavima za upravljanje dokumentima, CRM platformama, ERP sustavima i drugim poslovnim aplikacijama. Takve integracije mogu donijeti veliku vrijednost, ali otvaraju i dodatna pitanja.

AI asistent povezan sa sustavom za upravljanje dokumentima može imati pristup mnogo većoj količini informacija od one koju bi zaposlenik ručno upisao u upit. Tvrtke moraju razmisliti kojim sustavima AI može pristupiti, čije ovlasti koristi, koje informacije može dohvatiti i koji se podaci šalju vanjskim servisima.

Ključna je razlika između toga da AI-ju date pristup informacijama i toga da mu date neograničen pristup svemu.

Dobro osmišljena implementacija AI-ja trebala bi osigurati informacije potrebne za obavljanje zadatka, a istodobno zadržati odgovarajuću kontrolu nad time što se može dohvatiti, obraditi i podijeliti.

4. Četiri primjera svakodnevne upotrebe AI-ja koji zaslužuju više pažnje

Rizike je lakše razumjeti kad pogledamo kako zaposlenici zapravo koriste AI.

Prodaja: analiza odnosa s kupcima

Voditelj prodaje učitava u AI asistenta povijest kupnje, bilješke o klijentima i ugovorene cijene kako bi pronašao prilike za dodatnu prodaju.

Poslovna vrijednost: AI može prepoznati trendove u kupnji, kupce koji bi mogli otići i prilike koje bi inače promakle.

Što treba zaštititi: Ugovore s pojedinim kupcima, poslovne odnose, cjenovnu strategiju i, moguće, osobne podatke.

Bolji pristup: Koristite odobreno AI okruženje s odgovarajućim kontrolama pristupa i zaštitom pri obradi podataka ili AI rješenje kontroliranom integracijom povežite izravno s odobrenim podacima iz CRM-a.

Financije: pregled internih rezultata

Financijski direktor učitava detaljna upravljačka izvješća i financijske prognoze kako bi utvrdio koje poslovne jedinice podbacuju.

Poslovna vrijednost: Brža analiza, uočavanje neuobičajenih trendova i podrška financijskom planiranju.

Što treba zaštititi: Financijske informacije koje nisu javne, operativne marže, prognoze i planove strateških ulaganja.

Bolji pristup: Koristite odobreni poslovni AI servis ili interno kontrolirano rješenje koje ispunjava zahtjeve tvrtke u pogledu povjerljivosti i sigurnosti.

Nabava: usporedba ugovora s dobavljačima

Stručnjak za nabavu traži od AI-ja da usporedi ugovore s dobavljačima i predloži gdje ima prostora za pregovore.

Poslovna vrijednost: Brža analiza ugovora, bolji pregled komercijalnih uvjeta i pronalaženje mogućih ušteda.

Što treba zaštititi: Ugovorene popuste, odnose s dobavljačima, ugovorne obveze i strategiju nabave.

Bolji pristup: Koristite odobrene alate s primjerenom ugovornom zaštitom, ograničite pristup na relevantne ugovore i ne šaljite informacije koje za analizu nisu potrebne.

Operativa: poboljšanje internih procesa

Operativni direktor daje AI asistentu detaljne procedure, pravila za postupanje s iznimkama i podatke o operativnoj učinkovitosti kako bi otkrio gdje procesi zapinju.

Poslovna vrijednost: AI može pomoći otkriti uska grla, automatizirati odluke koje se ponavljaju i ujednačiti rad u cijelom poslovanju.

Što treba zaštititi: Interno operativno znanje, interne kriterije odlučivanja i godinama stečenu stručnost o procesima.

Bolji pristup: Razvijte AI rješenja koja mogu koristiti operativno znanje tvrtke unutar okruženja s jasnim pravilima upravljanja, uz pristup ograničen na informacije potrebne za svaki zadatak.

Ti primjeri pokazuju nešto važno. Rješenje rijetko znači prestati koristiti AI za te poslove.

Često je riječ upravo o primjenama u kojima AI može stvoriti najveću poslovnu vrijednost.

Cilj je omogućiti ih na siguran način.

5. Kako odlučiti koje informacije smijete dijeliti s AI-jem

Ne traži svaki poslovni dokument istu razinu zaštite i ne nosi svaki AI servis jednak rizik.

Dobro je krenuti od klasifikacije poslovnih informacija i odrediti koja su AI okruženja odobrena za svaku kategoriju.

