Un angajat vrea să i se rezume o ședință, să i se redacteze un e-mail sau să i se gestioneze o agendă. Există o extensie pentru asta, gratuit de instalat în browser, cu câteva clicuri acces la cutia poștală. Extensia nu întreabă IT-ul dacă acest lucru este permis. Îl întreabă pe angajat dacă dorește să acorde acces, iar majoritatea oamenilor apasă pe acord fără să citească drepturile. Astfel, o mică bucată de software extern obține acces de citire la corespondență, atașamente și date de contact, în afara oricărei vizibilități a organizației.
Aceasta nu este o excepție. Este modul obișnuit în care AI intră într-o organizație: nu printr-un proiect cu un comitent și un buget, ci printr-o alegere individuală de a face o sarcină mai ușoară. Extensia nu se află pe o listă a IT-ului, pentru că IT-ul nu a instalat-o. Nu se află într-un registru de riscuri, pentru că nimeni nu a înregistrat-o. Funcționează, și asta este pentru utilizator un motiv suficient pentru a continua să apese click.
O privire de ansamblu asupra software-ului aprobat spune ceva despre ce a fost solicitat și permis. Nu spune nimic despre ce este utilizat efectiv. Între aceste două există o diferență care crește pe măsură ce instrumentele AI devin mai ușor de instalat și mai puțin vizibile în funcționare. O extensie în browser nu lasă o urmă în rețea așa cum ar face-o o aplicație nouă. Ea rulează în cadrul unei sesiuni care, altminteri, pare normală.
Ce rezultă din asta nu este o singură scurgere de date, ci un tipar dispersat: aici o extensie cu acces la e-mail, acolo o fereastră de chat gratuită în care este lipită date ale companiei, în altă parte un departament care a încheiat un abonament din proprie inițiativă. Decizii izolate, luate fără intenție rea, care împreună formează un strat umbră de utilizare a AI pe care organizația nu îl poate cuprinde pentru că nu a întrebat despre el.
O interdicție privind extensiile cu acces la e-mail sună ca o soluție, dar o interdicție pe care nimeni nu o verifică este o regulă pe hârtie. Angajatul care folosea extensia a făcut asta pentru că munca mergea mai rapid. Această problemă rămâne și după interdicție. Este posibil să șteargă extensia, sau să o lase și să nu mai spună nimic despre ea. Ambele rezultate sunt mai proaste decât ce aveați înainte de interdicție: cel puțin atunci știați că extensia exista, acum nu mai știți, sau motivul pentru care exista rămâne nerezolvat.
Singura modalitate de a afla ce funcționează cu adevărat este să întrebați. Nu ca un control, ci ca o inventariere. Cel care se teme de o sancțiune nu răspunde sincer, sau nu răspunde deloc. Asta face ca modul în care întrebați să fie la fel de important ca întrebarea în sine. Acest tipar, și modul în care o organizație îl poate aborda fără o vânătoare de vrăjitoare, este descris pe pagina despre ce faceți cu angajați care folosesc un instrument pe care nimeni nu l-a aprobat.
Atâta timp cât o extensie cu acces la e-mail rămâne în afara vizibilității, nu există nici supraveghere asupra a ceea ce face cu datele pe care le procesează. Nu pentru că nimeni nu vrea să reglementeze asta, ci pentru că supravegherea poate exista doar asupra a ceva ce este cunoscut. Pentru instrumentele care sunt cunoscute, întrebarea ce înseamnă supravegherea în practică este deja suficient de dificilă: cine urmărește, cât de des, și ce se întâmplă cu o abatere. Această întrebare este tratată pe pagina despre ce înseamnă supravegherea umană în practică. Pentru o extensie pe care nimeni nu a înregistrat-o, răspunsul la această întrebare este: încă nimic, pentru că primul pas, aflarea faptului că există, nu a avut loc încă.
Același tipar al unui lucru care apare pe lângă structura existentă, în loc să fie integrat în ea, se manifestă la scară mai mare atunci când un furnizor construiește AI în produsul său fără ca acest lucru să se reflecte în contract sau în evaluarea riscurilor; cum apare aceasta și de ce se scurge pe lângă acordurile existente este descris la ce faceți cu un furnizor care a construit AI în produsul său. Și dacă a fost totuși instituit un proces pentru a semnala acest tip de utilizare, dar acel proces este ignorat pentru că se află alături de munca existentă, în loc să fie integrat în ea, atunci acesta este un tipar recognoscibil, dezvoltat pe pagina despre de ce un al doilea proces alături de cel existent este ignorat.
Un inventar al extensiilor, abonamentelor și instrumentelor pe care nimeni nu le-a aprobat arată unde AI se folosește deja în cadrul muncii. Această informație generează în mod firesc o întrebare de continuare: dacă cineva a încredințat deja o parte din sarcinile sale AI, care este exact acea parte a muncii și cum se raportează aceasta la ce este posibil sau de dorit pentru restul organizației? Scanul de muncă al FTE TO AI calculează, per sarcină, ce parte din muncă poate fi preluată de AI, oferind astfel un punct de referință cifric alături de imaginea de guvernanță pe care o oferă un inventar.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.