Pracownik wkleja fragment tekstu do darmowego okna czatu, bo to działa szybciej niż wewnętrzny system. Zespół wykupuje abonament na narzędzie AI, bo wniosek o coś oficjalnego zajęłby tygodnie. Dostawca dodaje funkcjonalność AI do oprogramowania używanego już od lat, bez żadnej rozmowy na ten temat. Nikt z tych ludzi nie próbuje niczego skrywać. Próbują wykonywać swoją pracę.
To jest istota cienia-AI: nie powstaje z niechęci, lecz z rozdźwięku między tym, czego ludzie potrzebują, a tym, co dostarcza formalny proces. Dopóki ten rozdźwięk istnieje, cień-AI będzie powstawał nadal, niezależnie od tego, ile polityk zostanie napisanych.
Większość organizacji ma przegląd zatwierdzonego oprogramowania. Ten przegląd jest punktem wyjścia, nie odzwierciedleniem rzeczywistości. To, co ludzie faktycznie używają, wyprzedza go praktycznie zawsze: pytanie, jak zapobiegać wprowadzaniu danych firmowych do darmowego okna czatu ilustruje, jak łatwo narzędzie może umknąć spod jakiegokolwiek nadzoru. To samo dotyczy działu, który z własnej inicjatywy wykupuje abonament, bo standardowa droga wydaje się zbyt wolna, lub rozszerzenia przeglądarki, które zyskuje dostęp do poczty bez odrębnej zgody przewidzianej dla takiego przypadku. Żadna z tych sytuacji nie znajduje się na liście IT. Ale one istnieją.
Istnieje tendencja do traktowania cienia-AI jako problemu do wymuszenia przestrzegania: zakazywać, blokować, karać. To działa odwrotnie. Kto wie, że szczera odpowiedź prowadzi do problemu, przestaje udzielać szczerych odpowiedzi. Narzędzie nie znika, staje się jeszcze bardziej niewidoczne. Dokładne przeciwieństwo tego, czego organizacja potrzebuje.
Drugi powód, dla którego problem nie rozwiązuje się sam: istniejący governance jest często zbudowany dla oprogramowania, które się kupuje i instaluje, nie dla usługi, którą ktoś otwiera w przeglądarce i opuszcza już następnego dnia. Tymczasowa konfiguracja, która miała być rozwiązaniem chwilowym, pokazuje, jak coś drobnego, bez jasnego momentu oceny, może trwać latami, bez poczucia, że ktokolwiek jest za to odpowiedzialny. Bez procesu, który strukturalnie wychwytuje tego rodzaju użycie, pozostaje ono pod radarem, niezależnie od tego, jak dobre są intencje.
Jedynym sposobem, aby dowiedzieć się, co się dzieje, jest zapytanie. Nie jako kontrola, lecz jako inwentaryzacja. Pracownicy, którzy wiedzą, że szczera odpowiedź nie skończy się rozmową z HR, taką odpowiedź udzielą. To wymaga tonu i procesu, które z góry wyjaśniają: to dotyczy zyskania przeglądu, nie rozliczania kogokolwiek.
Do tego należy również uwaga poświęcona sposobowi, w jaki nowe procesy są ustawiane obok już istniejących. Drugi proces, wprowadzony obok istniejącego, bez zmiany lub wycofania pierwszego, jest często ignorowany, po prostu dlatego, że ludzie trzymają się przyzwyczajenia. Inwentaryzacja, która pojawia się jako dodatkowy obowiązek nałożony na pracę, otrzymuje to samo traktowanie.
Gdy już jasne jest, co faktycznie jest używane, pojawia się kolejne pytanie: co robi to narzędzie i jakie ryzyko z tym się wiąże. Narzędzie, które podsumowuje tekst do użytku wewnętrznego, wymaga czegoś innego niż narzędzie, które współdecyduje o akceptacji klienta lub ocenie personelu. Ta klasyfikacja według roli i poziomu ryzyka przekształca inwentaryzację w coś użytecznego: podstawę, na której zarząd, CIO lub General Counsel może wyjaśnić, co się dzieje i dlaczego jest to możliwe do uzasadnienia.
Ta warstwa governance nawiązuje do struktury ryzyka, którą organizacja już posiada, a nie do nowych ram ustawionych obok. Treść przepisów, które muszą spełniać zastosowania AI, zmienia się i jest aktualizowana gdzie indziej; tutaj liczy się to, że organizacja ma działający sposób, aby wiedzieć, co jest w użyciu, kto za to odpowiada i jak można to udokumentować przed zarządem lub organem nadzoru.
Gdy już jasne jest, jakie AI jest faktycznie używane i z jakim ryzykiem to się wiąże, samo się pojawia kolejne pytanie: jaką część pracy zastosowanie AI mogłoby właściwie przejąć, a jakiej nie. To inne pytanie niż pytanie o zatwierdzenie i nadzór, ale logicznie z niego wynikające. Skan pracy FTE TO AI oblicza, dla każdego zadania, jaką część pracy AI może przejąć, na podstawie tego, co dana funkcja faktycznie obejmuje. Tam, gdzie Responsible AI Scan wprowadza porządek w to, co już działa, skan pracy pokazuje, co jeszcze można zyskać.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.