Ένας εργαζόμενος θέλει να συνοψίσει μια συνάντηση, να συντάξει ένα μήνυμα ή να διαχειριστεί μια ατζέντα. Υπάρχει μια επέκταση για αυτό, δωρεάν προς εγκατάσταση στο πρόγραμμα περιήγησης, με πρόσβαση στο γραμματοκιβώτιο μέσα σε λίγα κλικ. Η επέκταση δεν ρωτά το IT αν αυτό επιτρέπεται. Ρωτά τον εργαζόμενο αν θέλει να δώσει πρόσβαση, και οι περισσότεροι άνθρωποι κάνουν κλικ στο «αποδέχομαι» χωρίς να διαβάσουν τα δικαιώματα. Έτσι, ένα εξωτερικό κομμάτι λογισμικού αποκτά πρόσβαση ανάγνωσης σε αλληλογραφία, συνημμένα και στοιχεία επικοινωνίας, εντελώς εκτός του πεδίου εποπτείας του οργανισμού.
Αυτό δεν είναι εξαίρεση. Είναι ο συνήθης τρόπος με τον οποίο η AI εισέρχεται σε έναν οργανισμό: όχι μέσω ενός έργου με αναθέτοντα φορέα και προϋπολογισμό, αλλά μέσω μιας ατομικής επιλογής να γίνει μια εργασία ευκολότερη. Η επέκταση δεν βρίσκεται σε καμία λίστα του IT, γιατί το IT δεν την εγκατέστησε. Δεν βρίσκεται σε κανένα μητρώο κινδύνων, γιατί κανείς δεν την δήλωσε. Λειτουργεί, και αυτό είναι αρκετός λόγος για τον χρήστη να συνεχίσει να κάνει κλικ.
Ένας κατάλογος εγκεκριμένου λογισμικού λέει κάτι για το τι έχει ζητηθεί και εγκριθεί. Δεν λέει τίποτα για το τι χρησιμοποιείται στην πραγματικότητα. Ανάμεσα σε αυτά τα δύο υπάρχει μια διαφορά που μεγαλώνει όσο τα εργαλεία AI γίνονται ευκολότερα στην εγκατάσταση και λιγότερο ορατά στη λειτουργία τους. Μια επέκταση στο πρόγραμμα περιήγησης δεν αφήνει κανένα ίχνος στο δίκτυο όπως θα έκανε μια νέα εφαρμογή. Λειτουργεί μέσα σε μια συνεδρία που κατά τα άλλα φαίνεται φυσιολογική.
Το αποτέλεσμα αυτού δεν είναι μία διαρροή δεδομένων, αλλά ένα διάσπαρτο μοτίβο: εδώ μια επέκταση με πρόσβαση στο ταχυδρομείο, εκεί ένα δωρεάν παράθυρο συνομιλίας στο οποίο επικολλώνται εταιρικά δεδομένα, αλλού ένα τμήμα που με δική του πρωτοβουλία έχει συνάψει συνδρομή. Μεμονωμένες αποφάσεις, που δεν λαμβάνονται με κακή πρόθεση, οι οποίες μαζί σχηματίζουν ένα σκιώδες επίπεδο χρήσης AI που ο οργανισμός δεν μπορεί να παρακολουθήσει επειδή δεν το έχει διερευνήσει.
Μια απαγόρευση επεκτάσεων με πρόσβαση στο ταχυδρομείο ακούγεται σαν λύση, αλλά μια απαγόρευση που κανείς δεν ελέγχει είναι ένας κανόνας στα χαρτί. Ο εργαζόμενος που χρησιμοποιούσε την επέκταση, το έκανε επειδή η εργασία γινόταν πιο γρήγορα. Αυτό το πρόβλημα υπάρχει ακόμα και μετά την απαγόρευση. Ίσως αφαιρέσει την επέκταση, ή ίσως την αφήσει και δεν πει τίποτα πια γι' αυτήν. Και τα δύο αποτελέσματα είναι χειρότερα από την κατάσταση πριν την απαγόρευση: τουλάχιστον πριν γνωρίζατε ότι η επέκταση υπήρχε, τώρα δεν το γνωρίζετε πλέον, ή ο λόγος για τον οποίο υπήρχε παραμένει άλυτος.
