Kennisbank

Dodavatel nasadil AI do vašeho produktu, aniž by to řekl

Jak k tomu dochází

Dodavatel přidá funkci, která pod kapotou běží na jazykovém modelu nebo API třetí strany. Pro dodavatele je to aktualizace produktu, ne událost, která by si zasloužila oznámení. Poznámky k vydání zmiňují nové tlačítko, ne technologii za ním. Vaše organizace software už používá, smlouva je podepsána na základě staré funkcionality, a změna nepřijde přes nákup ani bezpečnostní oddělení — ty vidí jen to, co se děje při nové akvizici, ne to, co stávající produkt tiše získá navíc.

Vzorec je stejný jako u rozšíření prohlížeče s přístupem k vaší poště: přístup i funkce existují už dřív, než je kdokoli posoudil. U dodavatele je jen odstup větší — nemůžete se podívat do zdrojového kódu a musíte se spolehnout na to, co dodavatel řekne, nebo neřekne.

Proč to nezmizí samo

Neexistuje okamžik, kdy by se to samo přihlásilo. Zaměstnanec novou funkci používá, protože je praktická, ne protože v ní rozpozná komponentu AI. Dodavatel nemá motivaci to aktivně oznámit, dokud se na to nikdo nezeptá: nepřináší to žádný příjem a může to vyvolat otázky. A pravděpodobnost, že na to narazíte sami, je malá, pokud nedojde k incidentu nebo to nezachytí periodická kontrola.

Tím se to podobá interní pilotní verzi, která zůstala v provozu: stejně jako u testovacího nastavení, které nikdy nebylo vypnuto tu nechybí zlý úmysl, ale okamžik, kdy si někdo tu otázku položí. U dodavatele k tomu navíc přistupuje, že jste závislí na jeho ochotě odpovědět.

Co skutečně můžete udělat

Výchozím bodem není právní vymáhání smlouvy při první pochybnosti, ale nejprve zjistit, o co jde. To začíná otázkami směřovanými na dodavatele: které části produktu používají AI, jaká data tam proudí a zda se to změnilo od podpisu smlouvy. Dodavatelé, kteří mohou odpovědět bez následků, odpovídají pravdivěji než dodavatelé, kteří tuší, že upřímná odpověď ohrozí smlouvu.

Stejná logika platí i uvnitř organizace: zaměstnanci, kteří používají nástroj, o němž nikdo neví, že obsahuje AI, to nahlásí až tehdy, když nahlášení nepřinese trest. Jak to zorganizovat, je popsáno u zaměstnanců, kteří používají nástroj, který nikdo neschválil. U dodavatele platí stejný princip: otázka bez podezření získá jinou odpověď než otázka, která je vnímána jako předehra k sankcím.

Jakmile je jasné, co dodavatel přidal, další otázka není právní, ale funkční: jakou roli hraje tato komponenta AI v procesu, jaká je úroveň rizika a co by o tom mělo být zaznamenáno. Stejné otázky si kladete u každé aplikace AI, kterou sami nasazujete, ať přijde přes dodavatele nebo přes zaměstnance, který používá bezplatný nástroj — viz také firemní data, která skončí v bezplatném chatovacím okně. Co u každé aplikace zaznamenáte, závisí na tom, co daná aplikace dělá a s jakými údaji, ne na tom, odkud přišla. Přehled toho, co je v tomto ohledu relevantní, najdete na co musíte zaznamenat u každé aplikace.

Dodavatel, který přidá AI bez oznámení, by tedy neměl být řešen samostatně jako incident, ale zahrnut do inventáře, který už pro zbytek organizace budujete. Jak se takový inventář v praxi vytváří — včetně toho, jak v něm dát místo dodavatelům — je popsáno na jak vytvořit inventář AI.

Co to není

Toto není důvod k právní offenzivě proti každému dodavateli, který něco neoznámil. Zjištění porušení smlouvy je jiná otázka než zjištění rizika, a tyto dvě věci automaticky nesouvisí: dodavatel může něco neoznámit, aniž by aplikace přinášela vysoké riziko, a naopak. Prvním krokem je posouzení rizika, ne otázka viny. Kdo začíná sankcemi, dostane od dodavatelů napříště méně informací, ne více.

Další otázka

Jakmile je jasné, které komponenty AI jsou v organizaci aktivní přes dodavatele, zaměstnance nebo vlastní iniciativy, vzniká jiná otázka: co to znamená pro samotnou práci. Ne každá aplikace AI, která se objeví, dělá s procesem, v němž se nachází, skutečně něco užitečného — a ne každý proces, který nyní probíhá manuálně, je bez AI automaticky lepší. Werkscan od FTE TO AI vypočítá pro každý úkol, jakou část práce lze rozumně přenechat AI, bez ohledu na to, jak se ta AI do organizace dostala. Díky tomu se z inventáře, který nyní budujete, stává nejen nástroj správy, ale i výchozí bod pro určení, kde AI skutečně dělá rozdíl.