Van egy pillanat, amikor egy munkatársnak problémája van, és megoldást keres. Egy szöveg, amelynek gyorsabban kell elkészülnie, egy adathalmaz, amelynek átláthatóbbnak kell lennie, egy ügyfél, aki még ma választ akar. Az IT-ügyfélszolgálat túl sokáig tart, vagy nincs is ilyen. Így létrejön egy fiók, telepítenek egy kiterjesztést, vásárolnak egy előfizetést egy hitelkártyára, amelyet senki nem ellenőriz. Nem rosszindulatból. Munkanyomás miatt.
Így születik a shadow AI. Nem a szabályzat elleni lázadásként, hanem a szabályzat egy hiányosságára adott praktikus válaszként. És ez nem tűnik el magától, mert az oka — egy feladat, amely AI-val gyorsabban elvégezhető, mint nélküle — mindaddig fennáll, amíg a szabályzat nem kínál alternatívát. A tiltás nem változtatja meg a feladatot. Csak azt változtatja meg, hogy Ön tud-e róla, hogy az eszközt használják.
A jóváhagyott szoftverek áttekintése arról szól, mit kértek és mit engedélyeztek. Semmit nem mond arról, mit használnak valójában. E két lista között olyan különbség tátong, amely egyre nagyobb lesz, minél hozzáférhetőbbé válnak az AI-eszközök: nincs telepítés, nincs beszerzési eljárás, csak egy böngésző és egy fiók. Egy böngészőkiterjesztés, amely hozzáfér az e-mailjéhez minden beszerzési folyamaton és minden áttekintésen kívül esik, míg a hozzáférése ugyanolyan érzékeny, mint egy jóváhagyott rendszeré. Aki csak az IT-listát nézi, a valóság egy részét nézi, és azt az egésznek nevezi.
Az egyetlen mód arra, hogy megtudja, mit használnak valójában, az, hogy megkérdezi. Nem ellenőrző kérdésként, amelynek a végén szankció áll, hanem felmérésként, amelynek nincs következménye annak, aki együttműködik. Amint a munkatársak gyanítják, hogy egy őszinte válasz beszélgetéshez vezet egy vezetővel, az információ nem tűnik el — csak a felszín alá kerül. Ugyanaz az eszköz tovább működik, csak kevésbé látható módon. Egy szervezet, amely tudni akarja a shadow AI terjedelmét, ezért először azt a feltételt kell rendbe tegye, amely mellett választ kap. Ez nem a bizalom kérdése, hanem a sorrend kérdése: először a rálátás, majd csak azután a szabályzat.
Ha a felmérés egyszer megvan, valami hasznos jön létre: az eszközök listája szerep és kockázati szint szerint, nem jó vagy rossz szerint. Egy eszköz, amely belső használatra szöveget ír át, más kockázatot hordoz, mint egy eszköz, amely ügyféladatokat kezel vagy döntéseket készít elő. Néhány ilyen eszköz egyéni használatból nőtt ki, és osztályszintű szabvánnyá vált — lásd egy osztály saját előfizetéssel — és inkább formalizálást érdemel, mint tilalmat. Mások egy már lezárt projekthez lettek egyszer beállítva, de a hozzáférés még mindig nyitva áll; ez az a mintázat, amelyet egy tesztkörnyezet, amelyet soha nem kapcsoltak ki ír le. A besorolás határozza meg, mi szükséges: néha semmi, néha egy módosítás, néha beillesztés a meglévő governance-struktúrába.
Ezen megközelítés célja nem az, hogy mindenkit megnevezzen, aki engedély nélkül elindított egy eszközt. A cél az, hogy tudja, mi működik, ki használja, és milyen kockázat kapcsolódik hozzá — hogy egy igazgató, CIO vagy General Counsel megválaszolhassa ezt a kérdést, ha felteszik neki, belsőleg vagy külsőleg. Ehhez egy állandó felmérési módszer szükséges, amely nem áll meg egy körnél, mert folyamatosan újabb eszközök jelennek meg. Hogy ez a felmérés a gyakorlatban hogyan épül fel, beleértve azt a kérdést is, ki végzi el és milyen gyakran, azt a hogyan épít fel egy AI-leltárt írja le.
A governance-struktúra maga — mely szabályok érvényesek melyik kockázati szinten, milyen határidők és kötelezettségek tartoznak hozzá — külön téma, saját aktuális tartalommal, amelyet itt nem ismétlünk meg. Amit ezen az oldalon fontos, az a mechanizmus: rálátást szerezni anélkül, hogy lezárnánk az információáramlást, és ezt a rálátást egy olyan besorolássá alakítani, amely illik ahhoz, amit a szervezet a kockázatkezelés terén már kialakított.
A leltár, amely feltárja a shadow AI-t, gyakran nem csak önálló eszközöknél teszi ezt. Feltárja azt is, hogy egy szolgáltató AI-t épített be egy már használatban lévő rendszerbe, anélkül hogy erről külön beszélgetés zajlott volna — ez az a mintázat, amely egy szolgáltató, aki AI-t épített be a termékébe mögött áll — és hogy érzékeny vállalati információt néha egyszerűen beillesztenek egy nyilvános chatablakba, ahogyan azt vállalati adatok egy ingyenes chatablakban leírja. Mindezek a formák ugyanabból az eredetből származnak: egy feladatból, amelynél az AI gyorsabban működik, mint a meglévő folyamat.
Ez a megállapítás logikusan egy másik kérdéshez vezet, a jóváhagyástól és a kockázattól függetlenül: a munka mely része alkalmas arra, hogy az AI átvegye. A FTE TO AI munkascanje ezt feladatonként számolja ki, a munka valós tartalma alapján, és megmutatja, hol veheti át az automatizálás az idő valós részét — mint kiindulópont egy beszélgetéshez arról, mit lehet ezzel megtervezni, nem pedig helyettesítőjeként a governance-kérdésnek, amely ezen az oldalon a középpontban áll.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.