Fins a quin punt hauries de deixar entrar la IA al teu negoci?: Agents d'IA amb accés al correu electrònic i a la informació

Cada cop és més comú utilitzar eines d'intel·ligència artificial que estan directament vinculades al correu electrònic, el calendari, el CRM o el sistema de gestió de documents d'una empresa.

Això fa possible fer coses que, fins fa poc, semblaven difícils d'imaginar: demanar a la IA que trobi un correu electrònic específic entre milers, redactar una resposta tenint en compte les converses anteriors, consultar la documentació emmagatzemada als servidors de l'empresa o al núvol, o cercar i contrastar informació de diferents fonts.

I poden fer això perquè, a través del nostre compte, els estem donant accés als mateixos sistemes i a la mateixa informació als quals nosaltres mateixos ja tenim accés. En la pràctica, Estem deixant entrar una IA amb les nostres claus: Pots consultar qualsevol cosa que puguem consultar.

És precisament per això que fer una consulta improvisada a ChatGPT no és el mateix que integrar-lo en els sistemes de l'empresa.

Abans de fer-ho, val la pena considerar alguns punts.

Per entendre-ho millor, en aquest article ens centrarem en un exemple concret: ChatGPT i la seva integració amb l'entorn Microsoft d'una empresa, com ara Outlook, el calendari o SharePoint. Analitzarem les diferències entre les seves diverses versions, quines garanties ofereix OpenAI quan s'utilitza en un entorn empresarial i què passa quan li atorguem accés als nostres sistemes. La mateixa anàlisi es pot aplicar a altres eines d'IA.

1. Estem utilitzant una eina empresarial?

Utilitzar un compte personal en una eina d'IA no és el mateix que utilitzar una solució dissenyada específicament per a empreses.

Per exemple, OpenAI afirma que per a ChatGPT Business, Les dades de l'espai de treball no s'utilitzen per entrenar els vostres models i que les dades estan xifrades tant durant la transmissió com mentre estan emmagatzemades.

També ofereix controls específics per a organitzacions i compta amb un Auditoria independent SOC 2 Tipus 2, un estàndard de seguretat que verifica que una empresa té establerts i implementa de manera efectiva controls per protegir la informació i gestionar correctament aspectes com l'accés, la disponibilitat del sistema i la confidencialitat de les dades.

Per tant, abans d'enllaçar dades corporatives, la primera pregunta hauria de ser senzilla: quina versió de l'eina estem utilitzant i quines condicions s'apliquen a les nostres dades?

No n'hi ha prou amb saber simplement què pot fer l'eina. També cal entendre com funciona quan el connectem als nostres sistemes: què diuen els seus termes i condicions sobre la informació de l'empresa, quines garanties ofereix el proveïdor, com protegeix les dades i quins controls tindrem sobre l'accés i l'ús. Aquesta revisió s'hauria de fer abans de concedir-li accés als nostres sistemes, no pas després.

2. Connectar Outlook o SharePoint no significa necessàriament obrir tota l'empresa a la IA.

Les integracions empresarials funcionen sobre la base dels permisos.

En el cas de ChatGPT connectat a Microsoft 365, l'accés es concedeix mitjançant els mecanismes d'autorització de Microsoft. En termes senzills, ChatGPT no rep una clau mestra de l'empresa.: s'autoritza una connexió específica, i Microsoft controla quin usuari es connecta i quina informació se li permet accedir. Tècnicament, això es facilita mitjançant serveis com ara Microsoft Graph i, en certs casos, també pot requerir l'autorització de l'administrador de l'organització mitjançant Inici de sessió de Microsoft.

Això permet a l'empresa mantenir un nivell de control sobre la integració: quines aplicacions es poden connectar, qui ho pot fer i quins permisos s'atorguen.

A més, ChatGPT respecta els permisos que ja existeixen als sistemes de Microsoft..

Per exemple, si un usuari no pot accedir a una carpeta concreta de SharePoint, la integració de ChatGPT no hauria de concedir-li accés a aquesta carpeta.

Això és important, però també posa de manifest un altre problema: Si els permisos interns estan mal configurats, la IA pot exacerbar el problema..

Abans d'integrar una eina d'IA, per tant, és un bon moment per a Comprova qui té accés a cada element.

3. Només pots accedir a la informació, o també pots prendre mesures?

Permetre que una IA busqui un correu electrònic no és el mateix que permetre que n'enviï un.

Tampoc no és el mateix veure un document que editar-lo, moure'l o suprimir-lo.

