Kennisbank

Hvordan forebygger man en afdeling med sit eget abonnement?

Et marketingteam har brug for en skriveassistent. En finansanalytiker vil have et værktøj, der opsummerer regneark. Ingen af dem venter på en indkøbsproces, der tager måneder. Der er et kreditkort, en e-mailadresse, og inden ti minutter er der et abonnement, som afdelingen selv betaler, selv administrerer og selv bruger. IT-afdelingen ved intet om det. Der er ingen grund til at melde det, for der er ikke gjort noget forkert — der er kun løst et problem.

Hvordan det opstår

Det meste skygge-AI begynder ikke med et forsøg på at omgå regler. Det begynder med en opgave, der skal gå hurtigere, en deadline, der ikke venter på et godkendelsesforløb, og et værktøj, der er tilgængeligt uden andres indblanding. Afdelingen, der tegner abonnementet, ser det ikke som en IT-beslutning. Det føles som en kontorartikel, ikke anderledes end en softwarelicens, som alle allerede brugte, før der var en central indkøbspolitik. At en sprogmodel behandler virksomhedsdata, læser kundedata eller genererer udkast, der går ud af huset, er for brugeren ikke et governance-spørgsmål. Det er bare arbejde.

Samme dynamik gør sig gældende ved en leverandør, der byggede AI ind i sit produkt uden at der er ført en separat samtale om det: funktionaliteten dukker op i en opdatering, ingen underskriver noget for det, og organisationen bruger det, før nogen har fastlagt, hvem der er ansvarlig for det.

Hvorfor det ikke forsvinder af sig selv

En meddelelse om, at uautoriserede værktøjer ikke er tilladt, ændrer kun lidt. Afdelingen, der har abonnementet, opfatter det som en løsning, der virker, ikke som en risiko, der skal indberettes. Et forbud uden alternativ giver to muligheder: abonnementet går under jorden, eller teamet stopper med det, og arbejdet bliver igen langsommere. Ingen af de to er, hvad en organisation ønsker.

Hertil kommer, at et sådant abonnement sjældent er en enkeltstående beslutning. Det bliver en del af workflowet, kobles til andre værktøjer, bruges i processer, der efterhånden er afhængige af det. Hvad der begynder som et forsøg, bliver en fast del af, hvordan teamet arbejder — præcis det mønster, der også ses ved en forsøgsopstilling, der aldrig blev slukket: ingen har besluttet at gøre det permanent, men ingen har heller besluttet at stoppe det.

Hvad afstraffelse ikke giver

Refleksen til at opspore skygge-AI og konfrontere brugeren med det, virker mod hensigten. Den, der ved, at en indberetning fører til en reprimande, indberetter ikke. Abonnementet fortsætter med at eksistere, blot mindre synligt. Afdelingen bliver mere forsigtig med, hvad den rapporterer, ikke mere omhyggelig med, hvad den bruger.

Hvad der derimod virker, er at spørge uden at der er en sanktion knyttet til det. Et team, der bruger et værktøj til at fremskynde en opgave, har som regel en grund til det, som organisationen bør kende: en proces, der er for langsom, en opgave, der bliver overbelastet, et behov, som det eksisterende udbud ikke dækker. Se hvordan dette beskrives ved medarbejdere, der bruger et værktøj, som ingen har godkendt — omdrejningspunktet er ikke overtrædelsen, men det bagvedliggende behov.

Hvad en organisation kan gøre ved det

Det første skridt er ikke håndhævelse, men kortlægning: hvilke værktøjer findes der, hvem bruger dem, til hvilken opgave, og med hvilke data. Det sker ikke via IT-listen — den registrerer, hvad der er godkendt, ikke hvad der bliver brugt. Det sker ved at spørge, på en måde der ikke indeholder en trussel.

Så snart der er overblik over, hvad der er i gang, kan klassificering følge: hvilken rolle spiller værktøjet, hvilket risikoniveau passer dertil, og hvilken form for tilsyn er passende. Ikke ethvert abonnement, som en afdeling selv har tegnet, udgør et problem. Et værktøj, der omskriver offentlig tekst, hører til en anden kategori end et værktøj, der behandler kundedata, uden at nogen ved, hvor de data ender. Netop dette skel mellem kategorierne er, hvad menneskeligt tilsyn i praksis handler om: ikke al brug kræver samme grad af kontrol, men al brug kræver, at man ved, den findes.

Derefter følger en governance-struktur, der passer til det, der allerede findes — ikke en ny proces sideløbende med den eksisterende risikoramme, men en udvidelse af den. En organisation, der behandler AI-risiko separat fra resten af sin risikostyring, risikerer, at det andet system bliver ignoreret, som det fremgår af en anden proces sideløbende med den eksisterende, der bliver ignoreret. Den tilgang, der overlever, er den, der passer til det, organisationen allerede gør for at styre risiko.

Spørgsmålet, der står tilbage

Et abonnement, som en afdeling selv har tegnet, er som regel et signal om, at noget skal gå hurtigere, end den nuværende proces tillader. Det spørgsmål — hvilken del af arbejdet der kan fremskyndes, og hvor det kan ske struktureret i stedet for usynligt — er præcis, hvad FTE TO AI's arbejdsscan besvarer. Arbejdsscanen beregner pr. opgave, hvilken del af arbejdet der kan overtages af AI, så det behov, der førte til et skyggeabonnement, får en plads inden for en proces, organisationen faktisk kender og faktisk administrerer.