Uz klasifikaciju korisno je imati nekoliko praktičnih pitanja na koja zaposlenici mogu odgovoriti prije nego što podijele informacije:

1. Koje informacije dajem? Sadrže li osobne podatke, povjerljive ugovore, komercijalno osjetljive pojedinosti ili interno poslovno znanje?
2. Je li sve to potrebno? Može li se zadatak obaviti s manjim skupom podataka, anonimiziranim informacijama, sintetičkim primjerima ili zbirnim rezultatima?
3. Koji AI servis koristim? Je li odobren za ovu kategoriju informacija i koje ugovorne i tehničke zaštitne mjere vrijede?
4. Tko ili što može pristupiti informacijama? Jesu li ovlasti primjereno ograničene, i kad se AI povezuje s internim aplikacijama?
5. Što se s informacijama događa poslije? Upoznajte se s pravilima o čuvanju, obradi, treniranju i brisanju podataka.

Od zaposlenika se ne bi trebalo očekivati da sami tumače složene pravne ugovore ili procjenjuju sigurnosnu arhitekturu svakog pružatelja AI usluga.

To je odgovornost tvrtke.

Zaposlenicima trebaju jasne i praktične upute: koje alate smiju koristiti, koje informacije smiju dijeliti i koga pitati za odobrenje kad slučaj izlazi iz okvira utvrđenih pravila.

6. Kako koristiti osjetljivo poslovno znanje, a da ga nepotrebno ne izložite

Za mnoge tvrtke najvrjednije prilike za AI ne mogu se ostvariti samo s javno dostupnim informacijama.

AI sustav koji tvrtki pomaže donositi bolje odluke o nabavi mora razumjeti njezine odnose s dobavljačima i procese nabave.

AI asistentu koji podržava korisničku službu možda će trebati pristup povijesti kupaca, internim procedurama i dokumentaciji proizvoda.

AI sustavu koji otkriva neučinkovitosti u proizvodnji potrebni su relevantni operativni podaci i razumijevanje kako proizvodni proces funkcionira.

Izazov nije držati AI podalje od tih informacija. Izazov je osmisliti sustave koji ih mogu primjereno koristiti.

Postoji nekoliko pristupa, ovisno o osjetljivosti informacija i zahtjevima tvrtke.

Odobreni poslovni AI servisi

Poslovni AI servisi mogu nuditi ugovorne obveze, administrativne kontrole, sigurnosne funkcije i uvjete obrade podataka koji se razlikuju od proizvoda za privatne korisnike.

Za mnoge uobičajene poslovne zadatke dobro konfiguriran poslovni servis može pružiti dovoljnu zaštitu.

Tvrtka i dalje mora procijeniti konkretan servis, njegove integracije i prikladnost za predviđenu namjenu.

Kontrolirane integracije s internim sustavima

Umjesto da ručno učitavaju cijele baze podataka ili zbirke dokumenata, tvrtke mogu povezati AI sustave s odobrenim internim izvorima podataka.

Primjerice, AI asistent pri odgovaranju na pitanje može dohvatiti relevantne informacije iz interne baze znanja ili ERP sustava.

Dobro osmišljena integracija može poštovati korisničke ovlasti, ograničiti koje se informacije dohvaćaju i svesti podatke koji se šalju na obradu na najmanju moguću mjeru.

No to što se informacije dohvaćaju iz internog sustava ne znači automatski da ostaju unutar infrastrukture tvrtke. Ako dohvaćeni sadržaj obrađuje vanjski model, informacije se i dalje mogu slati pružatelju.

Arhitektura to mora uzeti u obzir.

AI implementiran u infrastrukturi pod kontrolom tvrtke

Kad je potrebna veća kontrola, tvrtke mogu implementirati AI aplikacije ili modele u vlastitom oblaku, privatnoj infrastrukturi ili lokalnim sustavima.

Tako imaju izravniju kontrolu nad pristupom podacima, pohranom, mrežnom komunikacijom i konfiguracijom sustava.

Ovisno o arhitekturi, to može smanjiti ili potpuno ukloniti potrebu za slanjem osjetljivih informacija vanjskim pružateljima modela.

No privatna implementacija nije automatski sigurnija. Sigurnost i dalje ovisi o kvaliteti implementacije, konfiguraciji infrastrukture, kontrolama pristupa, nadzoru i kontinuiranom upravljanju.

