Kennisbank

Come evitare un reparto con un proprio abbonamento?

Un team di marketing ha bisogno di un assistente di scrittura. Un analista finanziario vuole uno strumento che riassuma i foglio di calcolo. Nessuno di loro aspetta un processo di acquisto che dura mesi. C'è una carta di credito, un indirizzo e-mail, e in dieci minuti c'è un abbonamento che il reparto paga da solo, gestisce da solo e usa da solo. Il reparto IT non ne sa nulla. Non c'è motivo di segnalarlo, perché non è stato fatto nulla di sbagliato — è stato solo risolto un problema.

Come nasce

La maggior parte dell'AI ombra non inizia con un tentativo di eludere le regole. Inizia con un compito che deve andare più velocemente, una scadenza che non aspetta un percorso di approvazione, e uno strumento accessibile senza l'intervento di nessun altro. Il reparto che lo sottoscrive non lo vede come una decisione IT. Sembra un materiale d'ufficio, non diverso da una licenza software che tutti già usavano prima che esistesse una politica di acquisto centrale. Che un modello linguistico elabori dati aziendali, legga dati dei clienti o generi testi in bozza che escono verso l'esterno, non è per l'utente una questione di governance. È semplicemente lavoro.

La stessa dinamica si verifica con un fornitore che ha integrato l'AI nel proprio prodotto senza che su questo si sia tenuta una conversazione separata: la funzionalità appare in un aggiornamento, nessuno firma nulla, e l'organizzazione la usa prima che qualcuno abbia stabilito chi ne è responsabile.

Perché non scompare da solo

Un annuncio che gli strumenti non autorizzati non sono consentiti cambia poco. Il reparto che ha l'abbonamento lo vive come una soluzione che funziona, non come un rischio da segnalare. Un divieto senza alternativa produce due risultati: l'abbonamento va sottoterra, oppure il team lo interrompe e il lavoro torna a essere più lento. Nessuno dei due è ciò che un'organizzazione desidera.

A ciò si aggiunge che un simile abbonamento è raramente una decisione unica. Diventa parte del flusso di lavoro, collegato ad altri strumenti, usato in processi che ormai ne dipendono. Ciò che inizia come una prova diventa una componente fissa del modo in cui il team lavora — esattamente lo schema visibile anche in un allestimento di prova che non è mai stato spento: nessuno ha deciso di renderlo permanente, ma nessuno ha nemmeno deciso di interromperlo.

Cosa non ottiene la repressione

Il riflesso di andare a caccia dell'AI ombra e richiamare l'utente su questo ha l'effetto contrario. Chi sa che una segnalazione porta a un rimprovero, non segnala. L'abbonamento continua a esistere, solo meno visibile. Il reparto diventa più cauto in ciò che riporta, non più accurato in ciò che usa.

Ciò che funziona è porre domande senza sanzioni collegate. Un team che usa uno strumento per velocizzare un compito ha di solito un motivo che l'organizzazione vuole conoscere: un processo troppo lento, un'attività sovraccarica, un bisogno che l'offerta esistente non copre. Si veda come questo viene descritto per i dipendenti che usano uno strumento che nessuno ha approvato — il punto di partenza non è la violazione, ma il bisogno che sta dietro.

Cosa può farne un'organizzazione

Il primo passo non è l'applicazione delle regole, ma l'inventario: quali strumenti esistono, chi li usa, per quale compito, e con quali dati. Ciò non avviene tramite l'elenco IT — che registra ciò che è approvato, non ciò che viene usato. Avviene chiedendo, in un modo che non contiene minacce.

Una volta che si ha visibilità su cosa è in uso, può seguire la classificazione: quale ruolo svolge lo strumento, quale livello di rischio gli si applica, e quale forma di supervisione è appropriata. Non ogni abbonamento che un reparto ha sottoscritto da solo costituisce un problema. Uno strumento che riscrive testo pubblico rientra in una categoria diversa da uno strumento che elabora dati dei clienti senza che nessuno sappia dove vadano quei dati. La distinzione tra queste categorie è esattamente ciò su cui ruota la supervisione umana nella pratica: non ogni uso richiede lo stesso livello di controllo, ma ogni uso richiede che si sappia che esiste.

Segue poi una struttura di governance che si allinea a ciò che già esiste — non un nuovo processo accanto al quadro di rischio esistente, ma un'estensione di quello. Un'organizzazione che tratta il rischio AI separatamente dal resto della sua gestione del rischio corre il rischio che il secondo sistema venga ignorato, come si legge in un secondo processo accanto a quello esistente che viene ignorato. L'approccio che resiste è quello che si collega a ciò che l'organizzazione già fa per gestire il rischio.

La domanda che resta

Un abbonamento che un reparto ha sottoscritto da solo è di solito un segnale che qualcosa deve andare più veloce di quanto il processo attuale permetta. Quella domanda — quale parte del lavoro può essere accelerata, e dove ciò può avvenire in modo strutturato invece che invisibile — è esattamente ciò a cui risponde la scansione del lavoro di FTE TO AI. La scansione del lavoro calcola per ogni compito quale parte del lavoro può essere svolta dall'AI, così che il bisogno che ha portato a un abbonamento ombra trovi posto all'interno di un processo che l'organizzazione conosce e gestisce davvero.