Construir um inventário de IA em múltiplas localizações

Uma organização com múltiplas localizações raramente tem um único ponto onde se tomam decisões sobre software. Uma localização fecha uma licença, outra utiliza uma versão gratuita da mesma ferramenta, e uma terceira tem um parceiro de TI local que configurou algo sem consulta prévia. Um inventário de IA que pretenda captar isso não deve, portanto, partir de um único ficheiro de origem, mas de múltiplas fontes que se complementam e se contradizem entre si.

Por que razão as localizações não dão a mesma imagem

Cada localização tem um histórico próprio de aquisições, fornecedores próprios e, muitas vezes, um grau próprio de autonomia nas escolhas de TI. Aquilo que na sede é uma excepção pode ter-se tornado o padrão numa outra localização sem que ninguém o tenha registado. Um inventário central que apenas consulta a sede fica, por definição, com uma imagem incompleta. Por que a lista de TI não está correta explica por que razão um registo central raramente corresponde àquilo que efetivamente é utilizado, e esse problema torna-se maior quanto mais localizações existirem.

O que regista por localização

A base é a mesma para cada localização: qual a aplicação utilizada, por quem, para que tarefa, e com base em que dados. Além disso, é relevante saber se a aplicação foi adquirida localmente ou disponibilizada centralmente, e se existe um fornecedor que já regista, por si próprio, como o sistema funciona, ou se a localização compôs ou adaptou o sistema por conta própria. Essa distinção determina, de facto, quem carrega a responsabilidade pelo que exatamente acontece. O que regista por aplicação descreve isso em detalhe, e o mesmo registo aplica-se independentemente da localização: apenas a forma como recolhe a informação varia por localização.

De onde vêm os dados

Numa única localização, é fácil perguntar por aí. Em múltiplas localizações, isso já não é viável sem estrutura. Duas fontes são então utilizáveis em conjunto. A primeira é aquilo que o próprio ambiente de TI já revela: registos de compras, ficheiros de licenças e sinais técnicos que apontam para a utilização de IA, mesmo que ninguém tenha comunicado explicitamente essa utilização. O que os dados de aquisição e licenciamento revelam mostra que indícios aí se podem encontrar, e quais os sinais de TI utilizáveis aborda o lado técnico disso: que tráfego, que subscrições e que integrações apontam para uma utilização de IA que não está formalmente registada em lugar nenhum.

A segunda fonte é o próprio colaborador. Nenhuma verificação técnica capta por que razão alguém utiliza uma ferramenta, para que tarefa exatamente, ou com que frequência. Isso só o sabe quem faz o trabalho. Em múltiplas localizações, isto significa que precisa de uma forma de colocar essa pergunta em todo o lado da mesma maneira, sem que uma localização se sinta mais controlada do que outra. Como perguntar sem represálias descreve por que essa condição é determinante para a fiabilidade daquilo que recolhe: quem tem medo de uma consequência responde de forma incompleta ou não responde de todo, e esse efeito não está necessariamente distribuído de igual forma entre localizações com culturas ou estilos de gestão diferentes.

Um único papel por aplicação, independentemente da sua origem

Uma aplicação adquirida na localização A e adotada informalmente na localização B continua a ser a mesma aplicação, com o mesmo papel e o mesmo nível de risco. O inventário não deve, portanto, ser classificado por localização separadamente, mas por aplicação, com uma anotação de onde e por quem é utilizada. Assim evita que a mesma ferramenta seja avaliada de forma diferente em dois locais, e que um risco já identificado numa localização passe despercebido noutra. Também é relevante saber se a própria localização construiu ou configurou algo com base num modelo de IA, ou se apenas adquire um produto pronto a usar. É fornecedor ou utilizador ajuda a fazer essa distinção, e essa distinção pode variar por localização, mesmo quando se utiliza a mesma tecnologia subjacente.

Consolidar num único panorama

Quando os dados das localizações estão reunidos, o passo seguinte é consolidá-los numa única lista sem duplicações, com um papel claro por aplicação, uma avaliação de risco e uma indicação de onde é utilizada. Esse panorama constitui a base para determinar que medidas de governação são necessárias e onde estas exigem atenção em primeiro lugar. A forma exata como esse panorama é construído e mantido depende da dimensão e da estrutura da organização; não existe um modelo fixo para cada situação.