Ο μόνος τρόπος για να γνωρίζετε τι πραγματικά λειτουργεί, είναι να ρωτήσετε. Όχι ως έλεγχο, αλλά ως απογραφή. Όποιος φοβάται μια τιμωρία δεν απαντά ειλικρινά, ή δεν απαντά καθόλου. Αυτό κάνει τον τρόπο με τον οποίο ρωτάτε εξίσου σημαντικό με την ίδια την ερώτηση. Αυτό το μοτίβο, και ο τρόπος με τον οποίο ένας οργανισμός μπορεί να το διαχειριστεί χωρίς κυνήγι μαγισσών, περιγράφεται στη σελίδα σχετικά με τι κάνετε με εργαζομένους που χρησιμοποιούν ένα εργαλείο που κανείς δεν έχει εγκρίνει.
Όσο μια επέκταση με πρόσβαση στο ταχυδρομείο παραμένει εκτός πεδίου εποπτείας, δεν υπάρχει επίσης καμία εποπτεία σχετικά με το τι κάνει με τα δεδομένα που επεξεργάζεται. Όχι επειδή κανείς δεν θέλει να το ρυθμίσει, αλλά επειδή η εποπτεία μπορεί να υπάρχει μόνο για κάτι που είναι γνωστό. Για εργαλεία που είναι ήδη γνωστά, το ερώτημα του τι σημαίνει εποπτεία στην πράξη είναι ήδη αρκετά δύσκολο: ποιος παρακολουθεί, πόσο συχνά, και τι συμβαίνει με μια απόκλιση. Αυτό το ερώτημα αναλύεται στη σελίδα σχετικά με τι σημαίνει ο ανθρώπινος έλεγχος στην πράξη. Για μια επέκταση που κανείς δεν έχει δηλώσει, η απάντηση σε αυτό το ερώτημα είναι: τίποτα ακόμα, γιατί το πρώτο βήμα, η γνώση ότι υπάρχει, δεν έχει ακόμα συμβεί.
Το ίδιο μοτίβο, κάτι που προκύπτει παράλληλα με την υπάρχουσα δομή αντί να ενσωματώνεται σε αυτή, εμφανίζεται σε μεγαλύτερη κλίμακα όταν ένας προμηθευτής ενσωματώνει AI στο προϊόν του χωρίς αυτό να αντικατοπτρίζεται στη σύμβαση ή στην αξιολόγηση κινδύνου· πώς εμφανίζεται αυτό και γιατί περνά απαρατήρητο μέσα από υπάρχουσες συμφωνίες περιγράφεται στο τι κάνετε με έναν προμηθευτή που έχει ενσωματώσει AI στο προϊόν του. Και αν έχει δημιουργηθεί μια διαδικασία για την αναφορά αυτού του τύπου χρήσης, αλλά αυτή η διαδικασία αγνοείται επειδή βρίσκεται δίπλα στην υπάρχουσα εργασία αντί να είναι μέρος της, τότε αυτό είναι ένα αναγνωρίσιμο μοτίβο που αναλύεται στη σελίδα σχετικά με γιατί μια δεύτερη διαδικασία δίπλα στην υπάρχουσα αγνοείται.
Μια απογραφή επεκτάσεων, συνδρομών και εργαλείων που κανείς δεν έχει εγκρίνει, δείχνει πού η AI ήδη συμμετέχει στην εργασία. Αυτή η πληροφορία δημιουργεί αυτόματα ένα επόμενο ερώτημα: αν κάποιος έχει ήδη εμπιστευτεί ένα μέρος των εργασιών του στην AI, ποιο ακριβώς είναι αυτό το μέρος της εργασίας, και πώς σχετίζεται αυτό με το τι είναι δυνατό ή επιθυμητό για τον υπόλοιπο οργανισμό; Η σάρωση εργασιών της FTE TO AI υπολογίζει ανά εργασία ποιο μέρος της εργασίας μπορεί να αναληφθεί από την AI, και προσφέρει έτσι ένα αριθμητικό σημείο αναφοράς παράλληλα με την εικόνα διακυβέρνησης που προσφέρει μια απογραφή.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.