Un elenco di software approvati le dice cosa è stato acquistato, non cosa viene effettivamente utilizzato. Tra questi due aspetti c'è una differenza che cresce quanto più gli strumenti di IA diventano accessibili: un'estensione del browser, un account gratuito, un chatbot che qualcuno ha adottato di propria iniziativa per svolgere un compito più velocemente. Ciò che i dati di acquisto e delle licenze rivelano è un punto di partenza, non un punto di arrivo. Il resto della risposta si trova presso le persone che svolgono il lavoro.
Se chiede "utilizzate strumenti di IA non approvati", di solito non riceverà una risposta completa. Non perché le persone vogliano nascondere qualcosa, ma perché la domanda implica un rischio. Chi ammette di usare uno strumento non presente nell'elenco si aspetta una conseguenza: un avvertimento, un colloquio con un responsabile, un'annotazione in un fascicolo. Questa prospettiva è sufficiente per far tacere qualcuno, anche quando l'uso è innocuo e persino utile.
Il risultato è un'immagine distorta. Non perché non accada nulla, ma perché ciò che accade non viene segnalato. Un inventario basato solo su segnalazioni registra soprattutto ciò che era già noto.
La domanda in sé non cambia nulla se il contesto resta immutato. Ciò che funziona è un insieme di elementi combinati: la domanda viene scollegata da un momento di valutazione individuale, le risposte non vengono ricondotte a un nome in un rapporto che sale ai livelli superiori, e lo scopo viene spiegato in anticipo — si tratta di un quadro d'insieme dell'organizzazione, non di un giudizio su una persona.
Ciò non significa che non ci sia un sondaggio o un colloquio. Significa che la domanda viene posta all'interno di un quadro in cui "sì, uso questo" non è motivo di una correzione. Solo allora la risposta si sposta da ciò che qualcuno pensa che lei voglia sentire a ciò che realmente accade.
Il risultato di una conversazione condotta bene non è un elenco di nomi di strumenti. È un insieme di dati che, per ogni applicazione, è riconducibile a un compito o a un processo: quale applicazione, per quale parte del lavoro, con quali dati, e chi altro ne è coinvolto. È la stessa struttura di cosa registrare per ogni applicazione quando un'applicazione emerge tramite l'acquisto o l'IT — solo che qui la fonte è l'utente, non il contratto.
In concreto significa: un nome dell'applicazione, una breve descrizione di ciò per cui viene utilizzata, una stima della frequenza d'uso, e un'indicazione del tipo di dati che vi vengono inseriti. Nessuna specifica tecnica, nessuna valutazione del fornitore in questa fase — questo arriva più tardi, al momento della classificazione. In questo punto si tratta di ottenere visibilità, non di giudicare.
Queste conversazioni sono uno dei canali, insieme ai segnali tecnici che consulta separatamente. Ciò che raccoglie dagli utenti va affiancato a quali segnali IT sono utilizzabili come traccia separata, e solo unendo le due si ottiene un quadro più completo di quanto ciascuna fonte da sola possa fornire. Un'applicazione che emerge nei log di rete ma che nessuno spiega resta un punto interrogativo. Un'applicazione menzionata in una conversazione ma che non lascia traccia digitale è altrettanto reale — e forse proprio per questo più facile da trascurare.
L'ordine e la ripetizione di questo tipo di interrogazioni dipende dall'organizzazione: quanti reparti, quanti livelli nelle linee di rendicontazione, quanta esperienza precedente con questo tipo di inventario. In un'organizzazione con più sedi o una struttura articolata, come chiederlo ai dipendenti senza sanzioni funziona in modo leggermente diverso rispetto a una singola sede con una struttura piatta, semplicemente perché il numero di livelli intermedi in cui il principio del "non sanzionare" deve rimanere valido è maggiore.
Una risposta onesta dei dipendenti è la materia prima per il resto dell'inventario. Senza questa materia prima, si classifica un elenco che già si conosceva, e questo non è un inventario ma una conferma. Con questa materia prima si può proseguire verso come costruire un inventario IA su una scala che va oltre un singolo reparto o una singola sede, con contributi provenienti da più direzioni contemporaneamente.
Il tono della domanda determina quindi in parte la qualità della risposta. Non si tratta di una formulazione più abile, ma di una struttura in cui rispondere non comporta alcun rischio.
Una volta chiaro quali applicazioni sono effettivamente in uso e per quali compiti, la domanda si sposta da "cosa utilizziamo" a "cosa significa questo per il lavoro stesso". È una domanda diversa, che richiede uno strumento diverso. La scansione del lavoro di FTE TO AI calcola, per ogni compito, quale parte del lavoro può essere assunta dall'IA, sulla base dei compiti già mappati tramite questo inventario. Mentre la Responsible AI Scan delinea l'uso e i rischi, la scansione del lavoro esamina il contenuto lavorativo: quali compiti si prestano a essere assunti, e in quale misura. Queste due domande sono strettamente collegate, ma non sono intercambiabili.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.