Ma Pan/Pani listę zatwierdzonych narzędzi AI. Pytanie nie brzmi, czy ta lista jest poprawna, ale czy jeszcze coś znaczy. Pracownik, który przyspiesza zadanie za pomocą chatbota niewidocznego na liście, nie zgłasza tego jako incydentu. Nie zgłasza tego, bo to nie odczuwa jako incydent. Odpowiedź, której nie może Pan/Pani zaakceptować, brzmi więc "mamy politykę AI i zatwierdzoną listę" — bo to stwierdzenie nic nie mówi o tym, co dzieje się poza tą listą, a to prawdopodobnie największa część.
Jako CIO to Pan/Pani musi wyjaśnić, czemu incydent związany z AI nie był wcześniej znany, podczas gdy resztę organizacji przyjmuje, że IT ma pełny obraz sytuacji. Ten obraz istnieje dla systemów, które zostały zakupione. Nie istnieje dla wtyczki, którą zespół sam zainstalował, wersji próbnej, którą ktoś aktywował, czy modelu, który przyszedł wraz z narzędziem obsługi klienta. Ryzyko dla Pana/Pani nie polega na tym, że AI jest używane — to i tak się dzieje — ale na tym, że Pan/Pani dowiaduje się o tym ostatni, w momencie, gdy już poszło coś nie tak.
Inwentaryzacja, która jest wiarygodna, zmienia Pana/Pani pozycję. Zamiast reagować na incydenty, których nie przewidział/a Pan/Pani, może Pan/Pani z wyprzedzeniem wskazywać, gdzie leżą ryzyka i dlaczego. To także podstawa do prowadzenia rozmowy w organizacji z General Counsel, który patrzy na tę samą shadow AI z innej perspektywy, oraz z menedżerem ryzyka, który chce umieścić to w istniejącej strukturze ryzyka, a nie tworzyć osobny odrębny proces.
Lista IT rejestruje to, co zostało zakupione i zatwierdzone. Shadow AI powstaje tam, gdzie te dwa etapy są pomijane: pracownik znajduje narzędzie, używa go i nic nie zgłasza, bo wydaje się, że nie ma czego zgłaszać. To nie jest zaniedbanie — to skutek procesu zakupowego, który nie został zaprojektowany, żeby śledzić to, co ludzie sami znajdują. Im większa organizacja i im więcej zespołów działa samodzielnie, tym większa może być różnica między listą a rzeczywistością. Jak mała jest ta różnica, zależy od tego, jak dużą swobodę mają zespoły w wyborze własnych narzędzi i jak widoczne jest już to zachowanie — konkretnej liczby na to nie ma, jest tylko kierunek.
Jedynym sposobem, aby wiedzieć, co faktycznie funkcjonuje, jest zapytanie osób, które to używają. To działa tylko wtedy, gdy odpowiedź nie prowadzi do konsekwencji dla osoby, która ją udziela. Jeśli zapyta Pan/Pani "czy używasz narzędzi AI, które nie zostały zatwierdzone" tonem przypominającym rozmowę oceniającą, otrzyma Pan/Pani odpowiedź, którą już dała lista IT: nie. Jeśli zapyta Pan/Pani o to bez konsekwencji, z celem zrozumienia, a nie korygowania, powstanie obraz, który faktycznie odpowiada praktyce. To rozróżnienie — pytanie bez konsekwencji versus pytanie z konsekwencjami — to różnica między inwentaryzacją, która jest coś warta, a ćwiczeniem, które nikomu niczego nie mówi.
Lista używanych narzędzi jest punktem wyjścia, nie punktem końcowym. Nie każde zastosowanie AI niesie takie samo ryzyko. Narzędzie przepisujące tekst do użytku wewnętrznego to inna sytuacja niż narzędzie współdecydujące o akceptacji klienta lub ocenie pracownika. Klasyfikacja według roli — co robi system — i według poziomu ryzyka — jaki jest wpływ, jeśli coś pójdzie nie tak — jest potrzebna, aby wiedzieć, gdzie skierować uwagę. Bez klasyfikacji każde zastosowanie AI wygląda w raporcie tak samo, a to jest właśnie obraz, który nie pomaga zarządowi podjąć decyzji.
Jako CIO ma Pan/Pani prawdopodobnie już ramy ryzyka dla systemów IT, bezpieczeństwa informacji i dostawców. Governance AI działa lepiej, gdy nawiązuje do tej struktury, niż gdy staje się osobnym, oddzielnym schematem. To jest też coś, z czym borykają się compliance officer oraz lider programu AI: zbyt wiele odrębnych inicjatyw AI, które nie rozmawiają ze sobą, podczas gdy zarząd oczekuje właśnie jednej spójnej odpowiedzi na pytanie, co się dzieje i co się z tym robi.
Co znaczy shadow AI, różni się w zależności od sektora. W budownictwie działa inaczej niż w branży instalacyjnej, i warto zobaczyć jak governance AI wygląda w budownictwie lub jak to wygląda w branży instalacyjnej, zanim przyjmie Pan/Pani, że jedno podejście pasuje wszędzie.
Responsible AI Scan, który to zapewnia — inwentaryzacja, klasyfikacja, zestaw governance nawiązujący do Pana/Pani istniejącej struktury — jest w budowie. Kto chce już teraz zająć się tym tematem, może zapisać się na listę oczekujących; nie ma jeszcze gotowego produktu do zaoferowania, a to woleliśmy napisać uczciwie, niż obiecywać coś, czego jeszcze nie ma.
Gdy Pan/Pani wie, jakie AI jest używane i z jakim ryzykiem, naturalnie nasuwa się pytanie kolejne: która część pracy sama mogłaby być zadaniem dla AI, a która nie. To inne pytanie niż zarządzanie ryzykiem — dotyczy zdolności operacyjnej, nie ekspozycji — a skan pracy FTE TO AI wylicza to per zadanie, dzięki czemu Pan/Pani nie tylko wie, co już działa, ale też gdzie AI mogłoby samo przejąć pracę.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.