Pracownik instaluje rozszerzenie do przeglądarki, które podsumowuje e-maile, proponuje terminy w kalendarzu lub pisze wersje roboczą tekstu w Gmailu lub Outlook Web. Instalacja zajmuje minutę i wymaga zgody na dostęp do zawartości strony. Zgoda zostaje udzielona bez tego, by ktokolwiek przeczytał, co konkretnie jest udostępniane, jak długo jest to przechowywane, czy model jest na tym trenowany, czy dostawca odsprzedaje te dane. Rozszerzenie działa, oszczędza czas, a następnie rozprzestrzenia się nieformalnie: kolega je widzi, prosi o link, też je instaluje.
Rozszerzenia do przeglądarki wypadają poza większość procesów zakupowych. Nic nie jest kupowane, nie ma umowy, nie ma faktury, która zwróciłaby uwagę działu finansowego. Instalacja odbywa się przez samą przeglądarkę, często przy użyciu prywatnego lub służbowego konta, które nie przechodzi przez IT. Dla pracownika to nie jest „nowe narzędzie” w sensie, który wymaga zatwierdzenia — to małe usprawnienie, porównywalne do sprawdzania pisowni. To, że rozszerzenie ma dostęp do odczytu całej poczty, w tym załączników, umów i danych klientów, jest szczegółem technicznym, który został odklikany podczas instalacji.
Ten wzorzec nie jest unikalny dla poczty. Ta sama droga przebiega przez narzędzie, którego nikt nie zatwierdził w szerszym sensie, przez dane firmowe wklejane w darmowym okienku czatu oraz przez dział, który z własnej inicjatywy wykupił abonament. Rozszerzenie do przeglądarki jest jedynie wariantem z najbardziej bezpośrednim dostępem: nie do jednego dokumentu, a do całej skrzynki mailowej.
Lista zatwierdzonego oprogramowania IT tego nie wychwytuje. Rozszerzenie nie znajduje się w przeglądzie umów, nie w przepływie faktur, nie w logu SSO, jeśli ten nie jest używany. Jedynym sposobem, by dowiedzieć się, czy ono istnieje, jest zapytanie — osób, które go używają. A to działa tylko wtedy, gdy zadawanie pytań nie ma konsekwencji. Gdy zgłoszenie prowadzi do zarzutu, informacja przestaje płynąć. Kolejne rozszerzenie nie zostanie wtedy zgłoszone, ale będzie używane po cichu.
Rozszerzenie nie zniknie też dlatego, że jest przydatne. Kto może szybciej obsłużyć pocztę, nie zrezygnuje z tego, bo gdzieś istnieje dokument polityki, który to odradza. Zakaz bez alternatywy przenosi zachowanie na inne konto, inną przeglądarkę, prywatny telefon. Problem staje się wtedy bardziej niewidoczny, nie mniejszy.
Punktem wyjścia nie jest wykrywanie i rozliczanie, ale zmapowanie tego, co istnieje, i podjęcie na tej podstawie decyzji. Zaczyna się to od inwentaryzacji, która patrzy nie tylko na to, co zostało zakupione, ale na to, co jest faktycznie używane: jak zbudować inwentaryzację AI opisuje to podejście, w tym pytanie, jak sprawić, by ludzie sami zgłaszali, co używają.
Dla każdego wykrytego rozszerzenia istotnych jest kilka pytań. Jakich danych ono dotyka — tylko tego, co jest na ekranie, czy całej skrzynki mailowej poprzez połączenie API? Czy treść jest przetwarzana przez zewnętrzny model, a jeśli tak, na jakich warunkach? Czy istnieje uzasadnienie biznesowe dla jego użycia, czy zastępuje ono coś, co organizacja już posiadała? Co musi zostać odnotowane dla każdego zastosowania — kto jest właścicielem, jakie dane do niego wchodzą, jaki poziom ryzyka ma zastosowanie — opisano w co musi być odnotowane dla każdego zastosowania. To nie jest ćwiczenie prawne samo w sobie; to podstawa do podjęcia decyzji w każdym przypadku: dopuścić, zastąpić zarządzaną wersją, czy wygasić.
Do tego należy również spojrzenie na zewnątrz. Nie każda funkcja AI w środowisku pocztowym pochodzi z rozszerzenia, które pracownik sam zainstalował. Dostawca istniejącego narzędzia może dodać funkcję AI w ramach aktualizacji, bez tego, że zostało to uznane za nową ocenę. Co to oznacza dla istniejących umów i ustaleń z podmiotami przetwarzającymi, opisano w dostawca, który wbudował AI w swój produkt.
Celem tej inwentaryzacji nie jest wykrycie pracownika, który zainstalował rozszerzenie. Kto do tego doprowadzi, nie zobaczy już następnego rozszerzenia, ponieważ nikt więcej nie będzie go zgłaszał. Celem jest obraz tego, co faktycznie dzieje się z danymi pocztowymi, dokumentami umów i komunikacją z klientami, tak aby zarząd lub General Counsel mogli podjąć uzasadnioną decyzję o tym, co pozostaje, co jest zastępowane, a co zostaje wygaszone — z powodem, który można przedstawić organowi nadzoru lub audytorowi.
To samo pytanie, które ujawnia, że rozszerzenie czyta pocztę, ujawnia też, ile czasu to rozszerzenie faktycznie przejmuje z pracy, która wcześniej wykonywana była ręcznie. Te dwa pytania są sobie bliskie: jedno dotyczy ryzyka i nadzoru, drugie tego, gdzie w samej pracy zmienia się wykorzystanie czasu. Dla tego drugiego skan pracy FTE TO AI wylicza dla każdego zadania, jaka część pracy może zostać przejęta przez AI, niezależnie od tego, jakie narzędzie to robi — kolejny krok dla tych, którzy po inwentaryzacji chcą wiedzieć, co AI, która już tam jest, oznacza dla organizacji pracy.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.