Kennisbank

Como evitar um departamento com sua própria assinatura?

Uma equipa de marketing precisa de um assistente de escrita. Um analista financeiro quer uma ferramenta que resuma folhas de cálculo. Nenhum deles espera por um processo de compras que demora meses. Há um cartão de crédito, um endereço de e-mail, e em dez minutos há uma assinatura que o departamento paga por conta própria, gere por conta própria e utiliza por conta própria. O departamento de TI não sabe nada disso. Não há razão para reportar, porque nada foi feito de errado — apenas um problema foi resolvido.

Como surge

A maior parte da IA sombra não começa com uma tentativa de contornar regras. Começa com uma tarefa que precisa de ser feita mais rapidamente, um prazo que não espera por um trajeto de aprovação, e uma ferramenta que é acessível sem a intervenção de outra pessoa. O departamento que a subscreve não vê isso como uma decisão de TI. Sente-se como um material de escritório, não diferente de uma licença de software que todos já usavam antes de existir uma política de compras central. Que um modelo de linguagem processe dados empresariais, leia dados de clientes ou gere texto em rascunho que sai para o exterior não é, para o utilizador, uma questão de governação. É simplesmente trabalho.

A mesma dinâmica ocorre com um fornecedor que incorporou IA no seu produto sem que houvesse uma conversa separada sobre isso: a funcionalidade aparece numa atualização, ninguém assina nada por ela, e a organização usa-a antes de alguém ter determinado quem é responsável por isso.

Por que não desaparece por si só

Um anúncio de que ferramentas não autorizadas não são permitidas muda pouco. O departamento que tem a assinatura vive-a como uma solução que funciona, não como um risco que precisa de ser reportado. Uma proibição sem alternativa produz duas coisas: a assinatura vai para debaixo da terra, ou a equipa desiste dela e o trabalho volta a ficar mais lento. Nenhuma das duas é o que uma organização quer.

A isto acresce que esse tipo de assinatura raramente é uma decisão única. Torna-se parte do fluxo de trabalho, ligada a outras ferramentas, usada em processos que já dependem dela. O que começa como uma experiência torna-se uma parte fixa de como a equipa trabalha — exatamente o padrão que também é visível em uma configuração de teste que nunca foi desligada: ninguém decidiu torná-la permanente, mas ninguém também decidiu suspendê-la.

O que a repreensão não traz

O reflexo de detetar IA sombra e confrontar o utilizador com isso funciona ao contrário. Quem sabe que um relato leva a uma reprimenda, não reporta. A assinatura continua a existir, apenas menos visível. O departamento torna-se mais cauteloso no que reporta, não mais cuidadoso no que usa.

O que funciona é perguntar sem que haja uma sanção associada. Uma equipa que usa uma ferramenta para acelerar uma tarefa tem geralmente uma razão para isso que a organização quer conhecer: um processo demasiado lento, uma tarefa sobrecarregada, uma necessidade que a oferta existente não cobre. Veja como isto é descrito em colaboradores que usam uma ferramenta que ninguém aprovou — o ponto de partida não é a infração, mas a necessidade que está por detrás dela.

O que uma organização pode fazer com isto

O primeiro passo não é a fiscalização, mas o inventário: que ferramentas existem, quem as usa, para que tarefa, e com que dados. Isso não acontece através da lista da TI — essa regista o que foi aprovado, não o que é usado. Acontece perguntando, de uma forma que não contenha qualquer ameaça.

Uma vez que haja visibilidade sobre o que está em funcionamento, pode seguir-se a classificação: que papel desempenha a ferramenta, que nível de risco lhe corresponde, e que forma de supervisão é adequada. Nem toda a assinatura que um departamento subscreveu por conta própria constitui um problema. Uma ferramenta que reescreve texto público está numa categoria diferente de uma ferramenta que processa dados de clientes sem que ninguém saiba para onde esses dados vão. A distinção entre essas categorias é exatamente aquilo em que se centra a supervisão humana na prática: nem todo o uso exige o mesmo grau de controlo, mas todo o uso exige que se saiba que existe.

Depois segue-se uma estrutura de governação que se ajusta ao que já existe — não um novo processo ao lado do quadro de risco existente, mas uma extensão dele. Uma organização que trata o risco de IA separadamente do resto da sua gestão de risco corre o risco de ver o segundo sistema ser ignorado, como se pode ler em um segundo processo ao lado do existente que é ignorado. A abordagem que perdura é a que se ajusta ao que a organização já faz para gerir o risco.

A pergunta que fica

Uma assinatura que um departamento subscreveu por conta própria é geralmente um sinal de que algo precisa de ser mais rápido do que o processo atual permite. Essa pergunta — que parte do trabalho se pode acelerar, e onde isso pode acontecer de forma estruturada em vez de despercebida — é exatamente a que a análise de trabalho (werkscan) da FTE TO AI responde. A análise de trabalho calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, para que a necessidade que levou a uma assinatura sombra encontre um lugar dentro de um processo que a organização conhece e gere de facto.