Un collaboratore vuole far riassumere una riunione, far redigere una mail o far gestire un'agenda. Esiste un'estensione per questo, installabile gratuitamente nel browser, con accesso alla casella di posta in pochi clic. L'estensione non chiede all'IT se questo è consentito. Chiede al collaboratore se vuole concedere l'accesso, e la maggior parte delle persone clicca su accetta senza leggere i permessi. In questo modo un piccolo software esterno ottiene accesso in lettura a corrispondenza, allegati e dati di contatto, fuori da qualsiasi controllo dell'organizzazione.
Questo non è un'eccezione. È il modo comune in cui l'AI entra in un'organizzazione: non tramite un progetto con un committente e un budget, ma tramite una scelta individuale per semplificare un compito. L'estensione non compare in nessun elenco IT, perché l'IT non l'ha installata. Non compare in nessun registro dei rischi, perché nessuno l'ha segnalata. Funziona, e questo per l'utente è motivo sufficiente per continuare a cliccare.
Una panoramica del software approvato dice qualcosa su ciò che è stato richiesto e autorizzato. Non dice nulla su ciò che viene effettivamente usato. Tra questi due elementi c'è una differenza che cresce nella misura in cui gli strumenti di AI diventano più facili da installare e meno visibili nel loro funzionamento. Un'estensione nel browser non lascia traccia sulla rete come farebbe una nuova applicazione. Si integra in una sessione che per il resto appare normale.
Quello che ne risulta non è una singola violazione di dati, ma uno schema diffuso: qui un'estensione con accesso alla posta, là una finestra di chat gratuita in cui vengono incollati dati aziendali, altrove un reparto che ha sottoscritto un abbonamento di propria iniziativa. Decisioni isolate, prese senza cattive intenzioni, che insieme formano uno strato ombra di utilizzo dell'AI che l'organizzazione non può controllare perché non lo ha mai chiesto.
Un divieto sulle estensioni con accesso alla posta suona come una soluzione, ma un divieto che nessuno controlla è una regola sulla carta. Il collaboratore che usa l'estensione lo ha fatto perché il lavoro andava più veloce. Quel problema esiste ancora dopo il divieto. Forse rimuove l'estensione, oppure la lascia e non ne parla più. Entrambi gli esiti sono peggiori di quello che avevate prima del divieto: prima almeno sapevate che l'estensione esisteva, ora non lo sapete più, oppure il motivo per cui esisteva rimane irrisolto.
Il solo modo per sapere cosa gira realmente è chiedere. Non come controllo, ma come inventario. Chi teme una punizione non risponde onestamente, o non risponde affatto. Questo rende la domanda su come chiedere altrettanto importante quanto la domanda stessa. Questo schema, e il modo in cui un'organizzazione può gestirlo senza dare inizio a una caccia alle streghe, è descritto nella pagina su cosa fare con i collaboratori che usano uno strumento che nessuno ha approvato.
Finché un'estensione con accesso alla posta rimane fuori dal quadro visibile, non c'è nemmeno alcun controllo su cosa faccia con i dati che elabora. Non perché nessuno voglia regolamentarla, ma perché il controllo può esistere solo su qualcosa che è noto. Per gli strumenti che sono già noti, la domanda su cosa significhi il controllo nella pratica è già sufficientemente complessa: chi verifica, con quale frequenza, e cosa succede in caso di anomalia. Questa domanda è trattata nella pagina su cosa significa il controllo umano nella pratica. Per un'estensione che nessuno ha segnalato, la risposta a questa domanda è: ancora niente, perché il primo passo, sapere che esiste, non ha ancora avuto luogo.
Lo stesso schema di qualcosa che nasce a fianco della struttura esistente, invece di essere integrato in essa, si presenta su scala più ampia quando un fornitore integra l'AI nel proprio prodotto senza che ciò venga registrato nel contratto o nella valutazione dei rischi; come questo si manifesta e perché sfugge agli accordi esistenti è descritto in cosa fare con un fornitore che ha integrato l'AI nel proprio prodotto. E se è stato istituito un processo per segnalare questo tipo di utilizzo, ma tale processo viene ignorato perché si aggiunge al lavoro esistente invece di farne parte, allora si tratta di uno schema riconoscibile che è approfondito nella pagina su perché un secondo processo accanto a quello esistente viene ignorato.
Un inventario di estensioni, abbonamenti e strumenti che nessuno ha approvato mostra dove l'AI è già presente nel lavoro. Questa informazione suscita spontaneamente una domanda successiva: se qualcuno ha già affidato parte dei propri compiti all'AI, quale parte esatta di quel lavoro si tratta, e come si rapporta questo a ciò che è possibile o auspicabile per il resto dell'organizzazione? La scansione del lavoro di FTE TO AI calcola per ogni compito quale parte del lavoro può essere svolta dall'AI, offrendo così un punto di riferimento numerico accanto al quadro di governance che emerge da un inventario.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.