O departamento de TI regista o que foi adquirido, instalado ou autorizado. Essa é uma informação útil, mas responde a uma pergunta diferente daquela que um administrador, CIO ou General Counsel realmente coloca. A lista de TI mostra o que foi aprovado. A pergunta que importa é o que é utilizado.
Entre esses dois pontos há uma margem. Um colaborador que utiliza uma ferramenta de IA gratuita no navegador não fica registado em lugar nenhum. Uma equipa que consulta um modelo de linguagem através de uma extensão do navegador não aparece num levantamento de licenças. Um departamento que integrou um chatbot numa macro de folha de cálculo não figura num registo de ativos. Nada disto é, por definição, contrário às regras. É apenas invisível para a lista em que a administração e a supervisão confiam.
O fosso entre a lista e a prática não surge porque alguém foi negligente. Surge porque as aplicações de IA se tornaram facilmente acessíveis, muitas vezes sem processo de aquisição, sem fatura, sem envolvimento da TI. Um colaborador que quer realizar uma tarefa mais rapidamente procura uma solução e encontra-a muitas vezes em poucos minutos, fora de qualquer canal formal. Esse comportamento é previsível e gera um problema real: já ninguém com visão sobre a organização sabe qual a IA que efetivamente trabalha com quais dados.
A lista de TI não é inútil. É o ponto de partida de um inventário, não o ponto final. O que os dados de compras e licenças revelam mostra que as faturas e os contratos muitas vezes revelam mais do que o próprio registo de ativos: uma subscrição de teste que continuou a correr, uma licença contratada por um departamento sem consulta à TI, uma integração de API faturada mensalmente sem que exista uma aprovação formal subjacente. Além disso, existem sinais de TI que são utilizáveis para detetar IA sombra: tráfego de rede para domínios de IA conhecidos, novas extensões de navegador, picos anómalos de tráfego de dados para serviços externos. Nenhuma destas fontes é, por si só, completa. Juntas, oferecem uma imagem que a lista oficial não proporciona.
Os sinais técnicos mostram que algo está a ser utilizado, mas raramente porquê ou exatamente para quê. Esse contexto só se obtém perguntando às pessoas que o utilizam. Isso só funciona se a pergunta não for colocada como uma investigação. Quem tem medo de uma sanção não dá uma resposta honesta, ou não responde. Como perguntar aos colaboradores sem represálias descreve como essa pergunta pode ser feita de forma a que as pessoas contem efetivamente o que utilizam, e porquê, sem sentirem que estão a trair-se a si próprias.
Um inventário é mais do que uma lista de aplicações. Por aplicação, documenta-se: quem a utiliza, para que tarefa, com que dados, e se o resultado desempenha um papel numa decisão que tem consequências para alguém fora da organização. Essa última pergunta determina o nível de risco e, com isso, quais os requisitos de governance aplicáveis. O que deve documentar por aplicação descreve esse formato em detalhe. Para organizações com vários departamentos, unidades ou filiais, acrescenta-se aqui uma camada adicional: a mesma aplicação pode ter um impacto reduzido num departamento e afetar uma decisão sobre clientes noutro. Como construir um inventário de IA numa organização com várias unidades aborda essa escala, e explica por que razão a lista de TI aí fica ainda mais atrás da realidade do que num único departamento.
Um inventário construído a partir de várias fontes — a lista de TI, dados de compras, sinais técnicos e conversas com colaboradores — dá a um administrador algo com que pode justificar o que está a acontecer, em vez de confiar num registo que sabe estar incompleto. Isto não é garantia de que tudo está identificado; a utilização invisível nunca pode ser totalmente excluída. É, contudo, uma base construída de forma demonstrável, com um método claro, em vez de uma lista que existe por acaso.
Um inventário mostra quais as aplicações de IA existentes e quem as utiliza. Não mostra quanto do trabalho subjacente essas aplicações efetivamente substituem, nem quanta margem ainda existe para transferir tarefas. Essa é uma pergunta diferente, com um instrumento diferente: o werkscan da FTE TO AI calcula, por tarefa, qual a parte do trabalho que pode ser substituída pela IA, com base no que essa tarefa efetivamente implica, em vez de com base no nome da função.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.