Kennisbank

Dobavljač je u vaš proizvod ugradio AI bez da je to rekao

Kako to nastaje

Dobavljač dodaje funkciju koja u pozadini radi na jezičnom modelu ili API-ju treće strane. Za dobavljača je to nadogradnja proizvoda, a ne događaj koji zahtijeva obavijest. Bilješke uz izdanje spominju novu tipku, a ne tehnologiju iza nje. Vaša organizacija taj softver već koristi, ugovor je potpisan na temelju stare funkcionalnosti, a promjena ne dolazi putem nabave ili sigurnosnog odjela — oni vide samo ono što se događa pri novoj nabavi, ne ono što postojeći proizvod tiho dobije naknadno.

Obrazac je isti kao kod proširenja preglednika s pristupom vašoj e-pošti: pristup i funkcija postoje već prije nego što ih je bilo tko procijenio. Kod dobavljača je udaljenost samo veća — ne možete pogledati izvorni kod i morate se pouzdati u to što dobavljač kaže, ili ne kaže.

Zašto ovo ne nestane samo od sebe

Ne postoji trenutak u kojem se ovo javlja samo. Zaposlenik koristi novu funkciju jer je korisna, ne jer prepoznaje AI komponentu. Dobavljač nema poticaj da ovo aktivno prijavi sve dok nitko ne pita: to ne donosi prihod, a može donijeti pitanja. A šansa da to sami otkrijete je mala, osim ako se dogodi incident ili to primijeti periodična provjera.

Time ovo nalikuje na interni pilot-projekt koji je ostao aktivan: kao i kod probne postavke koja nikad nije isključena, ne nedostaje zlonamjernosti, nego trenutka u kojem netko postavi pitanje. Kod dobavljača se tome dodaje i to da ovisite o njegovoj spremnosti da odgovori.

Što možete učiniti

Polazna točka nije pravno provođenje ugovora pri prvoj sumnji, nego prvo utvrditi što se događa. To počinje postavljanjem pitanja dobavljaču: koji dijelovi proizvoda koriste AI, koji podaci onamo idu i je li se to promijenilo od potpisivanja ugovora. Dobavljači koji mogu odgovoriti bez posljedica, prije će odgovoriti istinito nego dobavljači koji sumnjaju da bi iskren odgovor mogao ugroziti ugovor.

Ista logika vrijedi i unutar organizacije: zaposlenici koji koriste alat za koji nitko ne zna da sadrži AI, to će prijaviti tek kad prijava ne donosi kaznu. Kako to organizirati opisano je na zaposlenici koji koriste alat koji nitko nije odobrio. Kod dobavljača vrijedi isto načelo: pitanje bez optužbe dobiva drugačiji odgovor od pitanja koje se čita kao uvod u sankcije.

Čim je jasno što je dobavljač dodao, sljedeće pitanje nije pravno, nego funkcionalno: kakvu ulogu ta AI komponenta igra u procesu, koja je razina rizika i što o tome treba biti zapisano. Ista se pitanja postavljaju za svaku AI primjenu koju sami koristite, bilo da dolazi putem dobavljača ili putem zaposlenika koji koristi besplatan alat — pogledajte i poslovni podaci koji završe u besplatnom chat prozoru. Što zapisujete po primjeni ovisi o tome što ta primjena radi i s kojim podacima, ne o tome odakle ta primjena dolazi. Pregled onoga što je pri tome relevantno nalazi se na što treba zapisati po primjeni.

Dobavljača koji dodaje AI bez obavijesti dakle ne treba tretirati kao zaseban incident, nego uključiti u inventar koji već izgrađujete za ostatak organizacije. Kako se taj inventar u praksi izgrađuje — uključujući to kako dobavljačima u njemu dati mjesto — opisano je na kako izgraditi AI inventar.

Što ovo nije

Ovo nije povod za pravnu ofenzivu protiv svakog dobavljača koji nešto nije prijavio. Utvrđivanje kršenja ugovora je drugo pitanje od utvrđivanja rizika, i to dvoje se ne poklapa automatski: dobavljač je nešto mogao propustiti prijaviti bez da ta primjena nosi visok rizik, i obrnuto. Prvi korak je procjena rizika, ne pitanje krivnje. Onaj tko počne sa sankcijama, ubuduće od dobavljača dobiva manje informacija, a ne više.

Sljedeće pitanje

Čim je jasno koje su AI komponente unutar organizacije aktivne putem dobavljača, zaposlenika ili vlastitih inicijativa, nastaje drugo pitanje: što to znači za sam posao. Ne svaka AI primjena koja dolazi u organizaciju stvarno radi nešto korisno s procesom u kojem se nalazi — a ni svaki proces koji se sada odvija ručno nije po definiciji bolji bez AI-a. Radna skala FTE TO AI izračunava po zadatku koji dio posla razumno može preuzeti AI, nezavisno od pitanja kako je taj AI dospio unutra. To inventar koji sada izgrađujete pretvara ne samo u instrument upravljanja, nego i u polazište za utvrđivanje gdje AI stvarno donosi razliku.