In una sola sede può ancora fare il giro degli uffici e avviare la conversazione. Con più sedi, con diversi responsabili e diverse culture su cosa viene segnalato e cosa no, questo non funziona più. A quel punto deve trovare un modo per porre la stessa domanda ovunque nello stesso modo, ed è proprio qui che le cose di solito vanno storte: la domanda viene posta come un controllo, e allora non arriva una risposta utile.
Se chiede "utilizza strumenti di IA non approvati", chiede a qualcuno di ammettere che sta violando le regole. La risposta che ottiene è quasi sempre no, anche quando non è vero. Non perché le persone mentano per il gusto di mentire, ma perché la domanda è formulata in modo tale che una risposta onesta diventa una confessione. Questo vale per il collaboratore che usa un chatbot per abbozzare e-mail, e vale ancora più fortemente per il responsabile di sede che ha acquistato uno strumento al di fuori dell'IT, perché era più rapido che presentare una richiesta.
La domanda che funziona non riguarda l'autorizzazione ma l'uso: quale lavoro svolge, e cosa la aiuta in questo. Non una domanda sulla violazione, una domanda sulla pratica. Questo cambia non solo il tono, ma anche cosa le persone osano segnalare.
Un quadro utile non è fatto di impressioni ma di un insieme limitato di dati, raccolti in modo coerente:
Questi cinque punti li trasforma in un questionario fisso uguale ovunque, in modo che la sede A e la sede B producano dati confrontabili. Cosa registrare esattamente per ogni applicazione e perché, è illustrato in la pagina su cosa registrare per ogni applicazione.
La domanda ai collaboratori è una fonte, non l'unica. Le fatture e i riepiloghi delle licenze mostrano spesso quali abbonamenti IA sono in corso da qualche parte, anche senza che nessuno lo segnali; ciò che i dati di acquisto e delle licenze rivelano in un'organizzazione con più sedi è che ogni sede ha il proprio schema di acquisto, e che le anomalie in esso spesso risaltano prima che in una conversazione. Inoltre, i segnali IT utilizzabili in un'organizzazione con più sedi offrono una seconda linea: traffico di rete verso servizi IA noti, nuove estensioni del browser, richieste di accesso alle API. Nessuna di queste fonti è completa da sola. Insieme offrono un quadro più affidabile di quanto un solo canale possa fornire, e questo rende anche più facile non gravare sul collaboratore come unico punto di controllo.
Senza un accordo chiaro che segnalare non comporta una sanzione, l'IA ombra resta ombra. Questo non significa che non ci siano mai conseguenze — se un'applicazione risulta essere un rischio, occorre intervenire — ma che la segnalazione stessa non è mai il punto di partenza di un problema. Questa separazione tra segnalare e valutare deve comunicarla in anticipo, non spiegarla a posteriori. Come costruire questo inventario passo per passo, incluso l'ordine delle domande e delle fonti, è descritto in la pagina sulla costruzione di un inventario IA.
Una volta che un'applicazione è stata individuata, la domanda successiva non è "è consentito" ma "cos'è". L'organizzazione è qui utente di un sistema esterno, oppure in determinati casi essa stessa fornitore — ad esempio perché un team ha addestrato un proprio modello o ha modificato in modo sostanziale un sistema esistente. Questa distinzione determina quali obblighi si applicano e chi ne è responsabile; è illustrata in la pagina che distingue i ruoli di fornitore e utente. Anche all'interno del ruolo di utente la posizione può cambiare — una modifica, una nuova applicazione di dati esistenti — cosa che può leggere in la pagina sul momento in cui il suo ruolo cambia. Entrambe le domande appartengono alla classificazione, non alla prima conversazione con i collaboratori. Prima il quadro d'insieme, poi la classificazione.
Un inventario di ciò che viene utilizzato non le dice ancora quanto lavoro sia collegato a esso o cosa cambi se un'applicazione viene meno o viene invece ampliata. Per questa domanda — quale parte del lavoro in un'attività viene assunta dall'IA, e quale parte no — è pensato lo scan del lavoro di FTE TO AI. Questo calcola per ogni attività come si presenta la ripartizione tra persona e IA, sulla base delle attività come vengono svolte ora, non sulla base di una stima preliminare.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.