Kennisbank

En browserudvidelse med adgang til Deres mail spørger ingen om tilladelse

Hvordan en udvidelse får adgang til Deres mail

En medarbejder vil have et møde opsummeret, en mail udkastet eller en kalender administreret. Der findes en udvidelse til det, gratis at installere i browseren, med et par klik adgang til postkassen. Udvidelsen spørger ikke IT, om dette er tilladt. Den spørger medarbejderen, om han vil give adgang, og de fleste mennesker klikker på accepter uden at læse rettighederne. Dermed har et eksternt stykke software læseadgang til korrespondance, bilag og kontaktoplysninger, uden for enhver indsigt fra organisationen.

Dette er ingen undtagelse. Det er den almindelige måde, hvorpå AI kommer ind i en organisation: ikke via et projekt med en opdragsgiver og et budget, men via et individuelt valg om at gøre en opgave nemmere. Udvidelsen står ikke på en IT-liste, for IT har ikke installeret den. Den står ikke i et risikoregister, for ingen har anmeldt den. Den fungerer, og det er for brugeren grund nok til at fortsætte med at klikke.

Hvorfor IT-listen ikke stemmer

Et overblik over godkendt software siger noget om, hvad der er anmodet om og tilladt. Det siger intet om, hvad der bliver brugt. Mellem disse to er der en forskel, som bliver større, i takt med at AI-værktøjer er lettere at installere og fungerer mindre synligt. En udvidelse i browseren efterlader ikke et spor på netværket, som en ny applikation ville gøre. Den kører med i en session, der ellers ser normal ud.

Hvad dette medfører, er ikke ét datalæk, men et spredt mønster: her en udvidelse med mailadgang, der et gratis chatvindue, hvor virksomhedsdata bliver indsat, et andet sted en afdeling, der på egen hånd har tegnet et abonnement. Enkeltstående beslutninger, taget uden onde hensigter, der sammen udgør et skyggelag af AI-brug, som organisationen ikke kan overskue, fordi den ikke har spurgt efter det.

Hvorfor det ikke forsvinder med et forbud

Et forbud mod udvidelser med mailadgang lyder som en løsning, men et forbud, som ingen kontrollerer, er en regel på papir. Medarbejderen, der brugte udvidelsen, gjorde det, fordi arbejdet gik hurtigere. Det problem er der stadig efter forbuddet. Han fjerner måske udvidelsen, eller han lader den stå og siger ikke mere om det. Begge udfald er værre end det, De havde før forbuddet: før vidste De i hvert fald, at udvidelsen fandtes, nu ved De det ikke længere, eller er årsagen til, at den fandtes, uløst.

Den eneste måde at vide, hvad der virkelig kører, er at spørge. Ikke som kontrol, men som opgørelse. Den, der er bange for en afregning, svarer ikke ærligt, eller svarer overhovedet ikke. Det gør spørgsmålet om, hvordan De spørger, lige så vigtigt som spørgsmålet selv. Dette mønster, og måden, hvorpå en organisation kan håndtere det uden en heksejagt, beskrives på siden om hvad De gør med medarbejdere, der bruger et værktøj, som ingen har godkendt.

Hvad der i mellemtiden sker med tilsyn

Så længe en udvidelse med mailadgang forbliver uden for synsfeltet, er der heller intet tilsyn med, hvad den gør med de data, den behandler. Ikke fordi ingen vil ordne det, men fordi tilsyn kun kan eksistere med noget, der er kendt. For værktøjer, der er kendte, er spørgsmålet om, hvad tilsyn betyder i praksis, allerede besværligt nok: hvem holder øje, hvor tit, og hvad sker der med en afvigelse. Dette spørgsmål behandles på siden om hvad menneskeligt tilsyn betyder i praksis. For en udvidelse, som ingen har anmeldt, er svaret på dette spørgsmål: endnu ingenting, for det første skridt, at vide, at den findes, har endnu ikke fundet sted.

Det samme mønster af noget, der opstår langs den eksisterende struktur i stedet for at blive optaget i den, gør sig gældende i større skala, når en leverandør bygger AI ind i sit produkt, uden at dette kommer til udtryk i kontrakten eller risikovurderingen; hvordan det opstår og hvorfor det glider forbi eksisterende aftaler, beskrives ved hvad De gør med en leverandør, der har bygget AI ind i sit produkt. Og hvis der er etableret en proces til at anmelde denne type brug, men denne proces bliver ignoreret, fordi den står ved siden af det eksisterende arbejde i stedet for i det, så er det et genkendeligt mønster, der er udfoldet på siden om hvorfor en anden proces ved siden af den eksisterende bliver ignoreret.

Fra opgørelse til forståelse af, hvad AI overtager

En opgørelse af udvidelser, abonnementer og værktøjer, som ingen har godkendt, viser, hvor AI allerede kører med i arbejdet. Denne information rejser af sig selv et opfølgende spørgsmål: hvis nogen allerede har overlADt en del af sine opgaver til AI, hvilken del af det arbejde er det så præcist, og hvordan forholder det sig til, hvad der er muligt eller ønskeligt for resten af organisationen? Arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der kan overtages af AI, og giver dermed et taltmæssigt holdepunkt sammen med det governancebillede, en opgørelse giver.