Kennisbank

Uma extensão de navegador com acesso ao seu email não pede autorização a ninguém

Como uma extensão chega ao seu email

Um colaborador quer que uma reunião seja resumida, um email seja redigido ou uma agenda seja gerida. Existe uma extensão para isso, gratuita para instalar no navegador, com acesso à caixa de correio em poucos cliques. A extensão não pergunta ao TI se isto é permitido. Pergunta ao colaborador se quer conceder acesso, e a maioria das pessoas clica em aceitar sem ler as permissões. Com isso, um pequeno programa externo passa a ter acesso de leitura à correspondência, aos anexos e aos dados de contacto, fora de qualquer visão da organização.

Isto não é uma excepção. É a forma habitual como a IA entra numa organização: não através de um projeto com um responsável e um orçamento, mas através de uma escolha individual para facilitar uma tarefa. A extensão não consta de nenhuma lista de TI, porque o TI não a instalou. Não consta de nenhum registo de riscos, porque ninguém a registou. Funciona, e isso é motivo suficiente para o utilizador continuar a clicar.

Por que razão a lista de TI não corresponde à realidade

Um inventário de software aprovado diz algo sobre o que foi pedido e autorizado. Não diz nada sobre o que é realmente utilizado. Entre estas duas coisas existe uma diferença que aumenta à medida que as ferramentas de IA são mais fáceis de instalar e funcionam de forma menos visível. Uma extensão no navegador não deixa rasto na rede como uma nova aplicação deixaria. Funciona dentro de uma sessão que, de resto, parece normal.

O resultado disto não é uma única fuga de dados, mas um padrão disperso: aqui uma extensão com acesso ao email, ali uma janela de chat gratuita onde se colam dados da empresa, noutro sítio um departamento que subscreveu por sua própria iniciativa. Decisões isoladas, tomadas sem má intenção, que juntas formam uma camada oculta de utilização de IA que a organização não consegue visualizar porque nunca perguntou por ela.

Por que razão não desaparece com uma proibição

Uma proibição de extensões com acesso ao email parece uma solução, mas uma proibição que ninguém controla é uma regra no papel. O colaborador que usa a extensão fê-lo porque o trabalho avançava mais rápido. Esse problema continua a existir depois da proibição. Talvez remova a extensão, ou a deixe instalada e não diga mais nada sobre o assunto. Ambos os resultados são piores do que a situação antes da proibição: antes pelo menos sabia que a extensão existia, agora já não sabe, ou o motivo pelo qual existia continua sem solução.

A única forma de saber o que realmente está a funcionar é perguntar. Não como controlo, mas como levantamento. Quem tem medo de ser responsabilizado não responde com sinceridade, ou não responde de todo. Isso torna a forma como se pergunta tão importante quanto a própria pergunta. Este padrão, e a forma como uma organização pode lidar com ele sem caça às bruxas, está descrito na página sobre o que fazer com colaboradores que usam uma ferramenta que ninguém aprovou.

O que acontece entretanto com a supervisão

Enquanto uma extensão com acesso ao email permanecer fora do radar, também não há supervisão sobre o que faz com os dados que processa. Não porque ninguém queira regular isso, mas porque a supervisão só pode existir sobre algo que é conhecido. Para ferramentas que já são conhecidas, a questão do que a supervisão significa na prática já é suficientemente difícil: quem acompanha, com que frequência, e o que acontece com um desvio. Essa questão é tratada na página sobre o que significa a supervisão humana na prática. Para uma extensão que ninguém registou, a resposta a essa questão é: ainda nada, porque o primeiro passo, saber que ela existe, ainda não aconteceu.

O mesmo padrão de algo que surge à margem da estrutura existente, em vez de ser integrado nela, ocorre em maior escala quando um fornecedor incorpora IA no seu produto sem que isso apareça no contrato ou na avaliação de risco; como isso surge e por que razão passa ao lado dos acordos existentes está descrito em o que fazer com um fornecedor que incorporou IA no seu produto. E se já existir um processo criado para comunicar este tipo de utilização, mas esse processo for ignorado por estar ao lado do trabalho existente em vez de integrado nele, trata-se de um padrão reconhecível que é analisado na página sobre por que razão um segundo processo ao lado do existente é ignorado.

Do levantamento à compreensão do que a IA está a assumir

Um inventário de extensões, subscrições e ferramentas que ninguém aprovou mostra onde a IA já está presente no trabalho. Essa informação suscita naturalmente uma pergunta seguinte: se alguém já confiou parte das suas tarefas à IA, qual é exactamente essa parte do trabalho, e como se relaciona isso com o que é possível ou desejável para o resto da organização? O scan de trabalho da FTE TO AI calcula, por tarefa, qual a parte do trabalho que pode ser assumida pela IA, oferecendo assim um ponto de apoio numérico ao lado da imagem de governação que um inventário proporciona.