Decodificando o dilema dos dados: estratégias para exclusão eficaz de dados na era da IA

À luz das tendências atuais, as empresas contemporâneas possuem uma oportunidade sem precedentes de aproveitar dados através de meios inovadores. No entanto, é igualmente imperativo que examinem minuciosamente a natureza dos dados que conservam e a sua utilização para evitar possíveis complicações jurídicas. Apesar da ascensão da inteligência artificial generativa, cabe às organizações a responsabilidade de garantir tanto a proteção, especialmente dos dados pessoais sensíveis, como a gestão prudente e o apagamento de informações desatualizadas que representam maiores riscos do que benefícios reais para as operações da organização.

A Forrester prevê uma duplicação dos dados não estruturados em 2024, impulsionada em parte pela IA. Mas o cenário de dados em evolução e o custo crescente das violações e violações de privacidade exigem uma análise crítica sobre como criar uma estratégia eficaz e robusta de retenção e eliminação de dados.

Explosão de dados e custos crescentes de violação

Embora o volume esperado de dados esteja aumentando, também aumenta o custo das violações de dados e da privacidade. Os criminosos de ransomware estão assumindo o controle de bancos de dados médicos e governamentais altamente confidenciais, incluindo hackers nos tribunais da Austrália, uma empresa de saúde de Kentucky, 23andMe e grandes empresas como Infosys, Boeing e o provedor de segurança Okta. Essas violações também estão ficando mais caras – a IBM descobriu que o custo total médio de uma violação foi de US$ 4,45 milhões em 2023 – um salto de 15% em relação a 2020.

Para tratar a informação de forma eficiente, é crucial que as entidades estabeleçam um protocolo que defina a eliminação de dados desatualizados. Com o advento da Inteligência Artificial, os gestores de alto nível podem ponderar se o apagamento ainda é necessário devido a potenciais perspectivas futuras. No entanto, a retenção de dados durante um período prolongado aumenta a probabilidade de violações de segurança ou penalidades decorrentes do não cumprimento dos regulamentos de privacidade. O curso de ação inicial para mitigar estes riscos envolve a realização de um exame minucioso da utilização de dados da organização, juntamente com a avaliação das distinções subtis e vantagens concretas associadas a um plano de preservação de dados.

Por que remover dados obsoletos?

Para cumprir as rigorosas obrigações legais relativas às regulamentações de proteção de dados, as organizações frequentemente se sentem obrigadas a remover informações desatualizadas. Tal ação é necessária devido à exigência de reter dados pessoais apenas por um período considerado essencial, resultando na implementação de diferentes prazos de retenção em vários departamentos corporativos. A erradicação de dados expirados não só minimiza potenciais repercussões legais, mas também ajuda a reduzir as taxas de armazenamento.

Identificando dados obsoletos

Uma abordagem completa para determinar quais dados se tornaram irrelevantes e quais dados continuam a fornecer valor duradouro envolve a criação de um mapa de dados detalhado que delineia as origens e categorias das informações recebidas, bem como os campos específicos, plataformas de armazenamento e sistemas de processamento envolvidos. Ao manter um mapa de dados exaustivo, as organizações podem obter uma compreensão clara de onde residem os dados confidenciais, que tipos de dados pessoais estão sendo tratados e os objetivos por trás de tais atividades de processamento. Além disso, este método permite que as empresas identifiquem as regiões nas quais seus dados estão sendo processados ​​e mantidos, bem como quaisquer sistemas aplicáveis ​​utilizados.

Um inventário abrangente e uma categorização de dados significativos servem como base para uma iniciativa robusta de privacidade, permitindo a identificação da proveniência dos dados que facilita a compreensão da progressão das informações em toda a infraestrutura em rede de uma empresa.

Depois de uma empresa ter estabelecido um inventário do seu repositório de informações acumuladas, colaborações interdisciplinares entre especialistas jurídicos e tecnológicos juntamente com representantes da empresa podem ser conduzidas para avaliar o valor financeiro de conjuntos de dados específicos, identificar requisitos de conformidade aplicáveis ​​para a manutenção desses conjuntos de dados e contemplar as consequências concebíveis. caso informações confidenciais sejam comprometidas, expostas ou mantidas além da duração pré-requisito.

Em geral, os indivíduos com interesses adquiridos nas organizações tendem a demonstrar hesitação quando se trata de erradicar informações, especialmente considerando os rápidos avanços da tecnologia. Consequentemente, as discussões relativas à preservação e remoção devem concentrar-se em elementos que produzam o máximo de benefícios para o empreendimento. Por exemplo, imagine um grupo dentro de um estabelecimento fiscal tentando melhorar os critérios de aprovação de empréstimos, utilizando grandes quantidades de dados para formação de modelos. Lamentavelmente, esta estratégia entra em conflito com os objectivos dos regulamentos que visam salvaguardar os dados pessoais e manter a privacidade.

