Kennisbank

Rozszerzenie przeglądarki z dostępem do skrzynki pocztowej nie pyta nikogo o zgodę

Jak rozszerzenie dostaje się do skrzynki pocztowej

Pracownik chce, żeby ktoś streścił spotkanie, ułożył e-mail albo zarządzał kalendarzem. Istnieje na to rozszerzenie, bezpłatne do zainstalowania w przeglądarce, z dostępem do skrzynki pocztowej po kilku kliknięciach. Rozszerzenie nie pyta IT, czy to jest dozwolone. Pyta pracownika, czy chce udzielić dostępu, a większość ludzi klika "zgadzam się" bez czytania uprawnień. W ten sposób zewnętrzny fragment oprogramowania zyskuje dostęp do odczytu korespondencji, załączników i danych kontaktowych, poza wszelkim zasięgiem wzroku organizacji.

To nie jest wyjątek. To jest zwyczajny sposób, w jaki AI wchodzi do organizacji: nie poprzez projekt z zamawiającym i budżetem, ale poprzez indywidualną decyzję, żeby ułatwić sobie zadanie. Rozszerzenie nie znajduje się na liście IT, bo IT go nie zainstalowało. Nie znajduje się w rejestrze ryzyka, bo nikt go nie zgłosił. Działa, i to dla użytkownika jest wystarczającym powodem, by dalej klikać.

Dlaczego lista IT nie jest zgodna z rzeczywistością

Przegląd zatwierdzonego oprogramowania mówi coś o tym, co zostało zgłoszone i dozwolone. Nie mówi nic o tym, co jest faktycznie używane. Między tymi dwoma rzeczami jest różnica, która się powiększa w miarę tego, jak narzędzia AI są łatwiejsze do zainstalowania i działają mniej widocznie. Rozszerzenie w przeglądarce nie pozostawia w sieci śladu, jaki pozostawiłaby nowa aplikacja. Działa w ramach sesji, która poza tym wygląda normalnie.

Efektem tego nie jest jeden wyciek danych, lecz rozproszony wzorzec: tu rozszerzenie z dostępem do skrzynki pocztowej, tam darmowe okno czatu, w którym wklejane są dane firmowe, gdzie indziej dział, który z własnej inicjatywy zawarł abonament. Pojedyncze decyzje, podjęte bez złych intencji, które razem tworzą ukrytą warstwę wykorzystania AI, jakiej organizacja nie jest w stanie objąć wzrokiem, ponieważ nigdy o to nie zapytała.

Dlaczego to nie zniknie przez zakaz

Zakaz rozszerzeń z dostępem do skrzynki pocztowej brzmi jak rozwiązanie, ale zakaz, którego nikt nie kontroluje, jest regułą na papierze. Pracownik, który korzystał z rozszerzenia, robił to, bo praca szła szybciej. Ten problem istnieje nadal po wprowadzeniu zakazu. Może usunie rozszerzenie, albo pozostawi je i nie wspomni o tym więcej. Obydwa wyniki są gorsze niż to, co było przed zakazem: wcześniej przynajmniej wiedzieli Państwo, że rozszerzenie istnieje, teraz Państwo tego nie wiedzą, albo powód, dla którego istniało, pozostaje nierozwiązany.

Jedynym sposobem, by dowiedzieć się, co faktycznie działa, jest zapytać. Nie jako kontrola, lecz jako inwentaryzacja. Kto boi się rozliczenia, nie odpowie szczerze, albo nie odpowie wcale. To sprawia, że pytanie, jak Państwo pytają, jest równie ważne jak samo pytanie. Ten wzorzec, oraz sposób, w jaki organizacja może sobie z nim radzić bez nagonki, opisany jest na stronie o tym, co robić z pracownikami, którzy korzystają z narzędzia, którego nikt nie zatwierdził.

Co się w tym czasie dzieje z nadzorem

Dopóki rozszerzenie z dostępem do skrzynki pocztowej pozostaje niezauważone, nie ma też nadzoru nad tym, co robi z przetwarzanymi danymi. Nie dlatego, że nikt nie chce tego uregulować, ale dlatego, że nadzór może istnieć tylko wobec czegoś, co jest znane. Dla narzędzi, które są znane, pytanie, co nadzór oznacza w praktyce, jest już wystarczająco trudne: kto sprawdza, jak często, i co się dzieje z odchyleniem. To pytanie jest omówione na stronie o tym, co menselijk toezicht oznacza w praktyce. Dla rozszerzenia, którego nikt nie zgłosił, odpowiedź na to pytanie brzmi: jeszcze nic, ponieważ pierwszy krok, wiedza, że ono istnieje, jeszcze nie nastąpił.

Ten sam wzorzec czegoś, co powstaje obok istniejącej struktury, zamiast zostać w niej ujęte, występuje w większej skali, gdy dostawca wbudowuje AI w swój produkt, bez odzwierciedlenia tego w umowie czy ocenie ryzyka; jak to się objawia i dlaczego omija istniejące ustalenia, opisane jest przy tym, co robić z dostawcą, który wbudował AI w swój produkt. A jeśli powstał proces zgłaszania tego rodzaju użycia, ale ten proces jest ignorowany, bo stoi obok istniejącej pracy, a nie w niej, to jest to rozpoznawalny wzorzec, który został opracowany na stronie o tym, dlaczego drugi proces obok istniejącego jest ignorowany.

Od inwentaryzacji do zrozumienia, co przejmuje AI

Inwentaryzacja rozszerzeń, abonamentów i narzędzi, których nikt nie zatwierdził, pokazuje, gdzie AI już działa w ramach pracy. Ta informacja sama nasuwa kolejne pytanie: jeśli ktoś już powierzył część swoich zadań AI, to jaka część tej pracy to konkretnie jest, i jak to się odnosi do tego, co jest możliwe lub wskazane dla resztej organizacji? Werkscan FTE TO AI wylicza dla każdego zadania, jaka część pracy może zostać przejęta przez AI, dając w ten sposób liczbowy punkt odniesienia obok obrazu governance, jaki daje inwentaryzacja.