Kennisbank

Доставчик въведе AI във вашия продукт без да го каже

Как възниква това

Доставчик добавя функция, която под повърхността работи на езиков модел или API на трета страна. За доставчика това е обновление на продукта, не събитие, което заслужава известие. Бележките към изданието споменават нов бутон, не технологията зад него. Вашата организация вече използва софтуера, договорът е подписан въз основа на старата функционалност, и промяната не преминава през отдел „Доставки“ или „Сигурност“ — те виждат само какво се случва при нови покупки, не какво тихомълком се добавя към съществуващ продукт.

Моделът е същият както при браузърно разширение с достъп до вашата поща: достъпът и функцията вече съществуват, преди някой да ги е оценил. При доставчик разстоянието е само по-голямо — не можете да погледнете в изходния код и трябва да се доверите на това, което доставчикът казва, или не казва.

Защо това не изчезва от само себе си

Няма момент, в който това да се обяви. Служител използва новата функция, защото е удобна, не защото разпознава AI-компонент. Доставчикът няма стимул активно да съобщава за това, докато никой не попита: не носи приходи и може да породи въпроси. А вероятността вие сами да се натъкнете на това е малка, освен ако няма инцидент или периодична проверка забележи нещо.

С това това наподобява вътрешен пилотен проект, който е останал висящ: както при пробна конфигурация, която никога не е изключена, не липсва злонамереност, а момент, в който някой поставя въпроса. При доставчик към това се прибавя и че сте зависими от неговата готовност да отговори.

Какво всъщност можете да направите

Изходната точка не е правно да наложите договора при първото съмнение, а първо да разберете какво се случва. Това започва с поставяне на въпроси към доставчика: кои части от продукта използват AI, какви данни отиват там, и дали това се е променило от подписването на договора. Доставчиците, които могат да отговорят без последствия, го правят по-вероятно достоверно, отколкото доставчици, които подозират, че честен отговор би застрашил договора.

Същата логика важи и вътре в организацията: служители, които използват инструмент, за който никой не знае, че съдържа AI, го съобщават само когато съобщаването не носи наказание. Как да организирате това е описано в служители, които използват инструмент, който никой не е одобрил. За доставчик принципът работи по същия начин: въпрос без обвинение получава различен отговор от въпрос, който се възприема като подготовка за санкции.

Веднага щом стане ясно какво е добавил доставчикът, следващият въпрос не е правен, а функционален: каква роля играе този AI-компонент в процеса, какво е нивото на риска, и какво трябва да бъде документирано за това. Същите въпроси задавате и за всяко AI-приложение, което сами прилагате, независимо дали идва през доставчик или през служител, който използва безплатен инструмент — вижте също фирмени данни, които попадат в безплатен чат прозорец. Какво точно документирате за всяко приложение зависи от това какво прави приложението и с какви данни, не от къде идва то. Общ преглед на това, което е релевантно, е описан на какво трябва да документирате за всяко приложение.

Доставчик, който добавя AI без известие, следователно не трябва да се третира като отделен инцидент, а да се включи в инвентара, който вече изграждате за останалата част от организацията. Как този инвентар се изгражда на практика — включително как да включите доставчиците в него — е описано на как изграждате AI-инвентар.

Какво не е това

Това не е повод за правна офанзива срещу всеки доставчик, който не е съобщил нещо. Установяването на нарушение на договор е различен въпрос от установяването на риск, и тези две не съвпадат автоматично: доставчик може да е пропуснал да съобщи нещо, без приложението да носи висок риск, и обратното. Първата стъпка е оценка на риска, не въпросът за вината. Кой започва със санкции, получава от доставчиците занапред по-малко информация, не повече.

Следващият въпрос

Веднага щом стане ясно кои AI-компоненти са активни в организацията чрез доставчици, служители или собствени инициативи, възниква друг въпрос: какво означава това за самата работа. Не всяко AI-приложение, което влиза, наистина прави нещо полезно за процеса, в който се намира — и не всеки процес, който сега протича ръчно, автоматично е по-добре без AI. Работният скенер на FTE TO AI изчислява за всяка задача коя част от работата разумно може да се поеме от AI, независимо от въпроса как е влязъл този AI. Това превръща инвентара, който изграждате сега, не само в инструмент за управление, но и в изходна точка за определяне къде AI наистина прави разлика.