Zespół marketingu potrzebuje asystenta do pisania. Analityk finansowy chce narzędzia, które podsumowuje arkusze kalkulacyjne. Nikt z nich nie czeka na proces zakupowy, który trwa miesiącami. Jest karta kredytowa, adres e-mail, i w ciągu dziesięciu minut istnieje abonament, który dział sam płaci, sam zarządza i sam używa. Dział IT nic o tym nie wie. Nie ma powodu, by to zgłaszać, bo nic nie zrobiono źle — po prostu rozwiązano problem.
Większość cienia AI nie zaczyna się od próby obejścia przepisów. Zaczyna się od zadania, które musi być wykonane szybciej, terminu, który nie czeka na proces zatwierdzania, oraz narzędzia dostępnego bez udziału kogoś innego. Dział, który wykupuje abonament, nie postrzega tego jako decyzji IT. To odczuwane jest jako artykuł biurowy, nie inaczej niż licencja na oprogramowanie, którą wszyscy już używali, zanim istniała centralna polityka zakupowa. To, że model językowy przetwarza dane firmowe, odczytuje dane klientów lub generuje wersję roboczą tekstu, który trafia na zewnątrz, nie jest dla użytkownika kwestią governance. To po prostu praca.
Ta sama dynamika występuje przy dostawcy, który wbudował AI w swój produkt bez odrębnej rozmowy na ten temat: funkcjonalność pojawia się w aktualizacji, nikt nic pod tym nie podpisuje, a organizacja korzysta z niej, zanim ktokolwiek ustalił, kto za to odpowiada.
Ogłoszenie, że nieautoryzowane narzędzia są niedozwolone, mało zmienia. Dział, który ma abonament, odczuwa go jako rozwiązanie, które działa, nie jako ryzyko, które trzeba zgłosić. Zakaz bez alternatywy przynosi dwie rzeczy: abonament schodzi do podziemia, albo zespół przestaje go używać i praca znów zwalnia. Żadne z tych rezultatów nie jest tym, czego organizacja chce.
Do tego dochodzi fakt, że taki abonament rzadko jest decyzją jednorazową. Staje się częścią workflow, łączy się z innymi narzędziami, jest używany w procesach, które w międzyczasie od niego zależą. Co zaczyna się jako próba, staje się stałym elementem tego, jak pracuje zespół — dokładnie ten wzorzec, który widać też przy instalacji testowej, która nigdy nie została wyłączona: nikt nie zdecydował, żeby ją uczynić stałą, ale nikt też nie zdecydował, żeby ją zatrzymać.
Odruch wykrywania cienia AI i konfrontowania z tym użytkownika działa odwrotnie do zamierzeń. Kto wie, że zgłoszenie prowadzi do nagany, nie zgłasza. Abonament nadal istnieje, tylko mniej widocznie. Dział staje się ostrożniejszy w tym, co raportuje, nie skrupulatniejszy w tym, co używa.
Co działa, to zadawanie pytań bez sankcji przypisanej do odpowiedzi. Zespół, który używa narzędzia, aby przyspieszyć zadanie, ma na to zwykle powód, który organizacja chce znać: proces, który jest zbyt wolny, zadanie, które ulega przeciążeniu, potrzeba, której obecna oferta nie pokrywa. Zobacz, jak to jest opisane przy pracownikach, którzy używają narzędzia, którego nikt nie zatwierdził — punktem wyjścia nie jest przewinienie, lecz potrzeba, która za nim stoi.
Pierwszym krokiem nie jest egzekwowanie, lecz inwentaryzacja: jakie narzędzia istnieją, kto je używa, do jakiego zadania i z jakimi danymi. To nie odbywa się poprzez listę IT — ta rejestruje to, co jest zatwierdzone, nie to, co jest używane. Odbywa się poprzez zadawanie pytań w sposób, który nie zawiera groźby.
Gdy istnieje wgląd w to, co działa, może nastąpić klasyfikacja: jaką rolę odgrywa narzędzie, jaki poziom ryzyka do tego przystaje i jaka forma nadzoru jest właściwa. Nie każdy abonament, który dział sam wykupił, stanowi problem. Narzędzie, które przepisuje tekst publiczny, znajduje się w innej kategorii niż narzędzie, które przetwarza dane klientów, bez że ktoś wie, dokąd te dane idą. Rozróżnienie między tymi kategoriami jest właśnie tym, o co chodzi w nadzorze ludzkim w praktyce: nie każde użycie wymaga tego samego poziomu kontroli, ale każde użycie wymaga, żeby wiedzieć, że istnieje.
Potem następuje struktura governance, która nawiązuje do tego, co już istnieje — nie nowy proces obok istniejących ram ryzyka, lecz ich rozszerzenie. Organizacja, która traktuje ryzyko AI odrębnie od reszty swojego zarządzania ryzykiem, ryzykuje, że ten drugi system zostanie zignorowany, jak można przeczytać przy drugim procesie obok istniejącego, który jest ignorowany. Podejście, które przetrwa, to takie, które nawiązuje do tego, co organizacja już robi, aby zarządzać ryzykiem.
Abonament, który dział sam wykupił, jest zwykle sygnałem, że coś musi iść szybciej, niż pozwala na to obecny proces. To pytanie — która część pracy da się przyspieszyć i gdzie może to się dziać w sposób ustrukturyzowany, a nie niezauważony — jest właśnie tym, na co odpowiada skan pracy FTE TO AI. Skan pracy wylicza dla każdego zadania, jaką część pracy może przejąć AI, dzięki czemu potrzeba, która doprowadziła do cienia abonamentu, znajduje miejsce w procesie, który organizacja rzeczywiście znajduje i rzeczywiście zarządza.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.