O setor de TI ocupa uma posição que nenhum outro setor tem: aqui a IA não é apenas utilizada, aqui ela também é construída, integrada e revendida. Um programador que liga um modelo de linguagem a uma aplicação, um consultor que incorpora uma funcionalidade de IA num projeto de cliente, uma equipa que faz o finetuning de um modelo open-source — não são excepções, é o trabalho do dia a dia. A relação entre o que a organização decide por si própria e o que um colaborador individual ou uma equipa acrescenta por conta própria é diferente neste setor do que num banco ou numa empresa de construção. Enquanto noutros setores a IA é um acréscimo a processos existentes, no setor de TI a IA é frequentemente parte do próprio produto. Isso significa que a governança não trata apenas de ferramentas internas, mas também do que está contido em software entregue a terceiros.
Em muitos setores, é o departamento de TI que tem visibilidade sobre o que está em funcionamento. No setor de TI, essa suposição é mais frágil do que noutros lugares, precisamente porque praticamente todos têm o conhecimento técnico para solicitar uma chave de API, descarregar um modelo ou incorporar uma funcionalidade de IA numa base de código sem que isso seja precedido de um pedido, uma licença ou um processo de aprovação. Um programador que usa um modelo de linguagem para gerar código, um arquiteto que testa um agente de IA numa sandbox, uma equipa de vendas que constrói uma demonstração com um modelo externo — essas escolhas são feitas a nível de projeto, não a nível de direção. Um inventário que começa pelas licenças adquiridas está, por isso, a perder uma parte substancial do que realmente acontece. A questão não é se existe IA sombra, mas sim quanto do ambiente de produção já depende dela sem que ninguém o tenha registado.
Existem meios técnicos para detetar o uso de IA, mas frequentemente só veem o que passa por redes empresariais e dispositivos geridos. Num setor onde muito trabalho ocorre em ambientes de desenvolvimento próprios, contas pessoais e projetos de clientes com infraestrutura própria, essa é uma visão limitada. A informação mais completa vem das pessoas que fazem o trabalho. Isso só funciona se a pergunta for feita sem consequências: alguém que sabe que uma resposta honesta leva a uma sanção não responde honestamente. Como evitar que os colaboradores usem uma ferramenta que ninguém aprovou não começa, por isso, pelo controlo, mas por um convite para relatar o que já está a acontecer. É uma ordem diferente da que a maioria das organizações está habituada, e no setor de TI essa ordem é especialmente importante, porque a desconfiança entre equipas de desenvolvimento e departamentos de compliance já está frequentemente presente aqui.
Não todo o uso de IA no setor de TI exige a mesma atenção. Um modelo que resume documentação interna é diferente de um modelo que participa em decisões sobre direitos de acesso ou que funciona como parte de um produto entregue a um cliente. A classificação por função e nível de risco não é, por isso, algo que acontece uma vez, mas algo que deve acompanhar o que uma equipa constrói. É uma dinâmica diferente da de setores com processos mais estáveis, como se pode ler nas descrições de governança nos serviços financeiros ou no setor da energia, onde as aplicações de IA se mantêm geralmente dentro de uma estrutura operacional fixa. No setor de TI, a aplicação por vezes muda mais rápido do que a classificação consegue acompanhar, o que significa que a própria estrutura de governança deve ter espaço para reavaliação, não apenas para aprovação única.
Um risco que assume contornos próprios no setor de TI é o uso de ferramentas de IA gratuitas ou públicas para trabalho que, na realidade, é confidencial: código-fonte, dados de clientes, arquitetura interna, condições contratuais. Um programador que rapidamente pede a um modelo público para verificar um trecho de código não pensa no que acontece a essa informação introduzida. Como evitar que dados empresariais acabem numa janela de chat gratuita descreve esse mecanismo, e é mais relevante neste setor do que na maioria dos outros, porque os dados que se perdem não são frequentemente apenas dados pessoais, mas também propriedade intelectual e código de clientes. Uma estrutura de governança que nada estabeleça sobre isso deixa o risco a cargo do colaborador individual, enquanto a exposição recai sobre a organização.
Um administrador ou General Counsel no setor de TI já tem frequentemente quadros de risco para segurança da informação, qualidade de software e gestão de fornecedores. A governança de IA funciona melhor quando se alinha com essa estrutura existente do que quando se torna um processo separado que ninguém reconhece. Isso aplica-se aqui com mais força do que em setores como o setor imobiliário ou a construção, onde a governança de IA frequentemente ainda começa numa folha em branco. No setor de TI já existe geralmente uma linguagem de risco; o trabalho consiste em expandir essa linguagem sem a substituir.
A Responsible AI Scan mapeia o que está em funcionamento em termos de IA na organização, incluindo o que surgiu fora da lista oficial, e associa a isso uma classificação por função e nível de risco. O resultado é um conjunto de governança que se alinha com a estrutura existente, não um novo quadro ao lado. A ferramenta que suporta isto ainda está em construção. Quem quiser utilizá-la pode inscrever-se na lista de espera; neste momento ainda não é entregue nada além dessa inscrição.
Assim que se torne visível quais aplicações de IA existem e que nível de risco lhes está associado, surge naturalmente a próxima questão: que parte do trabalho que atualmente ainda é feito por pessoas é adequada para ser transferida para essas aplicações. Essa é uma questão diferente da governança, e é respondida pela análise de trabalho da FTE TO AI, que calcula, por tarefa, que parte do trabalho pode ser assumida pela IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.