Kennisbank

Un fornitore ha inserito l'IA nel vostro prodotto senza dirlo

Come nasce questa situazione

Un fornitore aggiunge una funzione che sotto il cofano gira su un modello linguistico o su un'API di terze parti. Per il fornitore si tratta di un aggiornamento del prodotto, non di un evento che merita una comunicazione. Le note di rilascio menzionano un nuovo pulsante, non la tecnologia che vi sta dietro. La vostra organizzazione utilizza già il software, il contratto è stato firmato sulla base della vecchia funzionalità, e la modifica non passa attraverso il procurement o la security — che vedono solo ciò che accade con un nuovo acquisto, non ciò che un prodotto già esistente riceve silenziosamente in aggiunta.

Lo schema è lo stesso di un'estensione del browser con accesso alla vostra posta: l'accesso e la funzione esistono già prima che qualcuno li abbia valutati. Con un fornitore, però, la distanza è maggiore — non potete guardare nel codice sorgente e dovete affidarvi a ciò che il fornitore dice, o non dice.

Perché non scompare da sé

Non c'è un momento in cui questo si segnala da solo. Un dipendente usa la nuova funzione perché è comoda, non perché riconosce un componente IA. Il fornitore non ha alcun incentivo a segnalarlo attivamente finché nessuno lo chiede: non genera fatturato e può invece sollevare domande. E la probabilità che ve ne accorgiate da soli è scarsa, a meno che non si verifichi un incidente o un controllo periodico lo noti.

Questo assomiglia a un progetto pilota interno rimasto in funzione: come per un allestimento sperimentale mai disattivato, non manca la malafede, ma il momento in cui qualcuno pone la domanda. Con un fornitore si aggiunge il fatto che dipendete dalla sua disponibilità a rispondere.

Cosa potete fare

Il punto di partenza non è far valere il contratto legalmente al primo dubbio, ma prima capire cosa sta succedendo. Questo comincia con il porre domande al fornitore: quali parti del prodotto utilizzano l'IA, quali dati vi confluiscono, e se questo è cambiato da quando il contratto è stato firmato. I fornitori che possono rispondere senza conseguenze tendono a farlo in modo veritiero, più di quelli che sospettano che una risposta onesta possa mettere a rischio il contratto.

La stessa logica vale all'interno dell'organizzazione: i dipendenti che usano uno strumento di cui nessuno sa che contiene IA lo segnalano solo quando segnalarlo non comporta una punizione. Come organizzare questo aspetto è descritto in dipendenti che usano uno strumento che nessuno ha approvato. Per un fornitore vale lo stesso principio: una domanda posta senza sospetto riceve una risposta diversa da una domanda letta come preludio a sanzioni.

Una volta chiarito cosa ha aggiunto il fornitore, la domanda successiva non è giuridica ma funzionale: quale ruolo svolge questo componente IA nel processo, qual è il livello di rischio, e cosa deve essere documentato al riguardo. Le stesse domande le ponete per ogni applicazione IA che utilizzate voi stessi, che arrivi tramite un fornitore o tramite un dipendente che usa uno strumento gratuito — si veda anche dati aziendali che finiscono in una finestra di chat gratuita. Ciò che documentate per ogni applicazione dipende da cosa fa quell'applicazione e con quali dati, non da dove proviene. Una panoramica di ciò che è rilevante in questo caso si trova su cosa dovete documentare per ogni applicazione.

Un fornitore che aggiunge l'IA senza segnalarlo non va quindi trattato separatamente come incidente, ma inserito nell'inventario che già state costruendo per il resto dell'organizzazione. Come costruire in pratica questo inventario — incluso come dare spazio ai fornitori al suo interno — è descritto su come costruire un inventario dell'IA.

Cosa non è questo

Questo non è un motivo per lanciare un'offensiva legale contro ogni fornitore che non ha segnalato qualcosa. Accertare una violazione contrattuale è una questione diversa dall'accertare il rischio, e le due cose non coincidono automaticamente: un fornitore può aver omesso di segnalare qualcosa senza che l'applicazione comporti un rischio elevato, e viceversa. Il primo passo è valutare il rischio, non la questione della colpa. Chi comincia con le sanzioni riceverà in futuro meno informazioni dai fornitori, non di più.

La domanda successiva

Una volta chiarito quali componenti IA sono attivi all'interno dell'organizzazione tramite fornitori, dipendenti o iniziative proprie, emerge un'altra domanda: cosa significa questo per il lavoro stesso. Non ogni applicazione IA che entra fa effettivamente qualcosa di utile per il processo in cui si trova — e non ogni processo che ora si svolge manualmente sta necessariamente meglio senza IA. La scansione del lavoro di FTE TO AI calcola, per ogni compito, quale parte del lavoro può ragionevolmente essere assunta dall'IA, indipendentemente da come quell'IA sia arrivata. Questo trasforma l'inventario che state costruendo ora non solo in uno strumento di governance, ma anche in un punto di partenza per determinare dove l'IA fa davvero la differenza.