Dodavatel dodává účetní balík, HR systém nebo nástroj pro klientský servis. Existuje smlouva, zpracovatelská smlouva, možná bezpečnostní audit. Pak dodavatel v rámci aktualizace přidá funkci AI: automatickou klasifikaci, textové návrhy, chatbota, kterého vypustil na vaše data. Poznámky k vydání to nazývají vylepšením. Nikdo ve vaší organizaci k tomu nemohl nic říct, protože nikdo nevěděl, že to přichází.
Toto není výjimka z toho, jak se dodává software. Stalo se to standardem. Dodavatelé si konkurují funkcionalitou AI a zabudovávají ji tak rychle, jak jen mohou, často jako součást předplatného, které již platíte. Otázka, zda to spadá pod vaše stávající dohody, se zřídka pokládá dříve, než funkce začne fungovat naživo.
Oddělení nákupu prověří dodavatele při pořízení. Poté se pozornost přesune na fakturu, dostupnost a podporu. Funkční aktualizace probíhají mimo tento proces, protože spadají pod údržbu, ne pod nové pořízení. Kdo by to měl oznámit? Dodavatel to vidí jako zlepšení produktu. Nákupčí aktualizaci nevidí, nebo ji vidí a myslí si, že se to týká někoho jiného. Uživatel v organizaci si všimne především toho, že tlačítko dělá něco chytřejšího, a nezamýšlí se nad tím, zda za tím stojí jazykový model, který zpracovává data externě.
Tento vzorec připomíná to, co se děje u rozšíření prohlížeče s přístupem k vaší poště: přístup se udělí ve chvíli, kdy nikdo nemyslel na AI, a poté zůstává nepozorovaně aktivní. U dodavatelů je problém škálovatelnosti větší, protože se netýká jednoho zaměstnance, ale celé organizace, která je vystavena riziku prostřednictvím jedné smlouvy.
Smluvní ustanovení, které vynucuje oznamovací povinnost při funkcionalitě AI, pomáhá u nových smluv. U stávajících smluv toto ustanovení chybí a není samozřejmé, že by ho dodavatel akceptoval se zpětnou platností. Kromě toho klauzule neřeší problém odhalení: pokud nikdo periodicky nekontroluje, co dodavatel skutečně přidal, oznámení zůstává závislé na ochotě dodavatele oznámit to sám.
Co skutečně funguje, je pevný snímek stavu: periodická inventarizace toho, co každý klíčový dodavatel právě nyní dodává v oblasti funkcionality AI, oddělená od toho, co bylo posouzeno při pořízení. To není právní nástroj, ale faktický přehled, který lze následně posoudit vůči rizikové kategorii procesu, ve kterém dodavatel funguje.
Stejná dynamika, která udržuje stínovou AI u zaměstnanců, se projevuje i tady, jen na úrovni dodavatelů. Kdo položí otázku "používáte k tomu AI", chce upřímnou odpověď, ne obhajovací reakci account manažera. To znamená, že otázka se nemá pokládat jako předehra k rozvázání smlouvy, ale jako součást pevného procesu, ve kterém odpověď nemá jiný důsledek než klasifikaci. Podívejte se, jak to funguje u zaměstnanců, kteří používají nástroj, který nikdo neschválil: užitečná informace se uvolní až tehdy, když je pokládání otázek oddělené od trestání.
Seznam dodavatelů je výchozí bod, ne konečný bod. U každého dodavatele, který má přístup k produkčním datům, datům klientů nebo personálním datům, je relevantní, zda nyní obsahuje funkcionalitu AI, co tato funkcionalita s daty dělá a zda toto použití spadá do stejné rizikové kategorie, pro kterou byl dodavatel původně schválen. Dodavatel, který byl před pěti lety posouzen jako nízké riziko, protože pouze fakturuje, může nyní provozovat modul, který automaticky klasifikuje faktury na základě jazykového modelu trénovaného externě. To je jiná riziková kategorie, i když je na faktuře stejné jméno.
Tato inventarizace by neměla stát oddělena od zbytku AI governance v organizaci. Stejná klasifikace, která se používá na interně vytvořené nástroje nebo na zkušební nastavení, které nikdy nebylo vypnuto, by měla být aplikována i na to, co přinášejí dodavatelé. Jeden přehled, jedna riziková stupnice, bez ohledu na to, zda byla AI vytvořena interně, přinesena zaměstnancem, nebo přidána dodavatelem bez oznámení.
Jakmile je jasné, jaká AI přichází přes dodavatele, vzniká navazující otázka, která přesahuje pouhé riziko: co daná AI skutečně dělá s prací, kterou nyní vykonávají lidé, a kde se to překrývá s úkoly, které se stejně již hodí pro automatizaci. Pracovní scan FTE TO AI vypočítá pro každý úkol, jakou část práce lze převést na AI, bez ohledu na to, který dodavatel nebo který systém to nakonec provádí. Díky tomu je inventarizace, která začíná u rizika, použitelná i pro otázku, která přijde poté: nejen co běží, ale co je práce skutečně hodna.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.