Egy beszállító hozzáad egy funkciót, amely a motorháztető alatt egy nyelvi modellen vagy egy harmadik féltől származó API-n fut. A beszállító számára ez egy termékfrissítés, nem egy bejelentést igénylő esemény. A kiadási megjegyzések egy új gombot említenek, nem a mögötte lévő technológiát. Az Ön szervezete már használja a szoftvert, a szerződést a régi funkcionalitás alapján írták alá, és a változás nem a beszerzésen vagy a security-n keresztül érkezik be — ők csak azt látják, mi történik egy új beszerzésnél, nem azt, mit kap hozzá csendben egy meglévő termék.
A mintázat ugyanaz, mint egy böngészőbővítmény esetében, amely hozzáfér az e-mailjéhez: a hozzáférés és a funkció már létezik, mielőtt bárki felmérte volna őket. Egy beszállítónál a távolság csak nagyobb — nem tud belenézni a forráskódba, és bíznia kell abban, amit a beszállító mond, vagy nem mond.
Nincs olyan pillanat, amikor ez jelezné magát. Egy munkatárs használja az új funkciót, mert praktikus, nem azért, mert felismer benne egy AI-komponenst. A beszállítónak nincs ösztönzése ezt aktívan bejelenteni, amíg senki nem kérdez rá: nem hoz bevételt, és kérdéseket vethet fel. És annak az esélye, hogy Ön maga bukkan rá, kicsi, hacsak nincs egy incidens, vagy egy időszakos ellenőrzés nem veszi észre.
Ezzel hasonlít egy belső pilotprojektre, amely megmaradt: éppúgy, mint egy próbaüzem esetében, amelyet soha nem kapcsoltak ki, nem a rosszindulat hiányzik, hanem az a pillanat, amikor valaki felteszi a kérdést. Egy beszállítónál ehhez még hozzájön, hogy Ön függ annak válaszadási készségétől.
A kiindulópont nem az, hogy a szerződést jogilag érvényesítse az első kétely felmerülésekor, hanem hogy először tudja, miről van szó. Ez azzal kezdődik, hogy kérdéseket tesz fel a beszállítónak: a termék mely részei használnak AI-t, milyen adatok jutnak el oda, és ez változott-e a szerződés aláírása óta. Azok a beszállítók, amelyek következmények nélkül tudnak válaszolni, valószínűbb, hogy igazságosan válaszolnak, mint azok, amelyek úgy gyanítják, hogy egy őszinte válasz veszélybe sodorja a szerződést.
Ugyanez a logika érvényes a szervezeten belül is: azok a munkatársak, akik egy olyan eszközt használnak, amelyről senki sem tudja, hogy AI-t tartalmaz, csak akkor jelentik ezt, ha a jelentés nem jár büntetéssel. Hogyan szervezheti meg ezt, arról azoknál a munkatársaknál, akik egy senki által jóvá nem hagyott eszközt használnak olvashat. Egy beszállítónál ugyanez az elv működik: egy gyanúsítás nélküli kérdés más választ kap, mint egy olyan kérdés, amelyet a szankciók előfutárának olvasnak.
Amint tisztázódott, mit adott hozzá a beszállító, a következő kérdés nem jogi, hanem funkcionális: milyen szerepet játszik ez az AI-komponens a folyamatban, mi a kockázati szint, és mit kell erről rögzíteni. Ugyanezeket a kérdéseket teszi fel minden AI-alkalmazásnál, amelyet Ön maga alkalmaz, akár egy beszállítón keresztül érkezik, akár egy munkatárson keresztül, aki egy ingyenes eszközt használ — lásd erről a vállalati adatokat, amelyek egy ingyenes chatablakban kötnek ki. Amit alkalmazásonként rögzít, attól függ, mit tesz az adott alkalmazás és milyen adatokkal, nem pedig attól, honnan származik az alkalmazás. Az áttekintés arról, mi releváns ebben, itt található: mit kell alkalmazásonként rögzítenie.
Egy beszállítót, amely AI-t ad hozzá bejelentés nélkül, tehát nem külön incidensként kell kezelni, hanem be kell venni azt a leltárt, amelyet már a szervezet többi részére is felépít. Hogy ez a leltár a gyakorlatban hogyan épül fel — beleértve azt is, hogy hogyan kap ebben helyet a beszállítók — arról az AI-leltár felépítésénél olvashat.
Ez nem ok egy jogi offenzívára minden beszállítóval szemben, aki valamit nem jelentett. A szerződésszegés megállapítása más kérdés, mint a kockázat megállapítása, és a kettő nem esik automatikusan egybe: egy beszállító elmulaszthatott valamit jelenteni anélkül, hogy az alkalmazás magas kockázatot jelentene, és fordítva is igaz lehet. Az első lépés a kockázat felmérése, nem a felelősség kérdése. Aki szankciókkal kezd, az mostantól kevesebb információt kap a beszállítóktól, nem többet.
Amint tisztázódott, mely AI-komponensek működnek aktívan a szervezeten belül beszállítókon, munkatársakon vagy saját kezdeményezéseken keresztül, egy másik kérdés merül fel: mit jelent ez magára a munkára nézve. Nem minden bekerülő AI-alkalmazás tesz valóban valami hasznosat azzal a folyamattal, amelyben található — és nem minden folyamat, amely most kézzel zajlik, jár definíció szerint jobban AI nélkül. Az FTE TO AI munkaszkennere feladatonként kiszámítja, hogy a munka mekkora része vehető át indokoltan AI által, függetlenül attól, hogyan került be az adott AI. Ez azzá teszi az Ön által most felépített leltárt, hogy nem csupán governance-eszköz, hanem kiindulópont is annak meghatározásához, hol tesz az AI valóban különbséget.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.