Kennisbank

Extensionen som ingen har godkendt, men som alligevel læser med

En medarbejder installerer en browserextension, der opsummerer e-mails, foreslår kalenderaftaler eller skriver udkast i Gmail eller Outlook Web. Installationen tager et minut og beder om tilladelse til at få adgang til sideindholdet. Den tilladelse gives, uden at nogen læser, hvad der præcis bliver delt, hvor længe det bliver opbevaret, om modellen trænes på det, eller om leverandøren videresælger det. Extensionen fungerer, sparer tid, og spreder sig derefter informelt: en kollega ser det, spørger om linket, installerer den også.

Hvordan dette opstår

Browserextensions falder uden for de fleste indkøbsprocesser. Der bliver ikke købt noget, der er ingen kontrakt, ingen faktura, der falder finance i øjnene. Installationen sker via browseren selv, ofte med en personlig eller arbejdskonto, der ikke går via IT. For medarbejderen er det ikke et 'nyt værktøj' i den forstand, der kræver godkendelse — det er et lille hjælpemiddel, sammenligneligt med en stavekontrol. At extensionen har læseadgang til al mail, inklusive bilag, kontrakter og kundedata, er en teknisk detalje, der blev klikket væk ved installationen.

Dette mønster er ikke unikt for mail. Samme rute går via et værktøj som ingen har godkendt i bredere forstand, via virksomhedsdata som bliver indsat i et gratis chatvindue, og via en afdeling som på egen hånd har oprettet et abonnement. Browserextensionen er blot varianten med den mest direkte adgang: ikke til et enkelt dokument, men til hele mailboksen.

Hvorfor det ikke forsvinder af sig selv

En IT-liste over godkendt software fanger ikke dette. Extensionen står ikke i kontraktoversigten, ikke i fakturastrømmen, ikke i en SSO-log, hvis den ikke bruges. Den eneste måde at vide, om den er der, er at spørge — de mennesker, der bruger den. Og det virker kun, hvis at spørge ikke har konsekvenser. Så snart en indberetning fører til en anklage, stopper informationen. Den næste extension bliver da ikke indberettet, men brugt i det stille.

Extensionen forsvinder heller ikke, fordi den er nyttig. Den, der kan behandle mail hurtigere, giver ikke det op, fordi der et sted ligger et politikdokument, der fraråder det. Et forbud uden alternativ flytter blot adfærden til en anden konto, en anden browser, en privat telefon. Problemet bliver da mere usynligt, ikke mindre.

Hvad en organisation kan gøre med det

Udgangspunktet er ikke at opspore og afstraffe, men at kortlægge, hvad der findes, og på den baggrund træffe et valg. Det begynder med en oversigt, der ikke kun ser på, hvad der er indkøbt, men på, hvad der bliver brugt: hvordan du opbygger en AI-oversigt beskriver den fremgangsmåde, inklusive spørgsmålet om, hvordan du får folk til selv at indberette, hvad de bruger.

For hver extension, der kommer frem, er der et par relevante spørgsmål. Hvilke data berører den — kun det, der står på skærmen, eller hele mailboksen via en API-forbindelse? Bliver indholdet behandlet af en ekstern model, og hvis ja, under hvilke betingelser? Er der en forretningsmæssig grund til brugen, eller erstatter den noget, organisationen allerede havde? Hvad der skal registreres for hver anvendelse — hvem der er ejer, hvilke data der går ind i den, hvilket risikoniveau der gælder — er beskrevet i hvad du skal registrere per anvendelse. Det er ikke en juridisk øvelse i sig selv; det er grundlaget for at afgøre fra sag til sag: tillade, udskifte med en administreret variant, eller udfase.

Dertil hører også blikket udad. Ikke enhver AI-funktion i mailmiljøet kommer fra en extension, en medarbejder selv installerede. En leverandør af et eksisterende værktøj kan have tilføjet en AI-funktion i en opdatering, uden at dette blev betragtet som en ny vurdering. Hvad det betyder for eksisterende kontrakter og databehandleraftaler, står beskrevet i en leverandør som har bygget AI ind i sit produkt.

Uden heksejagt

Målet med denne kortlægning er ikke at opspore den medarbejder, der installerede extensionen. Den, der ender der, ser ikke den næste extension mere, fordi ingen længere indberetter. Målet er et billede af, hvad der faktisk sker med maildata, kontraktdokumenter og kundekommunikation, så en direktør eller General Counsel kan træffe et velunderbygget valg om, hvad der bliver, hvad der udskiftes, og hvad der udfases — med en begrundelse, der kan forelægges en tilsynsmyndighed eller revisor.

Fra risiko til indsigt i tidsforbrug

Det samme spørgsmål, der afslører, at en extension læser med på mailen, afslører også, hvor meget tid den extension faktisk overtager fra det arbejde, der før blev udført manuelt. De to spørgsmål ligger tæt på hinanden: det ene handler om risiko og tilsyn, det andet om hvor tidsforbruget i selve arbejdet ændrer sig. For det sidste beregner FTE TO AI's arbejdsscan per opgave, hvor stor en del af arbejdet der kan overtages af AI, uanset hvilket værktøj der gør det — et næste skridt for den, der efter kortlægningen vil vide, hvad den AI, der allerede findes, betyder for organiseringen af arbejdet.