Kennisbank

Rozšíření, které nikdo neschválil, ale přesto čte s vámi

Zaměstnanec instaluje prohlížečové rozšíření, které shrnuje e-maily, navrhuje termíny do kalendáře nebo píše koncepty textu v Gmailu či Outlook Web. Instalace trvá minutu a vyžaduje souhlas s přístupem k obsahu stránky. Tento souhlas se uděluje, aniž by si kdokoli přečetl, co přesně se sdílí, jak dlouho se to uchovává, zda se na tom model trénuje, nebo zda to dodavatel dále prodává. Rozšíření funguje, šetří čas a poté se šíří neformálně: kolega si to všimne, požádá o odkaz, také si ho nainstaluje.

Jak k tomu dochází

Prohlížečová rozšíření nespadají do většiny nákupních procesů. Nic se nekupuje, není žádná smlouva, žádná faktura, která by upoutala pozornost finančního oddělení. Instalace probíhá přímo v prohlížeči, často s osobním nebo pracovním účtem, který nejde přes IT oddělení. Pro zaměstnance to není 'nový nástroj' v tom smyslu, který by vyžadoval schválení — je to malá pomůcka, srovnatelná s kontrolou pravopisu. Skutečnost, že rozšíření má přístup ke čtení veškeré pošty, včetně přílohy, smluv a údajů o klientech, je technický detail, který byl při instalaci odkliknut.

Tento vzorec není jedinečný pro e-mail. Stejná cesta probíhá přes nástroj, který nikdo neschválil v širším smyslu, přes firemní data vložená do bezplatného chatovacího okna a přes oddělení, které si na vlastní pěst uzavřelo předplatné. Prohlížečové rozšíření je jen variantou s nejpřímějším přístupem: nikoli k jednomu dokumentu, ale k celé e-mailové schránce.

Proč to nezmizí sama od sebe

Seznam schváleného softwaru z IT oddělení toto nezachytí. Rozšíření není v přehledu smluv, ani ve fakturách, ani v SSO logu, pokud se nepoužívá. Jediný způsob, jak zjistit, zda existuje, je zeptat se — lidí, kteří ho používají. A to funguje jen tehdy, pokud dotazování nemá žádné následky. Jakmile nahlášení vede k výtce, informace přestanou proudit. Další rozšíření pak nebude nahlášeno, ale bude se používat tišeji.

Rozšíření také nezmizí, protože je užitečné. Kdo díky němu zvládá e-maily rychleji, toho se nevzdá jen proto, že někde existuje politický dokument, který to nedoporučuje. Zákaz bez alternativy přesune chování na jiný účet, jiný prohlížeč, soukromý telefon. Problém se tak stane neviditelnějším, ne menším.

Co s tím může organizace dělat

Východiskem není pátrání a trestání, ale zmapování toho, co existuje, a na základě toho učinit rozhodnutí. To začíná inventarizací, která se nedívá jen na to, co bylo nakoupeno, ale na to, co se skutečně používá: jak vybudovat inventuru AI popisuje tento přístup, včetně otázky, jak přimět lidi, aby sami nahlásili, co používají.

U každého rozšíření, které vyjde na povrch, je relevantních několik otázek. Jakých dat se dotýká — pouze toho, co je na obrazovce, nebo celé e-mailové schránky přes API propojení? Zpracovává obsah externí model, a pokud ano, za jakých podmínek? Existuje pro jeho použití obchodní důvod, nebo nahrazuje něco, co organizace už měla? Co je třeba zaznamenat u každé aplikace — kdo je vlastníkem, jaká data do ní vstupují, jaká úroveň rizika se na ni vztahuje — je popsáno v co musíte zaznamenat u každé aplikace. To není samostatné právní cvičení; je to základ pro rozhodnutí v každém jednotlivém případě: povolit, nahradit řízenou variantou, nebo postupně omezit.

K tomu patří i pohled zvenčí. Nikoli každá funkce AI v e-mailovém prostředí pochází z rozšíření, které si nainstaloval zaměstnanec sám. Dodavatel stávajícího nástroje mohl přidat funkci AI v rámci aktualizace, aniž by to bylo posouzeno jako nové hodnocení. Co to znamená pro stávající smlouvy a ujednání o zpracování osobních údajů, je popsáno v dodavatel, který do svého produktu zabudoval AI.

Bez honu na čarodějnice

Cílem této inventarizace není odhalit zaměstnance, který rozšíření nainstaloval. Kdo na to skončí, ten už další rozšíření neuvidí, protože nikdo nic už nenahlásí. Cílem je obraz toho, co se skutečně děje s údaji z e-mailů, smluvními dokumenty a komunikací s klienty, aby vedoucí pracovník nebo General Counsel mohl učinit podložené rozhodnutí o tom, co zůstane, co bude nahrazeno a co bude postupně omezeno — s důvodem, který lze předložit dozorovému orgánu nebo auditorovi.

Od rizika k přehledu o časové náročnosti

Stejná otázka, která odhalí, že rozšíření čte s vámi e-mail, odhalí také, kolik času toto rozšíření skutečně převzalo z práce, která se dříve dělala ručně. Tyto dvě otázky si jsou blízké: jedna se týká rizika a dohledu, druhá toho, kde se v samotné práci mění časová náročnost. Pro toto druhé si pracovní scan FTE TO AI u jednotlivých úkolů vypočítá, jakou část práce lze přenechat AI, nezávisle na tom, který nástroj to dělá — to je další krok pro toho, kdo po inventarizaci chce vědět, co AI, která už existuje, znamená pro organizaci práce.