Jest taki moment, w którym pracownik ma problem i szuka rozwiązania. Tekst, który musi być szybszy, zbiór danych, który musi być przejrzystszy, klient, który chce odpowiedzi jeszcze dzisiaj. Zgłoszenie do IT trwa zbyt długo, albo nie ma żadnego punktu zgłoszeniowego. Więc powstaje konto, instaluje się rozszerzenie, wykupuje abonament na karcie kredytowej, którą nikt nie kontroluje. Nie z niechęci. Z presji pracy.
Tak powstaje shadow AI. Nie jako bunt wobec polityki, ale jako praktyczna odpowiedź na dziurę w polityce. I nie zniknie samo, ponieważ powód, dla którego powstało — zadanie, które z AI idzie szybciej niż bez niej — pozostaje, dopóki polityka nie zaproponuje alternatywy. Zakaz nie zmienia zadania. Zmienia jedynie to, czy wie Pan/Pani, że narzędzie jest używane.
Przegląd zatwierdzonego oprogramowania mówi coś o tym, co zostało zgłoszone i przyznane. Nie mówi nic o tym, co jest faktycznie używane. Między tymi dwiema listami istnieje różnica, która powiększa się w miarę tego, jak narzędzia AI stają się łatwiej dostępne: brak instalacji, brak procesu zakupowego, tylko przeglądarka i konto. Rozszerzenie przeglądarki z dostępem do Pana/Pani poczty wypada poza każdy proces zakupowy i poza każdy przegląd, choć dostęp, który posiada, jest tak samo wrażliwy jak w przypadku zatwierdzonego systemu. Kto patrzy tylko na listę IT, patrzy na część rzeczywistości i nazywa ją całością.
Jedynym sposobem, aby dowiedzieć się, co jest faktycznie używane, jest zapytać. Nie jako pytanie kontrolne z sankcją na końcu, lecz jako inwentaryzacja bez konsekwencji dla tych, którzy współpracują. Gdy pracownicy podejrzewają, że uczciwa odpowiedź doprowadzi do rozmowy z przełożonym, informacja nie zniknie — po prostu przejdzie do podziemia. To samo narzędzie będzie dalej działać, tylko mniej widocznie. Organizacja, która chce znać skalę shadow AI, musi więc najpierw uregulować warunek, pod którym otrzyma odpowiedź. To nie jest kwestia utraty zaufania, to kwestia kolejności: najpierw wgląd, potem dopiero polityka.
Gdy inwentaryzacja zostanie już zebrana, powstaje coś użytecznego: lista narzędzi uporządkowana według roli i poziomu ryzyka, nie według dobra czy zła. Narzędzie, które przepisuje tekst do użytku wewnętrznego, niesie inne ryzyko niż narzędzie, które przetwarza dane klientów lub przygotowuje decyzje. Niektóre z tych narzędzi powstały z indywidualnego użytku, który przekształcił się w standard działu — zob. dział z własnym abonamentem — i zasługują raczej na formalizację niż na zakaz. Inne zostały jednorazowo skonfigurowane dla projektu, który został już zakończony, ale dostęp wciąż jest otwarty; to jest wzorzec opisany przy testowej konfiguracji, która nigdy nie została wyłączona. Klasyfikacja określa, co jest potrzebne: czasem nic, czasem korekta, czasem przejęcie do istniejącej struktury governance.
Celem tego podejścia nie jest wskazanie każdego, kto uruchomił narzędzie bez zgody. Celem jest wiedzieć, co działa, kto to używa i jakie ryzyko z tym się wiąże — aby zarządzający, CIO lub General Counsel mógł odpowiedzieć na to pytanie, gdy zostanie zadane, wewnętrznie lub zewnętrznie. To wymaga stałego sposobu inwentaryzacji, który nie kończy się po jednej rundzie, ponieważ wciąż pojawiają się nowe narzędzia. Jak taka inwentaryzacja jest budowana w praktyce, w tym kwestia tego, kto ją wykonuje i jak często, opisano w jak zbudować inwentarz AI.
Sama struktura governance — jakie zasady dotyczą jakiego poziomu ryzyka, jakie terminy i obowiązki z tym się wiążą — jest osobnym tematem z własną, aktualną zawartością, który tutaj nie zostaje powtórzony. Co liczy się na tej stronie, to mechanizm: zdobycie wglądu bez zamykania przepływu informacji oraz przełożenie tego wglądu na klasyfikację, która odpowiada temu, co organizacja już wdrożyła w zarządzaniu ryzykiem.
Inwentaryzacja, która ujawnia shadow AI, często nie ogranicza się do pojedynczych narzędzi. Ujawnia też, że dostawca dodał AI do systemu, który był już w użyciu, bez odbycia na ten temat osobnej rozmowy — wzorzec opisany za dostawcą, który wbudował AI w swój produkt — oraz to, że wrażliwe informacje firmowe bywają po prostu wklejane w publiczne okno czatu, jak opisano przy danych firmowych w darmowym oknie czatu. Wszystkie te formy mają to samo źródło: zadanie, w przypadku którego AI działa szybciej niż istniejący proces.
Ta konstatacja prowadzi logicznie do innego pytania, niezależnego od zatwierdzenia i ryzyka: która część samej pracy jest odpowiednia do przejęcia przez AI. Skan pracy FTE TO AI wylicza to zadanie po zadaniu, na podstawie tego, co praca faktycznie obejmuje, i pokazuje, gdzie automatyzacja może przejąć realną część czasu — jako punkt wyjścia do rozmowy o tym, co można z tym zaplanować, a nie jako zastępstwo dla pytania o governance, które jest centralnym tematem tej strony.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.