Zespół chce pracować szybciej i włącza narzędzie AI, zazwyczaj by przetestować coś konkretnego: podsumowanie, pierwszą wersję koncepcji, klasyfikację. Nie ma procedury zatwierdzania, bo to "jeszcze tylko próba". Próba działa, albo działa wystarczająco dobrze, i wchodzi do codziennego procesu bez podjęcia jakiejkolwiek decyzji o jej zatrzymaniu. Nie było momentu, w którym ktoś świadomie wybrał: to włączamy do naszej inwentaryzacji AI, ma to swojego właściciela, podlega temu poziomowi ryzyka. Był tylko moment rozpoczęcia, i ten moment zapisuje się w sposobie pracy, którego nikt już nie dotknął.
Zatrzymanie próbnej instalacji wymaga decyzji. Kontynuacja nie wymaga niczego. Dopóki nikt nie zgłosi incydentu albo zewnętrzna strona nie zapyta o dowód kontroli, nie ma powodu, aby wracać do czegoś, co już od dawna stało się po prostu pracą. Osoby korzystające z narzędzia nie mają interesu, by zwracać na to uwagę: działa, zaoszczędza czas, a zgłoszenie tego odczuwane jest jako ryzyko utraty narzędzia. Tak tymczasowe rozwiązanie pozostaje strukturalne, nie dlatego, że nikt o nim nie wie, lecz dlatego, że nikt nie stawia pytania, które doprowadziłoby do jego wyłączenia.
Można by pomyśleć, że przegląd zatwierdzonego oprogramowania to uwidoczni. Ten przegląd pokazuje jednak to, co zostało zakupione, nie to, co jest używane. Próbna instalacja często przebiega poza tym kanałem: darmowe konto, wtyczka do przeglądarki, samodzielny abonament na karcie zespołu. Ten sam wzorzec pojawia się przy rozszerzeniu przeglądarki z dostępem do poczty, przy dziale z własnym abonamentem poza centralnymi zakupami, oraz przy danych firmowych wklejanych do darmowego okna czatu bez umowy z warunkami przetwarzania danych w tle. Żadna z tych sytuacji nie znajduje się na liście IT, ponieważ żadna z nich nigdy nie została zgłoszona jako projekt.
Jedynym sposobem, aby wiedzieć, co faktycznie działa, jest zapytać. Nie jako kontrola po fakcie, lecz jako otwarcie: co Pan/Pani używa, do czego, i od kiedy. Kto zadaje to pytanie z groźbą sankcji w tle, nie otrzyma odpowiedzi albo otrzyma niepełną odpowiedź. Pracownicy korzystający z narzędzia, którego nikt nie zatwierdził, mają coś do stracenia przy uczciwości i nic do zyskania. To właśnie napięcie, które pojawia się w pracownikach korzystających z narzędzia, którego nikt nie zatwierdził: bez zaproszenia, na które bezpiecznie jest odpowiedzieć, próbna instalacja pozostaje w podziemiu i nie zniknie, po prostu ucichnie.
Inwentaryzacja bez konsekwencji dla osoby zgłaszającej jest pierwszym krokiem, nie wnioskiem. Po uwidocznieniu następuje klasyfikacja: co to jest, jaką rolę odgrywa w procesie, i jaki poziom ryzyka do tego przystaje. Narzędzie do podsumowań notatek wewnętrznych wymaga innego reżimu niż narzędzie współdecydujące o akceptacji klienta czy ocenie personelu. Ta klasyfikacja powinna nawiązywać do istniejącej już struktury ryzyka, nie do nowych ram ustawionych obok. Drugi, nieformalny proces ignorowany obok istniejącego procesu jest właśnie powodem, dla którego drugi proces obok istniejącego jest ignorowany jest rozpoznawalnym wzorcem: ludzie idą ścieżką najmniejszego oporu, a ta ścieżka staje się widoczna dopiero, gdy ktoś o nią zapyta.
Potem pojawia się pytanie, kto jeszcze na to patrzy. Próbna instalacja, która została puszczona w codzienną pracę, zazwyczaj nie ma już właściciela oceniającego wyniki przed ich użyciem. To właśnie tutaj co ludzki nadzór oznacza w praktyce staje się istotne: nie jako abstrakcyjna zasada, lecz jako konkretne pytanie, kto czyta wynik przed tym, jak dotknie on klienta, dokumentacji lub decyzji.
Zarządca, który jest o to pytany — przez organ nadzoru, audytora, radę nadzorczą — ma dwie możliwości: powiedzieć, że przegląd jest kompletny, albo powiedzieć, że istnieje proces mający na celu jego kompletowanie i utrzymywanie w tym stanie. Druga opcja jest uczciwsza i, w dłuższej perspektywie, silniejsza, ponieważ organizacja aktywnie inwentaryzująca ma coś wykazywalnego, nawet gdy inwentaryzacja nie jest jeszcze zakończona. Rzecz nie w tym, że nigdy więcej nie powstanie nieautoryzowana próbna instalacja. Rzecz w tym, że istnieje mechanizm, który je znajdzie, zanim to zrobi za Pana/Panią incydent.
Gdy już widać, jaka AI powstała niezaplanowanie, powstaje zwykle inne pytanie: jeśli ten zespół już to robił, bez tego, że ktoś to zorganizował, co by się stało, gdybyśmy to faktycznie zorganizowali? To inne pytanie niż governance, i pasuje do skanu pracy FTE TO AI, który dla każdego zadania oblicza, jaką część pracy można rozsądnie przekazać AI. Tam gdzie ta strona opisuje, jak zyskać kontrolę nad tym, co już działa, ten skan opisuje, z tym samym rzeczowym spojrzeniem na zadania i ryzyka, co jeszcze można zbudować.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.