Un furnizor livrează un pachet de contabilitate, un sistem HR sau un instrument de servicii pentru clienți. Există un contract, un acord de procesare, poate un audit de securitate. Apoi furnizorul adaugă, într-o actualizare, o funcție de AI: clasificare automată, sugestii de text, un chatbot căruia i s-a dat acces la datele dumneavoastră. Notele de lansare o numesc o îmbunătățire. Nimeni din organizația dumneavoastră nu a avut nimic de spus despre asta, pentru că nimeni nu știa că vine.
Acesta nu este o excepție de la modul în care este livrat software-ul. A devenit standardul. Furnizorii concurează pe funcționalitate de AI și o integrează cât mai rapid posibil, adesea ca parte a unui abonament pe care îl plătiți deja. Întrebarea dacă acest lucru se încadrează în acordurile dumneavoastră existente este rareori pusă înainte ca funcția să devină activă.
Un departament de achiziții evaluează un furnizor la momentul achiziției. După aceea, atenția se deplasează către facturare, timp de funcționare și suport. Actualizările funcționale se desfășoară în afara acelui proces, pentru că se încadrează în întreținere, nu într-o nouă achiziție. Cine ar trebui să anunțe asta? Furnizorul o vede ca pe o îmbunătățire a produsului. Achizitorul nu vede actualizarea, sau o vede și crede că este responsabilitatea altcuiva. Utilizatorul din organizație observă mai ales că un buton face ceva mai inteligent și nu se întreabă dacă în spate se află un model de limbaj care procesează date în exterior.
Modelul este asemănător cu ceea ce se întâmplă în cazul unei extensii de browser cu acces la e-mailul dumneavoastră: accesul este acordat într-un moment în care nimeni nu se gândea la AI și rămâne apoi activ neobservat. La furnizori, problema de scalare este mai mare, pentru că nu este vorba despre un singur angajat, ci despre o întreagă organizație expusă printr-un singur contract.
O prevedere contractuală care impune obligația de notificare în cazul funcționalității de AI ajută la contractele noi. La contractele existente, prevederea nu există, și nu este evident că un furnizor va accepta asta cu efect retroactiv. Mai mult, o clauză nu rezolvă problema detectării: dacă nimeni nu verifică periodic ce a adăugat de fapt furnizorul, notificarea rămâne dependentă de disponibilitatea furnizorului de a raporta el însuși.
Ce funcționează, în schimb, este o fotografie fixă periodică: o inventariere periodică a funcționalității de AI pe care fiecare furnizor esențial o livrează în momentul de față, separat de ceea ce a fost evaluat la momentul achiziției. Acesta nu este un instrument juridic, ci o prezentare factuală, care poate fi apoi verificată în raport cu categoria de risc a procesului în care operează furnizorul.
Aceeași dinamică care întreține AI-ul din umbră la angajați se manifestă și aici, dar la nivelul furnizorilor. Cel care pune întrebarea „folosiți AI pentru asta aici” dorește un răspuns onest, nu o reacție defensivă din partea account managerului. Asta înseamnă că întrebarea nu trebuie pusă ca preludiu la rezilierea contractului, ci ca parte a unui proces fix în care răspunsul nu are altă consecință decât clasificarea. Vedeți cum funcționează asta la angajații care folosesc un instrument pe care nimeni nu l-a aprobat: informația utilă apare abia atunci când a pune întrebări este separat de a pedepsi.
O listă de furnizori este un punct de start, nu un punct final. Pentru fiecare furnizor care are acces la date de producție, date despre clienți sau date despre personal, este relevant dacă acesta conține deja funcționalitate de AI, ce face funcționalitatea respectivă cu datele și dacă acea utilizare se încadrează în aceeași categorie de risc pentru care furnizorul a fost aprobat inițial. Un furnizor evaluat în urmă cu cinci ani ca fiind de risc scăzut pentru că doar emite facturi poate rula acum un modul care clasifică automat facturile pe baza unui model de limbaj instruit extern. Aceasta este o altă categorie de risc, chiar dacă pe factură apare același nume.
Această inventariere nu ar trebui să fie separată de restul guvernanței AI dintr-o organizație. Aceeași clasificare care se aplică instrumentelor construite intern sau unei configurații de test care nu a fost niciodată dezactivate ar trebui aplicată și la ceea ce introduc furnizorii. O singură prezentare, o singură scală de risc, indiferent dacă AI-ul a fost construit intern, adus de un angajat sau adăugat de un furnizor fără anunț.
De îndată ce este clar ce AI ajunge prin intermediul furnizorilor, apare o întrebare ulterioară care depășește riscul: ce face de fapt acel AI cu munca desfășurată în prezent de oameni, și unde se suprapune asta cu sarcini care oricum se califică pentru automatizare. Scanarea muncii de la FTE TO AI calculează, pentru fiecare sarcină, ce parte din muncă poate fi transferată către AI, indiferent de furnizorul sau sistemul care o execută în final. Astfel, inventarierea care începe cu riscul devine utilă și pentru întrebarea care vine după aceea: nu doar ce funcționează, ci ce valorează de fapt munca respectivă.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.