Der er et øjeblik, hvor en medarbejder har et problem og søger en løsning. En tekst, der skal gå hurtigere, et datasæt, der skal være mere overskueligt, en kunde, der vil have svar i dag. IT-skranken tager for lang tid, eller der er ingen skranke. Så bliver der oprettet en konto, installeret en udvidelse, tegnet et abonnement på et kreditkort, som ingen kontrollerer. Ikke af ond vilje. På grund af arbejdspres.
Sådan opstår skygge-AI. Ikke som et oprør mod politikken, men som et praktisk svar på et hul i politikken. Og det forsvinder ikke af sig selv, for grunden til, at det opstod — en opgave, der går hurtigere med AI end uden — bliver der, så længe politikken ikke tilbyder et alternativ. At forbyde ændrer ikke opgaven. Det ændrer kun, om man ved, at værktøjet bliver brugt.
Et overblik over godkendt software siger noget om, hvad der er ansøgt om og bevilget. Det siger intet om, hvad der reelt bruges. Mellem disse to lister er der en forskel, som bliver større, i takt med at AI-værktøjer bliver mere tilgængelige: ingen installation, ingen indkøbsproces, kun en browser og en konto. En browserudvidelse med adgang til din mail falder uden for enhver indkøbsproces og uden for ethvert overblik, mens den adgang, den har, er lige så følsom som et godkendt system. Den, der kun kigger på IT-listen, ser kun en del af virkeligheden og kalder det helheden.
Den eneste måde at vide, hvad der reelt bliver brugt, er at spørge. Ikke som et kontrolspørgsmål med en sanktion i den anden ende, men som en kortlægning uden konsekvenser for den, der medvirker. Så snart medarbejdere har en fornemmelse af, at et ærligt svar fører til en samtale med en leder, forsvinder informationen ikke — den går bare under jorden. Det samme værktøj kører videre, blot mindre synligt. En organisation, der ønsker at kende omfanget af skygge-AI, skal derfor først have styr på den forudsætning, hvorunder den får svaret. Det er ikke et spørgsmål om at give afkald på tillid, det er et spørgsmål om rækkefølge: først overblik, derefter politik.
Når kortlægningen er indhentet, opstår der noget brugbart: en liste over værktøjer efter rolle og risikoniveau, ikke efter rigtigt eller forkert. Et værktøj, der omskriver tekst til internt brug, bærer en anden risiko end et værktøj, der behandler kundedata eller forbereder beslutninger. Nogle af disse værktøjer er opstået fra individuel brug, der er vokset til en afdelingsstandard — se en afdeling med sit eget abonnement — og bør snarere formaliseres end forbydes. Andre er sat op til et enkelt projekt, der nu er afsluttet, men adgangen står stadig åben; det er det mønster, der beskrives under en forsøgsopstilling, der aldrig blev slukket. Klassifikationen afgør, hvad der er nødvendigt: nogle gange intet, nogle gange en justering, nogle gange en indlemmelse i den eksisterende governance-struktur.
Målet med denne fremgangsmåde er ikke at udpege alle, der startede et værktøj uden tilladelse. Målet er at vide, hvad der kører, hvem der bruger det, og hvilken risiko der følger med — så en bestyrelse, CIO eller General Counsel kan besvare det spørgsmål, når det stilles, internt eller eksternt. Det kræver en fast metode til kortlægning, som ikke stopper efter én runde, for der kommer hele tiden nye værktøjer til. Hvordan denne kortlægning i praksis bygges op, herunder spørgsmålet om, hvem der udfører den og hvor ofte, er beskrevet i hvordan man opbygger en AI-oversigt.
Governance-strukturen selv — hvilke regler der gælder for hvilket risikoniveau, hvilke tidsfrister og forpligtelser der hører til — er et separat emne med sit eget aktuelle indhold, som ikke gentages her. Hvad der tæller på denne side, er mekanismen: at få overblik uden at afskære informationsstrømmen, og at omsætte dette overblik til en klassifikation, der stemmer med det, organisationen allerede har indrettet inden for risikostyring.
Den kortlægning, der afdækker skygge-AI, gør det ofte ikke kun for enkeltstående værktøjer. Den afdækker også, at en leverandør har tilføjet AI til et system, der allerede var i brug, uden at der har været en separat samtale om det — mønsteret bag en leverandør, der byggede AI ind i sit produkt — og at følsomme virksomhedsoplysninger nogle gange bare bliver indsat i et offentligt chatvindue, som beskrevet under virksomhedsdata i et gratis chatvindue. Alle disse former deler samme oprindelse: en opgave, hvor AI virker hurtigere end den eksisterende proces.
Denne konstatering leder naturligt til et andet spørgsmål, uafhængigt af godkendelse og risiko: hvilken del af selve arbejdet er egnet til at blive overtaget af AI. Arbejdsscanningen fra FTE TO AI beregner det opgave for opgave, baseret på hvad arbejdet reelt indebærer, og viser, hvor automatisering kan overtage en reel del af tiden — som et afsæt til en samtale om, hvad der kan planlægges med det, ikke som en erstatning for det governance-spørgsmål, der står centralt på denne side.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.