Embora seja verdade que houve uma evolução significativa em áreas como as taxas de juro, os termos dos empréstimos e os perfis financeiros dos consumidores ao longo das últimas duas décadas, a utilização de dados históricos por si só pode não captar adequadamente a situação actual para os mutuários contemporâneos. À luz disto, uma abordagem mais fiável envolveria a utilização de relatórios de crédito atualizados para gerar uma avaliação de risco precisa com base nas condições atuais.

A situação actual do sector imobiliário comercial sublinha a necessidade de abordar esta questão. Vários modelos de previsão de risco foram desenvolvidos com base em informações obtidas antes da adoção generalizada do comércio eletrónico e de acordos de trabalho remoto. Para minimizar a probabilidade de projeções erradas, é essencial envolver as principais partes interessadas para explorar as formas como os dados perdem relevância e diminuem de valor à medida que o tempo passa. Além disso, a identificação dos conjuntos de dados que melhor representam as tendências contemporâneas também deve ser considerada na formulação de estratégias para garantir previsões precisas.

Tratamento de dados obsoletos: determine, exclua ou desidentifique

Para tomar uma decisão relativamente ao período de retenção de dados, considere quaisquer requisitos legais positivos relativos à manutenção de registos em relação a documentos financeiros ou directivas regulamentares específicas que regem o tratamento de informações pessoais em determinados sectores. Além disso, examinar os prazos estabelecidos pelos estatutos legais de prescrição pode fornecer informações sobre por quanto tempo reter os dados quando necessário para possíveis fins de litígio. Ao fazê-lo, limite a retenção de dados pessoais apenas ao que é necessário para a defesa contra ações legais, como históricos de transações ou prova de consentimento do utilizador, em vez de preservar todos os dados pertencentes a utilizadores individuais.

Para eliminar informações consideradas de menor valor, pode-se optar pela exclusão manual dos dados de acordo com os períodos de retenção pré-determinados especificados no cronograma de retenção, que detalha o tempo de conservação dos diversos tipos de dados. Alternativamente, a automação através da implementação de uma política de eliminação aumenta a confiabilidade. No entanto, embora estejam disponíveis métodos como a remoção de informações de identificação pessoal ou a utilização de dados completamente anónimos, eles introduzem complexidades adicionais.

Dados verdadeiramente desidentificados geralmente se enquadram nas isenções das leis de proteção de dados, mas fazer isso corretamente exige retirar tanto valor que não resta muito para usar. A desidentificação requer a remoção de identificadores únicos e diretos, como SSN e nome, mas também identificadores indiretos, incluindo informações como endereços IP de clientes. Por exemplo, para cumprir a norma HIPAA para proteção de porto seguro, uma organização deve remover uma lista de 18 identificadores. Uma organização pode querer tentar esta abordagem para manter o desempenho de um modelo analítico ou de IA. Mas é importante discutir primeiro os prós e os contras com as partes interessadas.

Evitando armadilhas comuns

Um dos erros mais comuns cometidos pelas organizações ao lidar com informações desatualizadas é acelerar o procedimento sem realizar discussões abrangentes. Os gerentes de projeto devem evitar pressa e reconhecer que é crucial receber contribuições de várias partes interessadas. Para obter feedback sobre quais dados devem ser retidos, as empresas devem colaborar com os departamentos jurídico, de privacidade e de segurança, bem como com os principais executivos. Ao fazer isso, eles podem estabelecer um plano e um cronograma de retenção que preserve apenas os dados necessários e evite a exclusão acidental de informações vitais. Em vez de estender os períodos de retenção de forma incremental, é melhor começar com durações mais curtas e reduzir gradualmente a quantidade de dados privados mantidos. No entanto, uma vez que os dados eliminados não podem ser recuperados, deve ser considerada cuidadosamente antes de tomar qualquer acção.

Ao desenvolver uma estratégia eficaz para gerir dados obsoletos, é importante ter em conta vários factores, tais como o estabelecimento de mapas e linhagens de dados, a determinação de períodos de retenção apropriados e a implementação destas políticas de forma eficiente. O processo de eliminação de dados pode ser complexo, exigindo uma análise cuidadosa das suas implicações jurídicas, de segurança e económicas. Uma política abrangente de retenção de dados deve cumprir os requisitos regulamentares e, ao mesmo tempo, proteger recursos digitais valiosos.

Seth Batey é diretor de proteção de dados e consultor sênior de privacidade da Fivetran.

*️⃣ Link da fonte:

duplicação de dados não estruturados , hacks , $ 4,45 milhões em 2023 , 18 identificadores , Fivetran ,