Um inventário de IA não é uma fotografia do que o departamento de TI adquiriu. É uma visão contínua do que é efetivamente utilizado na organização para realizar trabalho, independentemente de esse uso ter sido aprovado, adquirido ou até conhecido pelo departamento que formalmente decide sobre software. Quem quiser construir um inventário que cubra essa diferença tem de procurar em mais locais do que a maioria das organizações está habituada a fazer.
A lista de aplicações aprovadas é um ponto de partida lógico, mas cobre apenas o que entrou através de um percurso formal. A funcionalidade de IA também chega através de canais que não são reconhecidos como 'nova aplicação': uma atualização de software existente, uma extensão de browser, uma função ativada por um fornecedor sem notificação separada. Por que a lista de TI não está correta descreve os mecanismos pelos quais um inventário que se baseia apenas nesta lista é, por definição, incompleto. Isso não significa que a lista seja dispensável — significa que é uma fonte entre outras, não a única.
Faturas, subscrições e contagens de licenças contam uma história diferente da lista de TI, porque as compras acontecem muitas vezes a nível departamental e nem sempre passam por um percurso central de TI. Uma equipa que contrata uma subscrição para uma ferramenta com uma função de IA regista isso nas compras ou nas finanças, não necessariamente na TI. O que os dados de compras e licenciamento revelam mostra que padrões nestes dados apontam para uso de IA ainda não detetado noutro lugar: pequenas subscrições recorrentes, nomes de ferramentas, crescimento no tráfego de dados para determinados domínios. Isto não substitui a consulta direta, mas é uma forma de saber onde deve dirigir essa consulta primeiro.
O tráfego de rede, os registos de DNS e a gestão de acessos podem dar indicações sobre quais os serviços acedidos a partir de equipamento empresarial. Nem todos os sinais são igualmente fiáveis: tráfego para um fornecedor de IA pode indicar uso ativo, mas também um processo em segundo plano sem relação com o trabalho diário. Quais sinais de TI são úteis explica quais indicadores técnicos oferecem uma base sólida e quais geram demasiado ruído para servir de base a um inventário. O resultado destes sinais é uma lista de suspeitas, não uma visão confirmada — a confirmação vem das pessoas que realizam o trabalho.
Nenhum sinal técnico e nenhum registo de compra explica por que alguém usa uma ferramenta, para que tarefa, e se o uso é incidental ou estrutural. Essa informação só surge se os colaboradores estiverem dispostos a partilhá-la. Isso não acontece por si só: quem suspeita que uma resposta à pergunta 'que IA utiliza' leva a uma proibição ou a uma anotação, responde de forma evasiva ou não responde. Como perguntar aos colaboradores sem represálias descreve como fazer essa pergunta de uma forma que torna uma resposta honesta mais provável. Esta parte do inventário fornece frequentemente a maior parte das aplicações que não se tornam visíveis através de nenhuma outra fonte.
Um inventário que reúne apenas nomes de ferramentas não é útil para a governação. Por aplicação, é preciso mais: quem utiliza a ferramenta e para que tarefa, que tipo de dados são introduzidos, se o resultado desempenha um papel numa decisão sobre um cliente, colaborador ou terceiro, e qual o fornecedor por detrás. O que deve registar por aplicação apresenta os campos necessários para poder classificar mais tarde uma aplicação por função e nível de risco, sem ter de repetir a inventariação quando essa classificação for pedida.
Numa organização com várias sedes, unidades de negócio ou países, a própria inventariação torna-se um problema de coordenação: quem pergunta, em que ordem, e como se juntam os resultados sem que os departamentos comecem a corrigir ou a suavizar as respostas uns dos outros. Como construir um inventário de IA numa organização com várias componentes aborda essa escala: onde a coordenação encravar e como manter os resultados de diferentes componentes comparáveis.
Um inventário, uma vez construído, é uma fotografia num determinado momento. Para o manter útil para administradores, CIOs e gestores de risco, tem de ser repetido e associado a uma classificação alinhada com a estrutura de risco já existente na organização. Essa parte — inventariar, classificar por função e nível de risco, e a ligação à governação — é aquilo em que a Responsible AI Scan está a trabalhar. A scan está em desenvolvimento; quem estiver interessado pode inscrever-se na lista de espera.
Um inventário responde à pergunta sobre que IA está a ser utilizada. Outra pergunta, complementar, é que parte do trabalho efetivo — tarefa a tarefa — pode ser assumida pela IA. Essa pergunta é respondida pela werkscan da FTE TO AI, que calcula, por tarefa, que parte do trabalho pode ser assumida.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.