Un empleado quiere que se resuma una reunión, que se redacte un correo o que se gestione una agenda. Existe una extensión para ello, gratuita para instalar en el navegador, con acceso al buzón de correo en unos pocos clics. La extensión no le pregunta a TI si esto está permitido. Le pregunta al empleado si quiere conceder acceso, y la mayoría de las personas hace clic en aceptar sin leer los permisos. De esta manera, un pequeño software externo obtiene acceso de lectura a correspondencia, archivos adjuntos y datos de contacto, fuera de cualquier vista de la organización.
Esto no es una excepción. Es la forma habitual en que la IA entra en una organización: no a través de un proyecto con un responsable y un presupuesto, sino a través de una elección individual para facilitar una tarea. La extensión no aparece en ninguna lista de TI, porque TI no la instaló. No aparece en un registro de riesgos, porque nadie la registró. Funciona, y eso es motivo suficiente para el usuario para seguir haciendo clic.
Un resumen del software aprobado dice algo sobre lo que se ha solicitado y permitido. No dice nada sobre lo que realmente se usa. Entre ambos hay una diferencia que se agranda a medida que las herramientas de IA son más fáciles de instalar y funcionan de forma menos visible. Una extensión en el navegador no deja ningún rastro en la red como lo haría una nueva aplicación. Se ejecuta dentro de una sesión que por lo demás parece normal.
Lo que esto genera no es una única filtración de datos, sino un patrón disperso: aquí una extensión con acceso al correo, allí una ventana de chat gratuita en la que se pega información empresarial, en otro lugar un departamento que por iniciativa propia ha contratado una suscripción. Decisiones aisladas, tomadas sin mala intención, que juntas forman una capa oculta de uso de IA que la organización no puede supervisar porque nunca preguntó por ella.
Una prohibición sobre extensiones con acceso al correo suena como una solución, pero una prohibición que nadie controla es una norma sobre el papel. El empleado que usaba la extensión lo hacía porque el trabajo avanzaba más rápido. Ese problema sigue existiendo después de la prohibición. Puede que elimine la extensión, o puede que la deje instalada y no diga nada más al respecto. Ambos resultados son peores que la situación anterior a la prohibición: antes al menos sabía que la extensión existía, ahora ya no lo sabe, o el motivo por el que existía queda sin resolver.
La única forma de saber qué está funcionando realmente es preguntar. No como control, sino como inventario. Quien tema una sanción no responderá con sinceridad, o no responderá en absoluto. Esto hace que la manera en que se pregunta sea tan importante como la pregunta misma. Este patrón, y la forma en que una organización puede abordarlo sin caer en una cacería de brujas, se describe en la página sobre qué hacer con empleados que utilizan una herramienta que nadie ha aprobado.
Mientras una extensión con acceso al correo permanezca fuera del radar, tampoco hay supervisión sobre lo que hace con los datos que procesa. No porque nadie quiera regularlo, sino porque la supervisión solo puede existir sobre algo que se conoce. Para las herramientas que sí se conocen, la pregunta de qué significa la supervisión en la práctica ya es suficientemente difícil: quién observa, con qué frecuencia, y qué ocurre con una desviación. Esa pregunta se trata en la página sobre qué significa la supervisión humana en la práctica. Para una extensión que nadie ha registrado, la respuesta a esa pregunta es: todavía nada, porque el primer paso, saber que existe, aún no se ha dado.
El mismo patrón de algo que surge al margen de la estructura existente, en lugar de incorporarse a ella, se produce a mayor escala cuando un proveedor integra IA en su producto sin que esto se refleje en el contrato o en la evaluación de riesgos; cómo aparece esto y por qué se escapa de los acuerdos existentes se describe en qué hacer con un proveedor que ha integrado IA en su producto. Y si sí se ha establecido un proceso para notificar este tipo de uso, pero ese proceso se ignora porque se sitúa junto al trabajo existente en lugar de integrarse en él, se trata de un patrón reconocible que se detalla en la página sobre por qué se ignora un segundo proceso junto al existente.
Un inventario de extensiones, suscripciones y herramientas que nadie ha aprobado muestra dónde la IA ya está presente en el trabajo. Esa información plantea de forma natural una pregunta de seguimiento: si alguien ya ha confiado parte de sus tareas a la IA, ¿qué parte de ese trabajo es exactamente, y cómo se relaciona esto con lo que es posible o deseable para el resto de la organización? El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede ser asumida por la IA, ofreciendo así un punto de referencia numérico junto a la imagen de gobernanza que proporciona un inventario.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.