Aktualizacja rejestru AI: sposób postępowania

Rejestr AI w dniu, w którym zostaje dostarczony, jest już częściowo nieaktualny. Pojawia się nowe narzędzie, ktoś rozszerzył istniejący abonament o funkcję AI, jakiś zespół przestał robić coś, co znajdowało się na liście. Rejestr nie jest dokumentem, który się kończy. To proces, który musi trwać, albo zatrzyma się po kilku miesiącach.

Pytanie "jak go aktualizować" jest więc ważniejsze niż "jak go opracować". Pierwsza inwentaryzacja jest zdjęciem sytuacji w danym momencie. Wartość leży w tym, co dzieje się później.

Dlaczego rejestry się starzeją

Główną przyczyną nie jest niedbalstwo. To fakt, że AI rozprzestrzenia się inaczej niż inne oprogramowanie. Nowe narzędzie często nie wymaga procesu zakupowego, zgody IT, ani rundy budżetowej. Ktoś rejestruje się służbowym adresem e-mail i zaczyna używać. Nikt nie musi tego zgłaszać i nikt nie czuje się do tego zobowiązany — a zwłaszcza nie wtedy, gdy panuje przekonanie, że zgłoszenie równa się zakazowi. To, co dzieje się z pracownikami, którzy korzystają z narzędzia, którego nikt nie zatwierdził, decyduje o tym, czy takie zgłoszenia w ogóle napływają.

Oprócz tego zmienia się charakter istniejących narzędzi. Pakiet, który w zeszłym roku nie miał funkcji AI, może ją mieć w tym roku, domyślnie włączoną w aktualizacji. Lista dostawców w IT wtedy się nie zmienia, ale profil ryzyka tych samych narzędzi już tak.

Cykl, nie zdjęcie sytuacji

Aktualizacja wymaga powtarzalnego rytmu, a nie jednorazowej czynności. Ten rytm składa się z kilku powracających elementów:

Stałe pytanie do zespołów, w stałym momencie, o to, co się dodało lub zmieniło. Nie jako pytanie kontrolne, ale jako część powtarzającego się spotkania — rozmowy kwartalnej, spotkania zespołu, cyklu ocen. Pytanie musi być wystarczająco łatwe, by uzyskać na nie szczerą odpowiedź.

Sygnał od zakupów lub zarządzania IT w momencie zawierania nowego abonamentu lub odnawiania istniejącej umowy. Nie każdy sygnał prowadzi do zmiany w rejestrze, ale każdy sygnał powinien zostać sprawdzony.

Ponowna ocena istniejących pozycji w momencie, gdy zmienia się kontekst: narzędzie zyskuje nową funkcję, zespół zaczyna wykorzystywać zastosowanie AI do innego celu niż ten, dla którego zostało sklasyfikowane. Częstotliwość takiej ponownej oceny zależy od poziomu ryzyka zastosowania i od tempa zmian w otoczeniu — więcej na ten temat na stronie opisującej jak często należy przeprowadzać ponowną klasyfikację.

Czego ta metoda nie rozwiązuje

Żadna metoda nie obejmuje wszystkiego. Rejestr całkowicie zależny od samodzielnego zgłaszania z definicji nie uwzględnia tego, czego ludzie nie zgłaszają — z niewiedzy, wygody, albo dlatego, że nie zdają sobie sprawy, że narzędzie podpada pod definicję AI. Rejestr całkowicie zależny od sygnałów z IT nie uwzględnia tego, co jest zakupywane poza IT, a to obecnie stanowi największą część tzw. cienia AI (shadow AI).

Realistyczne podejście łączy oba sposoby, wiedząc, że i to połączenie nie jest kompletne. Dobrze prowadzony rejestr to podejście, które przybliża się do rzeczywistości bardziej niż brak rejestru, a nie gwarancja, że wszystko w nim jest.

Jest też pułapka organizacyjna: drugi proces ustawiony obok istniejącego procesu jest często po prostu ignorowany, nawet jeśli na papierze jest obowiązkowy. Dlaczego tak się dzieje i jak tego uniknąć, opisano na stronie o tym, czemu drugi proces obok istniejącego bywa ignorowany. Wniosek jest taki, że aktualizacja utrzymuje się najłatwiej, gdy zostaje wbudowana w istniejące rutyny, a nie gdy staje się nowym, odrębnym obowiązkiem.

Rola ludzi w tym procesie

Aktualny rejestr zależy w ostatecznym rozrachunku od ludzi, którzy rozumieją, dlaczego zgłaszanie jest przydatne i co się dzieje z ich zgłoszeniem. Wiąże się to z szerszym tematem tego, co oznacza kompetencja w zakresie AI dla pracowników: kto nie wie, co podpada pod definicję AI, ten też nie zgłasza tego, co powinno być zgłoszone. A kto boi się sankcji, nie zgłasza niczego — nawet tego, co podpada pod definicję.

Do tego należy też rozmowa o danych firmowych. Pracownik, który wkleja dane klientów lub wewnętrzne dokumenty do bezpłatnego okna czatu, często nie korzysta z zakazanego narzędzia w wąskim sensie — to narzędzie może nigdzie nie być oznaczone jako "zakazane". Ryzyko leży w sposobie użycia, nie tylko w obecności na liście. Co z tym zrobić, opisano na stronie o tym, co robić z danymi firmowymi w bezpłatnym oknie czatu.

Ostatnim elementem żywego rejestru jest nadzór nad tym, co już się w nim znajduje. Zastosowanie, które przy klasyfikacji wymagało kontroli człowieka, może w praktyce tę kontrolę stracić, bez odzwierciedlenia tego w rejestrze. Co nadzór oznacza w praktyce i czym różni się od nadzoru na papierze, opisano na stronie o tym, co oznacza nadzór ludzki w praktyce.

Od rejestru do podziału pracy