Kennisbank

A extensão que ninguém aprovou, mas que lê tudo

Um colaborador instala uma extensão de navegador que resume e-mails, sugere compromissos na agenda ou escreve texto de rascunho no Gmail ou Outlook Web. A instalação demora um minuto e pede permissão para acesso ao conteúdo da página. Essa permissão é concedida sem que ninguém leia exatamente o que é partilhado, durante quanto tempo é guardado, se o modelo é treinado com isso, ou se o fornecedor o revende. A extensão funciona, poupa tempo, e depois espalha-se informalmente: um colega vê-a, pede o link, instala-a também.

Como isto surge

As extensões de navegador ficam fora da maioria dos processos de aquisição. Não é comprado nada, não há contrato, nenhuma fatura que chame a atenção do departamento financeiro. A instalação processa-se através do próprio navegador, muitas vezes com uma conta pessoal ou profissional que não passa pelo TI. Para o colaborador, não se trata de uma 'nova ferramenta' no sentido que exige aprovação — é um pequeno auxiliar, comparável a um corretor ortográfico. O facto de a extensão ter acesso de leitura a todo o e-mail, incluindo anexos, contratos e dados de clientes, é um detalhe técnico que foi ignorado na instalação.

Este padrão não é exclusivo do e-mail. O mesmo percurso passa por uma ferramenta que ninguém aprovou num sentido mais amplo, por dados empresariais colados numa janela de chat gratuita, e por um departamento que subscreveu por iniciativa própria. A extensão de navegador é apenas a variante com o acesso mais direto: não a um único documento, mas à caixa de e-mail completa.

Por que não desaparece por si só

Uma lista de TI com software aprovado não capta isto. A extensão não consta no panorama de contratos, nem no fluxo de faturas, nem num registo SSO se este não for utilizado. A única forma de saber se ela existe é perguntar — às pessoas que a utilizam. E isso só funciona se perguntar não tiver consequências. No momento em que uma notificação leva a uma repreensão, a informação para de fluir. A extensão seguinte já não é comunicada, mas usada de forma mais discreta.

A extensão também não desaparece por ser útil. Quem consegue tratar o e-mail mais rapidamente não abandona isso porque existe algures um documento de política que o desaconselha. Uma proibição sem alternativa desloca o comportamento para outra conta, outro navegador, um telemóvel pessoal. O problema torna-se então mais invisível, não mais pequeno.

O que uma organização pode fazer

O ponto de partida não é detetar e penalizar, mas mapear o que existe e, com base nisso, fazer uma escolha. Isso começa com um inventário que não olha apenas para o que foi adquirido, mas para o que é utilizado: como construir um inventário de IA descreve essa abordagem, incluindo a questão de como levar as pessoas a comunicar por iniciativa própria o que utilizam.

Para cada extensão que surge, algumas perguntas são relevantes. Que dados afeta — apenas o que está no ecrã, ou a caixa de e-mail completa através de uma ligação API? O conteúdo é processado por um modelo externo, e se sim, em que condições? Há uma razão empresarial para a utilização, ou substitui algo que a organização já tinha? O que deve ser registado por aplicação — quem é o proprietário, que dados entram, que nível de risco se aplica — está descrito em o que deve registar por aplicação. Não se trata de um exercício jurídico isolado; é a base para decidir caso a caso: permitir, substituir por uma variante gerida, ou eliminar gradualmente.

A isto pertence também o olhar para fora. Nem toda a funcionalidade de IA no ambiente de e-mail vem de uma extensão instalada por iniciativa própria de um colaborador. Um fornecedor de uma ferramenta existente pode ter adicionado uma funcionalidade de IA numa atualização, sem que isso tenha sido visto como uma nova avaliação. O que isso significa para contratos existentes e acordos de subcontratação está descrito em um fornecedor que incorporou IA no seu produto.

Sem caça às bruxas

O objetivo deste inventário não é detetar o colaborador que instalou a extensão. Quem chega a essa conclusão deixa de ver a extensão seguinte, porque deixa de haver quem a comunique. O objetivo é obter uma imagem do que efetivamente acontece com os dados de e-mail, documentos contratuais e comunicação com clientes, para que um administrador ou General Counsel possa fazer uma escolha fundamentada sobre o que permanece, o que é substituído, e o que é eliminado gradualmente — com uma justificação que possa ser apresentada a um regulador ou auditor.

Do risco à visão sobre o tempo dedicado

A mesma pergunta que revela que uma extensão está a ler o e-mail revela também quanto tempo essa extensão efetivamente absorve do trabalho que antes era feito manualmente. Estas duas questões estão intimamente relacionadas: uma diz respeito ao risco e à supervisão, a outra a onde a dedicação de tempo no próprio trabalho se altera. Para esta última, o scan de trabalho da FTE TO AI calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, independentemente de qual ferramenta o faz — um passo seguinte para quem, após o inventário, quer saber o que a IA já existente significa para a organização do trabalho.