Kennisbank

Разширение за браузър с достъп до вашия имейл не пита никого за разрешение

Как разширение получава достъп до вашия имейл

Един служител иска да обобщи среща, да съставя имейл или да управлява календар. Има разширение за това, безплатно за инсталиране в браузъра, с няколко клика достъп до пощенската кутия. Разширението не пита ИТ отдела дали това е позволено. То пита служителя дали иска да даде достъп, и повечето хора кликват на съгласен без да прочетат правата. С това част от външен софтуер получава достъп за четене до кореспонденция, прикачени файлове и данни за контакти, извън всякакъв поглед на организацията.

Това не е изключение. Това е обичайният начин, по който AI влиза в организация: не чрез проект с възложител и бюджет, а чрез индивидуален избор да се улесни задача. Разширението не стои в ИТ списък, защото ИТ отделът не го е инсталирал. То не стои в регистър на риска, защото никой не го е регистрирал. То работи, и това е достатъчна причина за потребителя да продължи да кликва.

Защо ИТ списъкът не е точен

Преглед на одобрен софтуер казва нещо за това какво е поискано и разрешено. Той не казва нищо за това какво се използва. Между тези две неща има разлика, която става по-голяма, докато AI инструментите стават по-лесни за инсталиране и по-малко видими в работата си. Разширение в браузъра не оставя следа в мрежата, както би направило ново приложение. То върви заедно в сесия, която иначе изглежда нормална.

Това, което това създава, не е един пробив в данните, а разпръснат модел: тук разширение с достъп до имейл, там безплатно чат прозорче, в което се поставят фирмени данни, някъде другаде отдел, който по собствена инициатива е сключил абонамент. Отделни решения, взети без лоши намерения, които заедно образуват сенчест слой на употреба на AI, който организацията не може да обхване, защото не е попитала за него.

Защо това не изчезва с забрана

Забрана на разширения с достъп до имейл звучи като решение, но забрана, която никой не контролира, е правило на хартия. Служителят, който използва разширението, го е направил, защото работата вървеше по-бързо. Този проблем е все още там след забраната. Той може да премахне разширението, или да го остави и да не казва нищо повече за него. И двата изхода са по-лоши от онова, което имахте преди забраната: преди поне знаехте, че разширението съществува, сега вече не знаете това, или причината, поради която е съществувало, остава нерешена.

Единият начин да знаете какво наистина работи, е да питате. Не като контрол, а като инвентаризация. Който се страхува от разчистване на сметки, не отговаря честно, или не отговаря никак. Това прави въпроса как питате толкова важен, колкото самия въпрос. Този модел, и начинът, по който организация може да се справи с него без лов на вещици, е описан на страницата за какво правите с служители, които използват инструмент, който никой не е одобрил.

Какво се случва междувременно с контрола

Докато разширение с достъп до имейл остава извън поглед, няма и контрол над това какво прави с данните, които обработва. Не защото никой не иска да го уреди, а защото контрол може да съществува само върху нещо, което е известно. За инструменти, които са известни, въпросът какво означава контрол на практика е вече достатъчно труден: кой следи, колко често, и какво се случва при отклонение. Този въпрос е разгледан на страницата за какво означава човешки надзор на практика. За разширение, което никой не е регистрирал, отговорът на този въпрос е: все още нищо, защото първата стъпка, узнаването, че то съществува, все още не се е случила.

Същият модел на нещо, което се появява извън съществуващата структура, вместо да бъде включено в нея, се среща в по-голям мащаб, когато доставчик вгражда AI в своя продукт, без това да се отразява в договора или оценката на риска; как това се появява и защо се проплъзва покрай съществуващите договорености е описано при какво правите с доставчик, който е вградил AI в своя продукт. И ако наистина е създаден процес за докладване на такъв вид употреба, но този процес се пренебрегва, защото стои до съществуващата работа, а не в нея, това е разпознаваем модел, който е разработен на страницата за защо втори процес до съществуващия се пренебрегва.

От инвентаризация към разбиране на какво поема AI

Инвентаризация на разширения, абонаменти и инструменти, които никой не е одобрил, показва къде AI вече е присъстващ в работата. Тази информация естествено поражда следващ въпрос: ако някой вече е поверил част от задачите си на AI, каква точно част от тази работа е това, и как се съотнася това с онова, което е възможно или желателно за останалата част от организацията? Работният скенер на FTE TO AI изчислява за всяка задача каква част от работата може да бъде поета от AI, и по този начин дава числова отправна точка редом с картината за управление, която дава инвентаризацията.