Ki mit kérdezhet az AI-tól? A vállalati jogosultságkezelés új rétege

A vállalati AI-agentek terjedése komoly változásokat követel az eddigi jogosultságkezelési megközelítésekben.
 

Egy vállalati AI-agent néhány másodperc alatt képes választ adni belső szabályzatokból, projektanyagokból vagy pénzügyi dokumentumokból. Ezzel jelentősen megkönnyítheti a mindennapi munkát, hiszen a munkatársaknak nem kell különböző rendszerekben keresgélniük a szükséges információkat. Az AI bevezetése azonban egy fontos kérdést is felvet: hogyan biztosítható, hogy mindenki csak azokhoz az adatokhoz férjen hozzá, amelyek megismerésére jogosult?

Miért fontos, hogy az AI illeszkedjen a vállalati működéshez?

Nem mindegy, hogy milyen AI-eszközt vezet be egy vállalat. Egy nyilvánosan elérhető, általános célú chatbot önmagában nem feltétlenül illeszkedik a szervezet jogosultsági rendszeréhez, belső folyamataihoz és információbiztonsági elvárásaihoz. Bár léteznek vállalati funkciókkal rendelkező kész megoldások, ezek esetében is vizsgálni kell, hogy mennyire képesek alkalmazkodni az adott szervezet működéséhez.

Nyilvánvalóan nincs két teljesen egyformán működő vállalat. Eltérhetnek a felelősségi körök, az adatkezelési szabályok és a munkafolyamatok is. Ha a munkatársaknak folyamatosan egy szoftver korlátjaihoz kell igazítaniuk a megszokott működést, az hosszabb távon jelentős időveszteséggel és többletköltséggel járhat.

Egy vállalati igényekre szabott AI-platform a meglévő rendszerekhez, jogosultságokhoz és üzleti folyamatokhoz igazítható. Így a technológia nem újabb alkalmazkodási kényszert teremt, hanem a vállalat saját működését támogatja.

Ugyanaz a kérdés, mégsem ugyanaz a válasz

Képzeljünk el egy vállalatot, ahol minden munkatárs ugyanazt az AI-agent rendszert használja. Egy gyakornok és egy projektvezető is megkérdezi, hogyan áll egy fontos ügyfélprojekt. A gyakornok számára elegendő lehet tudni, mely feladatok vannak folyamatban, mik a következő határidők, és ki, miért felel. A projektvezetőnek viszont a költségkeretre, az ügyfélszerződés részleteire vagy az erőforrások pénzügyi adataira is szüksége lehet.

A kérdés ugyanaz, a megfelelő válasz mégis eltérő lehet. Nem azért, mert az AI másként értelmezi a kérdést, hanem mert a két felhasználó eltérő hozzáférési jogosultságokkal rendelkezik. Ez a hagyományos vállalati rendszerekben már megszokott működés: egy pénzügyi alkalmazásban sem láthatja minden munkatárs a teljes bérlistát. Ugyanezt az alapelvet az AI által szolgáltatott információknál is érvényesíteni kell.

Mi történik, ha az AI-agent túl sokat árul el?

Ha egy AI-platform megfelelő korlátozások nélkül teszi kereshetővé a vállalati dokumentumokat, előfordulhat, hogy olyan információkat is megoszt, amelyeket a kérdezőnek nem lenne szabad megismernie.

Egy munkatárs például rákérdezhet a következő évi béremelésekre, egy készülő felvásárlásra vagy egy kiemelt ügyfélnek adott kedvezményekre. Az ilyen adatok illetéktelen megismerése üzleti és adatvédelmi következményekkel járhat. Egy kiszivárgott árazási stratégia például gyengítheti a vállalat tárgyalási pozícióját, míg a személyes adatok jogosulatlan elérése adatvédelmi kötelezettségeket sérthet.

A kockázatot az is növeli, hogy az információk kiszivárgásához nem feltétlenül szükséges rossz szándék. Egy hétköznapi kérdés is elegendő lehet, ha a rendszer nem ellenőrzi megfelelően, hogy milyen forrásokat használhat fel a válaszadáshoz.

Honnan tudja az AI, hogy kinek mit mondhat el?

A megoldás a vállalati jogosultságkezelés megfelelő kialakításában rejlik. Egy biztonságosan működő AI-agent platform azonosítja a felhasználót, ellenőrzi a hozzáférési jogosultságait, és kizárólag az általa elérhető információkat használja fel a válasz összeállításához.
Ennek egyik elterjedt megoldása a szerepkör alapú hozzáférés-vezérlés, vagyis az RBAC. A vállalati működésben azonban gyakran ennél részletesebb szabályokra van szükség: számíthat az is, hogy ki milyen projekten dolgozik, melyik részleghez tartozik, vagy milyen egyedi hozzáféréseket kapott.

A jogosultságoknak ráadásul követniük kell a szervezeti változásokat. Ha egy munkatárs új pozícióba kerül, másik projekthez csatlakozik vagy távozik a cégtől, annak az AI által elérhető adatok körében is érvényesülnie kell. Emellett fontos a hozzáférések naplózása és ellenőrizhetősége, hogy szükség esetén visszakövethető legyen a rendszer működése.

A jogosultságkezelés szerepe tovább növekszik

A vállalati AI fejlődésével a jogosultságkezelés jelentősége új dimenziót kap. Az AI agentek ugyanis már nemcsak dokumentumokból keresnek információkat, hanem megfelelő felhatalmazással vállalati rendszerekben is képesek műveleteket végrehajtani. Egy ilyen rendszer esetében már nemcsak azt kell szabályozni, hogy mit láthat a felhasználó, hanem azt is, hogy az AI-agent milyen műveleteket végezhet el a nevében.

A jövő vállalati AI-rendszereinek ezért nemcsak a válaszadásban kell egyre hatékonyabbá válniuk. Ugyanilyen fontos, hogy a működésük ellenőrizhető legyen, és minden felhasználót kizárólag a jogosultságainak megfelelő információkkal, illetve lehetőségekkel támogassanak. A jól kialakított hozzáférés-vezérlés így nem pusztán biztonsági funkció, hanem a vállalati AI megbízható alkalmazásának egyik alapfeltétele is.

Forrás: FrontEndART