Kennisbank

Egy böngészőbővítmény, amely hozzáfér az e-mailjeihez, senkitől nem kér engedélyt

Hogyan jut egy bővítmény az e-mailjeihez

Egy munkatárs szeretné összefoglaltatni egy megbeszélést, megíratni egy levelet vagy kezeltetni egy naptárat. Van erre egy bővítmény, ingyenesen telepíthető a böngészőben, néhány kattintással hozzáférést biztosít a postafiókhoz. A bővítmény nem kérdezi meg az IT-től, hogy ez megengedett-e. A munkatársat kérdezi, hogy szeretne-e hozzáférést adni, és a legtöbb ember rákattint az elfogadásra anélkül, hogy elolvasná a jogosultságokat. Ezzel egy külső szoftverdarab olvasási hozzáférést kap a levelezéshez, a mellékletekhez és a kapcsolati adatokhoz, teljesen a szervezet látóterén kívül.

Ez nem kivétel. Ez a szokásos módja, ahogyan az AI belép egy szervezetbe: nem egy projekt révén, megbízóval és költségvetéssel, hanem egy egyéni döntés révén, amely egy feladatot könnyebbé kíván tenni. A bővítmény nem szerepel egy IT-listán, mert az IT nem telepítette. Nem szerepel egy kockázati nyilvántartásban, mert senki nem jelentette be. Működik, és ez a felhasználó számára elegendő ok, hogy tovább kattintson.

Miért nem helyes az IT-lista

A jóváhagyott szoftverek áttekintése azt mutatja, mit kértek és mit engedélyeztek. Semmit nem mond arról, mit használnak valójában. E kettő között egy különbség tátong, amely egyre nagyobb lesz, minél könnyebben telepíthetők az AI-eszközök, és minél kevésbé láthatóan működnek. Egy böngészőbővítmény nem hagy nyomot a hálózaton úgy, ahogyan egy új alkalmazás tenné. Egy egyébként normálisnak tűnő munkamenet részeként fut.

Ennek eredménye nem egy adatszivárgás, hanem egy szétszórt mintázat: itt egy bővítmény levelezési hozzáféréssel, ott egy ingyenes csetablak, amelybe vállalati adatokat illesztenek be, másutt egy osztály, amely saját kezdeményezésből előfizetést kötött. Egyenkénti döntések, rossz szándék nélkül meghozva, amelyek együtt egy olyan árnyékrétegét képezik az AI-használatnak, amelyet a szervezet nem tud átlátni, mert nem kérdezett rá.

Miért nem tűnik el egy tilalommal

A levelezési hozzáféréssel bíró bővítmények tilalma megoldásnak hangzik, de egy tilalom, amelyet senki nem ellenőriz, csak egy papíron létező szabály. A munkatárs, aki a bővítményt használta, azért tette, mert gyorsabban ment vele a munka. Ez a probléma a tilalom után is fennáll. Talán eltávolítja a bővítményt, vagy hagyja a helyén, és nem beszél többé róla. Mindkét kimenet rosszabb, mint amivel a tilalom előtt szembenézett: korábban legalább tudta, hogy a bővítmény létezik, most már nem tudja, vagy megoldatlan marad az oka, amiért létrejött.

Az egyetlen módja annak, hogy megtudja, mi fut valójában, a kérdezés. Nem ellenőrzésként, hanem felmérésként. Aki egy leszámolástól fél, nem válaszol őszintén, vagy egyáltalán nem válaszol. Ez teszi a kérdezés módját éppolyan fontossá, mint magát a kérdést. Ezt a mintázatot, és azt, hogyan kezelheti egy szervezet boszorkányüldözés nélkül, a milyen munkatársak használnak olyan eszközt, amelyet senki nem hagyott jóvá oldal ismerteti.

Mi történik közben a felügyelettel

Amíg egy levelezési hozzáféréssel bíró bővítmény kívül marad a látókörön, addig nincs felügyelet afelett sem, mit tesz az általa kezelt adatokkal. Nem azért, mert senki nem akarja ezt rendezni, hanem azért, mert felügyelet csak olyasmi felett létezhet, amiről tudnak. Az ismert eszközök esetében is elég nehéz kérdés az, mit jelent a felügyelet a gyakorlatban: ki figyeli, milyen gyakran, és mi történik egy eltéréssel. Ezt a kérdést tárgyalja a mit jelent a emberi felügyelet a gyakorlatban oldal. Egy olyan bővítmény esetében, amelyet senki nem jelentett be, a válasz erre a kérdésre: még semmi, mert az első lépés, azaz annak felismerése, hogy létezik, még nem történt meg.

Ugyanez a mintázat, amikor valami a meglévő struktúra mellett alakul ki, helyette hogy beépülne abba, nagyobb léptékben is előfordul, amikor egy beszállító AI-t épít be a termékébe anélkül, hogy ez megjelenne a szerződésben vagy a kockázatértékelésben; hogyan jelenik meg ez, és miért csúszik el a meglévő megállapodások mellett, azt a mit tesz egy beszállítóval, amely AI-t épített a termékébe oldal ismerteti. És ha létezik egy folyamat az ilyen jellegű használat bejelentésére, de azt a folyamatot elhanyagolják, mert a meglévő munka mellett áll, helyette hogy abba beépülne, az egy felismerhető mintázat, amelyet a miért hanyagolják el a meglévő mellett álló második folyamatot oldal fejt ki.

A felméréstől annak megértéséig, mit vesz át az AI

A bővítmények, előfizetések és senki által jóvá nem hagyott eszközök felmérése megmutatja, hol jár már együtt az AI a munkával. Ez az információ magától felveti a következő kérdést: ha valaki már átadott az AI-nak egy részét a feladatainak, akkor pontosan melyik része az a munkának, és ez hogyan viszonyul ahhoz, mi lehetséges vagy kívánatos a szervezet többi részére nézve? Az FTE TO AI munkascan feladatonként kiszámolja, hogy a munka mekkora része vehető át AI-val, így számszerű kapcsolódási pontot ad a felmérés által rajzolt governance-kép mellé.