Pravi pristup nije nužno onaj koji svaku komponentu drži unutar tvrtke. Pravi je onaj koji tvrtki daje primjerenu razinu kontrole nad informacijama i poslovnim procesima o kojima je riječ.

7. Zaštita poslovnog znanja pitanje je i konkurentske prednosti

Postoji i širi strateški razlog zbog kojeg bi tvrtke trebale dobro promisliti kako koriste AI.

Danas tvrtke u gotovo svim djelatnostima imaju pristup istim temeljnim modelima. Ako zaposlenicima omogućite ChatGPT, Claude ili slične alate, produktivnost može osjetno porasti. No ti su alati dostupni i konkurenciji.

S vremenom široko dostupne AI mogućnosti sve manje razlikuju jednu tvrtku od druge. Trajnija konkurentska prednost nastaje kad tvrtke AI povežu s vlastitim podacima, procesima, sustavima i godinama stečenim operativnim znanjem.

Uzmimo dva distributera koji koriste isti AI model.

Jedan ga koristi za pisanje e-mailova, sažimanje izvješća i odgovore na općenita poslovna pitanja.

Drugi AI povezuje s poviješću nabave, odnosima s kupcima, podacima o zalihama i operativnim tijekovima rada. Njegovi AI sustavi pomažu prodajnim predstavnicima prepoznati kupce koji bi mogli otići, podržavaju odluke o nabavi i predlažu postupke na temelju poslovnih pravila same tvrtke.

Obje tvrtke imaju koristi od AI-ja. No druga razvija mogućnosti utemeljene na znanju i procesima specifičnima za njezino poslovanje.

Konkurenciji je takve mogućnosti teže kopirati jer znanje, integracije i operativno iskustvo na kojima počivaju nisu jednako dostupni svima.

Zato zaštitu internih poslovnih informacija ne treba promatrati samo kao pitanje usklađenosti s propisima.

Znanje koje tvrtke moraju štititi često je upravo ono koje bi trebale koristiti za razvoj svojih najvrjednijih AI rješenja.

Dobra AI strategija mora ostvariti oba cilja. Treba učiniti znanje tvrtke korisnijim, a pritom zadržati primjerenu kontrolu nad time kako mu se pristupa i kako se obrađuje.

8. Što bi uprava trebala učiniti sada

Tvrtke ne moraju birati između uvođenja AI-ja i zaštite svojih informacija.

Ipak, moraju izaći iz situacije u kojoj zaposlenici sami odlučuju koje će alate koristiti i koje će informacije dijeliti. Za početak su važna tri prioriteta.

Prvo, steknite uvid. Utvrdite koje AI alate zaposlenici već koriste, koje informacije u njima obrađuju i koje poslovne aktivnosti o njima ovise.

Drugo, definirajte jasna pravila i odobrena okruženja. Uvedite klasifikaciju podataka, odobrite prikladne AI servise i zaposlenicima olakšajte da razumiju što je dopušteno. Pobrinite se da imaju korisne alternative, a ne samo zabrane.

Treće, utvrdite gdje interno poslovno znanje uz AI može stvoriti veću vrijednost. Pogledajte dalje od općih alata za produktivnost i istražite procese, odluke i operativne aktivnosti u kojima bi znanje specifično za vašu tvrtku moglo donijeti stvarna poboljšanja.

Treći je prioritet posebno važan.

U Marginsu uvođenje AI-ja u tvrtke ne promatramo samo kao uvođenje novih alata. Pomažemo tvrtkama prepoznati vrijedne prilike za AI, razumjeti procese i znanje koji stoje iza njih te osmisliti rješenja koja se povezuju s postojećim sustavima i infrastrukturom. Cilj je da AI bude koristan u stvarnom poslovanju svake tvrtke, uz upravljanje i tehničke kontrole primjerene njezinim zahtjevima.

Jer dugoročna prilika nije samo dati zaposlenicima pristup većem broju AI alata.

Prilika je znanje po kojem se vaša tvrtka razlikuje pretvoriti u AI mogućnosti koje je čine konkurentnijom, a da pritom bez potrebe ne izgubite kontrolu nad tim znanjem.

Izvori

• Europska komisija — Zaštita podataka u EU-u: https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_en
• Uredba (EU) 2016/679 — Opća uredba o zaštiti podataka: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Direktiva (EU) 2016/943 — Zaštita poslovnih tajni: https://eur-lex.europa.eu/eli/dir/2016/943/oj
• Europski odbor za zaštitu podataka — Smjernice i preporuke: https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en