Um registo de IA já está parcialmente desatualizado no dia em que é entregue. Há uma ferramenta nova, alguém ampliou uma subscrição existente com uma funcionalidade de IA, uma equipa deixou de fazer algo que estava na lista. Um registo não é um documento que se conclui. É um processo que continua em curso, ou então para de funcionar dentro de poucos meses.
A pergunta "como o mantém atualizado" é, por isso, mais importante do que "como o elabora". Um primeiro levantamento é uma fotografia de um momento. O valor está no que acontece depois.
A causa principal não é o descuido. É o facto de a IA se difundir de forma diferente de outros softwares. Uma nova ferramenta muitas vezes não exige um processo de aquisição, uma aprovação de TI, uma ronda de orçamento. Alguém inscreve-se com um endereço de e-mail profissional e começa a utilizá-la. Ninguém tem de comunicar isso, e ninguém se sente obrigado a fazê-lo — sobretudo se a expectativa for que comunicar equivale a uma proibição. O que acontece com colaboradores que utilizam uma ferramenta que ninguém aprovou determina se essas comunicações chegam a acontecer.
Além disso, a natureza das ferramentas existentes muda. Um pacote que no ano passado não tinha funcionalidade de IA pode tê-la este ano, ativada por predefinição numa atualização. A lista de fornecedores do departamento de TI não muda por isso, mas o perfil de risco dessas mesmas ferramentas sim.
Manter o registo atualizado exige um ritmo repetitivo em vez de uma ação única. Esse ritmo é composto por alguns elementos que se repetem:
Uma pergunta fixa às equipas, num momento fixo, sobre o que surgiu ou mudou. Não como pergunta de controlo, mas como parte de uma reunião recorrente — conversa trimestral, reunião de equipa, ciclo de avaliação de desempenho. A pergunta deve ser suficientemente acessível para obter uma resposta honesta.
Um sinal proveniente das compras ou da gestão de TI quando é celebrada uma nova subscrição ou renovado um contrato existente. Nem todos os sinais levam a um ajuste do registo, mas todos devem ser analisados.
Uma reavaliação de itens existentes no momento em que o contexto muda: uma ferramenta ganha uma nova funcionalidade, uma equipa passa a utilizar uma aplicação de IA para um fim diferente daquele para o qual foi classificada. A frequência com que essa reavaliação é necessária depende do nível de risco da aplicação e da rapidez com que o contexto muda — mais sobre isso na página que descreve com que frequência deve reclassificar.
Nenhum método capta tudo. Um registo totalmente dependente da comunicação voluntária omite, por definição, aquilo que as pessoas não comunicam — por desconhecimento, comodismo, ou porque não percebem que uma ferramenta se enquadra na definição de IA. Um registo totalmente dependente de sinais de TI omite o que é adquirido fora do circuito de TI, que atualmente constitui a maior parte da IA sombra.
A abordagem realista combina ambos, sabendo que a combinação também não é completa. Um registo bem mantido é uma aproximação que se aproxima mais da realidade do que a inexistência de registo, não uma garantia de que tudo está incluído.
Há também uma armadilha organizacional: um segundo processo colocado ao lado de um processo já existente é muitas vezes simplesmente ignorado, mesmo que seja obrigatório no papel. Por que razão isso acontece e como evitá-lo está descrito na página sobre por que razão um segundo processo ao lado do existente é ignorado. A lição subjacente é que a atualização se mantém mais facilmente quando é incorporada nas rotinas existentes, e não quando se torna uma obrigação nova e separada.
Um registo atualizado depende, em última análise, de pessoas que compreendem por que razão comunicar é útil e o que acontece à sua comunicação. Isto está relacionado com uma questão mais ampla sobre o que significa a literacia em IA para os colaboradores: quem não sabe o que se enquadra na definição de IA também não comunica o que deveria ser comunicado. E quem tem medo de uma sanção, de qualquer forma não comunica — nem mesmo o que se enquadra na definição.
A isto pertence também a conversa sobre os dados da empresa. Um colaborador que cola dados de clientes ou documentos internos numa janela de chat gratuita muitas vezes não está a utilizar uma ferramenta proibida em sentido estrito — essa ferramenta pode não estar registada em lado nenhum como "proibida". O risco está na utilização, não apenas na presença numa lista. O que fazer com isso está descrito na página sobre o que fazer com dados da empresa numa janela de chat gratuita.
Um último elemento de um registo vivo é a supervisão do que já lá consta. Uma aplicação que, na classificação, exigia um controlo humano pode perder esse controlo na prática sem que o registo o reflita. O que a supervisão significa na prática, e em que difere da supervisão no papel, está descrito na página sobre o que a supervisão humana significa na prática.
Um registo atualizado indica o que está em funcionamento e com que risco. Não indica que parte do trabalho subjacente é efetivamente feita ou assumida pela IA, e que parte permanece com as pessoas. Essa pergunta situa-se um nível mais profundo: não que ferramentas existem, mas quanto de uma tarefa concreta a IA consegue realizar. O werkscan da FTE TO AI calcula isso por tarefa, oferecendo assim uma imagem que complementa o registo — um diz o que existe, o outro o que efetivamente faz.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.