Hem d'abordar això des de dos angles.

El primer és tècnic. L'eina s'ha de configurar de manera que cada usuari i cada integració tingui només els permisos necessaris per dur a terme la seva feina. No hauríem de permetre una acció simplement perquè sigui tècnicament possible. És, a més, el principi de minimitzar l'accés i els privilegis que sustenta el Reglamentacions europees de protecció de dades i ciberseguretat: restringir l'accés i les capacitats al que és necessari.

El segon, igualment important, és formar l'usuari. Una eina configurada correctament pot reduir molts riscos, però no és un substitut de regles sòlides d'ús.

Els empleats han de saber com demanar correctament a la IA allò que necessiten i, sobretot, quan cal aturar-se i revisar. Per exemple, poden demanar-li que redacte una resposta a un correu electrònic, però l'han de revisar abans d'enviar-la.;

• Comproveu qui és el destinatari i qui està en còpia;
• Reviseu els documents adjunts;
• o bé instruir-los expressament que no prenguin cap mesura fins que no hagin rebut la vostra confirmació.

Per això, integrar aquestes eines no és simplement una qüestió de configurar permisos. Han d'anar acompanyades de una política interna clara i formació pràctica per a aquells que els utilitzaran.

La regla es podria resumir de la manera següent: Mínimes autoritzacions des d'una perspectiva tecnològica i una supervisió suficient per part del personal.. Com més àmplia sigui l'abast d'acció que concedim a la IA, més estrictes han de ser ambdós conjunts de controls.

4. S'ha d'auditar la integració, no només l'eina.

Una eina pot oferir bones garanties de seguretat i, tot i així, estar mal integrada a la nostra organització.

Per tant, un cop s'ha analitzat el proveïdor, cal aprofundir un nivell i Fer una comprovació tècnica per veure què estem connectant i com ho estem fent.:

• quins sistemes l'IA podrà accedir,
• en quins fonaments,
• quins permisos rep,
• quina informació pots recuperar,
• quines accions pot dur a terme
• i quins registres queden de les seves activitats.

I la revisió també s'ha de dur a terme a l'altra banda. Hem de comprovar els nostres propis sistemes:

• si els permisos de Microsoft 365 estan configurats correctament,
• si hi ha qualsevol compte conjunt,
• si retenim accessos innecessaris,
• si podem revocar ràpidament una integració
• o què passaria si una acció incorrecta alterés o eliminés informació.

ChatGPT Business, com hem vist, ofereix garanties importants per a l'ús empresarial. No obstant això, la seguretat definitiva no depèn només de ChatGPT. També depèn de com l'integrem, dels permisos que li concedim i de com estan configurats els nostres propis sistemes.

En última instància, simplement auditar el proveïdor no és suficient. Hem d'avaluar la interfície entre la IA i la nostra empresa..

5. Hi ha certa informació que potser no hauria d'estar disponible

Només perquè tècnicament puguem connectar una eina a tot el nostre entorn de SharePoint, no vol dir que ho hàgim de fer.

Recursos humans, informació mèdica, especialment documents confidencials, secrets comercials, la informació subjecta al secret professional o certs dipòsits financers poden requerir restriccions addicionals.

La pregunta no hauria de ser només “És ChatGPT segur?”, sinó també “Quina informació volem que ChatGPT pugui accedir?”.

La seguretat també depèn de com la configurem. Les solucions d'IA empresarial estan incorporant cada cop més garanties per a la seguretat, la privadesa i el control.

Però Simplement comprar una eina segura no fa automàticament que qualsevol ús que en fem sigui segur..

Abans de connectar una eina d'IA al seu correu electrònic, calendari, CRM o sistema de gestió de documents, l'empresa hauria de fer una revisió senzilla:

• per identificar a quines dades podreu accedir,
• quin permisos tindrà,
• quines accions podrà prendre
• i quina informació s'hauria d'excloure.

Perquè, en aquest nou paisatge, una part significativa del risc ja no rau únicament en el que sap la intel·ligència artificial.

Tot depèn de les claus que decidim donar-li.

Més sobre les eines d'IA i el compliment normatiu

• La Llei de la Intel·ligència Artificial en la UE: un ampli marc per a la regulació de la IA
• Seu AI traspassa fronteres. I què passa amb el seu compliment legal?
• Dades Acte 2025: noves normes per a l'intercanvi de dades, IoT i el núvol a Europa

Aquest article té només finalitats informatives i no constitueix assessorament legal. Cal una avaluació cas per cas per avaluar un cas específic.